企业领导者对其公司网络安全韧性的信心正在下降，但对数字系统的依赖却在上升。
董事会不应该问公司是否具有韧性，而应该问公司采取了哪些措施才能被认为是“足够有韧性的”。
为了最大限度地发挥网络韧性投资的作用，企业必须在董事会层面讨论风险价值和韧性回报。
世界经济论坛发布报告时 网络弹性指数 （CRI）在 2022 年为企业领导者提供了一个共同的语言来回答一个棘手的问题：您的组织在抵御和从网络中断中恢复方面做好了多大的准备？
三年过去了，论坛的 2025年全球网络安全展望 调查显示，35%的小型企业仍然认为其网络韧性不足——这一比例较2022年增长了七倍——而54%的大型企业则认为供应链的复杂性是其网络韧性面临的最大障碍。此外，在人工智能攻击日益猖獗的时代， Rubrik Zero Labs 研究 调查发现，86% 的 IT 和安全领导者预计，人工智能代理的扩散速度将在未来一年内超过其公司安全防护措施的覆盖范围。
在这个新时代，人们对网络韧性的信心正在下降，而对数字系统的依赖却日益加深。
事实上，根据网络安全研究所（CRI）的数据，虽然92%的高管认为网络韧性已融入企业风险管理体系，但只有19%的网络安全领导者确信其组织真正具备网络韧性。在组织能够提升网络韧性之前，必须弥合董事会的保证与实际运营情况之间的差距。
最先进的董事会不再询问自身是否具备韧性，而是开始询问已采取哪些措施才能被视为“足够韧性”。这相当于弄清楚组织能够承受多大的财务影响，如何在预防、保护和恢复之间平衡网络韧性投资，以及如何衡量这些投资的回报。
网络韧性是描述性的，而非量化的。
许多公司在网络安全韧性方面遵循着一套固定的模式。虽然制定了恢复计划并进行了恢复测试，但这些测试并非总是在遭受破坏性攻击时真正重要的不利且充满挑战的条件下进行的。
组织通常能够给出恢复时间目标 (RTO) 和恢复点目标 (RPP)，但却难以提供从干净、可信状态恢复的证据。备份无处不在，但不可篡改性和隔离的“洁净室”恢复仍然缺乏一致性。组织很少会针对备份被攻击和瘫痪的情况制定计划。核心系统可能没有从对抗的角度进行评估。责任可能分散在组织内部，弹性被视为 IT 部门负责的技术控制，而不是高层负责的战略能力。
网络韧性成熟度同样参差不齐。大多数组织在预防和检测攻击方面投入巨资，但在应对攻击和后续恢复能力方面投入相对较少。这些能力决定了安全漏洞是否会演变成业务危机。
这种不平衡是有代价的。过去，企业从数据泄露到遭受损失通常有60天的时间，而现在，根据相关数据，这个时间缩短到了短短27秒。 Rubrik的威胁研究这使得组织在攻击开始后几乎没有时间做出反应。
随着这一窗口期的缩短，业务中断的成本也在持续上升。IBM的 2025年数据泄露的成本 报告指出，业务损失仍然是导致全球数据泄露平均成本高达444万美元的主要原因之一。因此，网络韧性和快速恢复必须成为企业的当务之急。
衡量正确的风险
然而，这种重新界定取决于能否衡量正确的风险类型。美国国家标准与技术研究院的 识别和评估企业风险管理中的网络安全风险 发布网络风险报告为组织提供了一种规范的方式，以企业术语表达网络风险敞口——可能性、影响和预期损失——以便它可以与董事会管理的所有其他风险一起看待。
但韧性风险的衡量方式必须与传统的网络风险有所不同。传统方案侧重于事件发生的可能性，而韧性目标则使用三个不同的杠杆。
首先，它们旨在降低影响程度（约束、持续、重构）。其次，它们旨在增进对事件发生可能性的了解（理解、预防）。第三，它们有助于计算在现有弱点条件下，事件演变为危害的可能性（理解、准备、约束、转变、重构）。
预防可以降低遭受攻击的概率，传统的恢复机制可以降低日常中断的成本，而韧性则可以降低大规模故障的代价。仅仅衡量和展示预防和传统恢复指标会给董事会造成盲点，因为如果没有韧性，共享技术服务以及依赖于这些服务的关键业务流程可能会产生多米诺骨牌效应。
网络韧性：从影响到价值
这就是能力成熟度和业务价值必须结合起来的地方。网络安全社区认可的 网络弹性能力成熟度模型 （CR-CMM）描述了10项能力的韧性，包括威胁知情防御、危机管理和网络恢复。
它的价值不在于分数本身，而在于它所创造的价值传承。每项能力及其成熟度都可以与企业已经理解的具体价值驱动因素挂钩。例如，恢复成熟度的提升，如果能将恢复时间缩短一半，就能减少数百万美元的预期损失。
增加此类韧性措施可通过以下方式创造商业价值：
通过整合备份和恢复工具来节省成本
提高对单一跨组织韧性平台的可见性
降低数据丢失和停机的可能性及其对收入的影响
减少人工投入，提高运营效率。
这使得“多强的韧性才算足够？”这个问题变成了一个投资问题。组织应该模拟自身无法承受的经济损失，确定哪些能力能够最大程度地降低这种损失，并将资金投入到预防、保护和恢复控制措施中，以实现收益最大化。这样，网络韧性就不再仅仅依靠信念来争取预算，而是开始基于量化的风险降低来竞争。
衡量网络韧性
如果没有责任主体，这一切都无从谈起。网络韧性需要一位单一的责任主体，例如网络韧性官，或者一个正式成立的、涵盖业务、连续性、风险、技术和网络安全等领域的团队，其职责是设定目标、分配投资并向董事会负责。
网络韧性必须像其他战略能力一样运作。它必须以成熟度基准为衡量标准，在实际条件下进行演练，以财务指标进行评估，并持续改进。
如果每个季度都没有建立统一的弹性架构，补救措施的复杂性和成本都会增加。如今，投资于网络弹性的组织已经从技术层面的控制措施辩论，发展到董事会层面讨论风险价值和弹性回报。随着他们从描述影响转向量化价值，每一美元的网络弹性投入都能因其避免的损失而得到证明。
