网络安全是所有组织面临的一项重大关切，而协作是有效应对这一威胁的关键。
世界经济论坛、普华永道、美国全国公司董事协会和互联网安全联盟发布的一份网络治理报告，探讨董事会董事如何管理网络风险。
本文探讨企业如何通过协作实现网络韧性。
一个目标，一支团队。
有效的网络安全已成为共同责任，需要团队协作，并坚定不移地致力于内部和外部合作。
如今，威胁行为者正以日益有效的网络攻击为目标，攻击各类组织乃至整个行业。根据世界经济论坛的《2022年全球风险报告》，网络安全失效已成为一项主要威胁。企业对此也有共识：根据美国全国公司董事协会（NACD）开展的一项调查，70%的董事会董事将网络安全视为企业的战略风险。
网络犯罪持续攀升，丝毫没有减缓的迹象。 事实上，60% 的高管预测，网络犯罪将继续激增。尤其是，受访者预计针对云服务的攻击、勒索软件入侵以及对关键基础设施的破坏将会增多。威胁行为者还在利用危险的新软件漏洞，例如Log4j漏洞，该漏洞可能使他们能够远程在系统和网络上执行代码。人们也越来越担忧，地缘政治冲突可能导致关键基础设施遭受更多网络攻击。
在一份报告中，世界经济论坛、普华永道、NACD和互联网安全联盟（ISA）确定了六项原则，可帮助董事会董事开展网络风险治理：
网络安全是推动业务发展的战略助力
了解网络风险的经济驱动因素及其影响
使网络风险管理与业务需求保持一致
确保组织架构有助于支持网络安全
将网络安全专业知识纳入董事会治理
促进系统性韧性与协作
本文深入探讨第六项原则：促进系统性韧性与协作。系统性风险需要系统性韧性。这需要坚定投入集体行动，同时也需要个人具备很强的韧性。
好消息是？你可以采取一些“关键行动”，开始在组织中建立韧性。
成为网络安全团队的一员
有效的网络安全始于高层。首席执行官、董事会和其他高级领导者应倡导网络安全文化，推动公司内部、行业之间以及与公共和私营部门利益相关方开展协作。
营造安全文化需要每个人参与其中——包括董事会、高管层、首席信息安全官（CISO）、业务部门负责人和每位员工。你们还需要与供应链、承包商和其他第三方合作。
世界经济论坛如何帮助领导者了解网络风险并增强数字韧性
网络安全中心提供可信赖的平台，让领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。
通过推动跨行业协作和见解分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体响应的挑战。
鉴于当今网络威胁的复杂性和隐蔽性，董事会很可能需要接受一些网络安全培训。首席信息安全官可能需要介入，帮助高级管理人员了解威胁、对业务的潜在影响，以及每位高管在保障公司安全方面可以发挥的具体作用。
不过，安全意识不能止步于高管层。网络安全教育应覆盖每一位员工，并包括培训、技能提升和职业发展机会。
由于新法规要求披露网络安全信息，董事会教育已刻不容缓。例如，在美国，证券交易委员会（SEC）已提议制定规则，要求披露重大网络安全事件，以及网络治理、战略和风险管理方面的做法。
这些规则可能要求上市公司披露董事会监督网络安全风险的详情，以及董事会是否具备网络安全专业知识。披露内容包括董事会获知网络安全风险的流程，以及董事会讨论这一主题的频率。另有一项新法律要求关键基础设施领域的实体向网络安全与基础设施安全局（CISA）报告重大网络安全事件。
如何采取行动
在董事会或下属委员会会议中安排更多时间讨论安全问题
为董事会成员提供培训，提升其网络安全知识
使用业务语言来讨论网络威胁
制定有效协作计划
确认所有业务高管的网络安全绩效指标保持一致，而不只是CISO的指标
开展桌面推演并更新业务影响分析（BIA）
员工安全培训至关重要，但韧性建设还需要更多举措。
桌面推演通过模拟攻击来展示威胁响应和决策流程，是董事会成员练习网络危机决策的有效方式。桌面推演可以帮助业务领导者做好准备，在发现真实威胁时有信心、迅速地采取适当行动。推演还可以揭示现有响应计划中的漏洞或薄弱环节。
同样，业务影响分析（BIA）可以帮助组织制定更有针对性、更有效的事件响应和业务连续性策略。BIA会确定业务系统、流程及其相互依赖关系的优先级，使防御、响应和恢复策略聚焦于对业务最重要的问题。
如何采取行动
每年或在发生重大业务变化时，重新审视并更新公司的BIA
利用BIA为网络韧性规划提供依据
全年在组织的不同层级（技术、业务、高管层和董事会）开展桌面推演，并采用不同的威胁情景
考虑邀请外部法律顾问、执法部门等关键第三方参加部分桌面推演
与信息共享团体、执法部门和政府机构建立关系
如果网络犯罪分子会分享攻击技术和工具的信息——事实确实如此——你为什么不分享？分享网络威胁和应对措施的情报，对于抢在网络犯罪分子前面可能至关重要。企业无法单凭自身力量抵御强大黑客的攻击。
例如，关键基础设施提供商需要政府、网络安全团体、行业同行和各类组织积极开展合作与协作，以应对地缘政治威胁和国家级威胁。
全球范围内，与网络相关的信息共享正在日益普及。如今，全球84%的组织表示参与了公私部门间的信息共享。倡导此类文化的组织包括世界经济论坛网络安全中心、国际刑警组织、美国CISA、英国国家网络安全中心和开放数据中心；后者推动了全球1500多个政府机构和组织之间的协作。
你应与地方、国家及全球层面的政府和执法机构建立稳固关系，促进情报共享。此外，企业还可以与非营利网络安全组织建立联系，例如信息共享与分析中心（ISAC）；其中一些机构提供全天候威胁预警、事件报告功能和交流机会。
信息共享需要信任。组织往往不愿向行业同行和政府实体披露事件及应对措施。要形成网络安全的集体意识，就必须转变观念。尽管公私合作已很普遍——45%的组织参与其中——但组织往往不愿披露遭受攻击的信息。这种观念必须改变。
如何采取行动
利用所有可用资源，包括政府机构，识别潜在威胁
参与协作团体，例如欧盟网络与信息安全局（ENISA）、国际信息系统安全协会（ISSA International）、云安全联盟、互联网安全联盟，以及网络安全女性组织WiCyS
加入信息共享团体，例如信息安全论坛、反网络钓鱼工作组和ISAC
关键基础设施提供商可以加入相关组织，例如欧洲关键基础设施保护计划、关键基础设施保护工作组，以及美国国土安全部网络信息共享与协作计划（CISCP）
在发生安全事件之前，主动与执法部门和政府机构建立关系
世界经济论坛如何帮助领导者理解全球金融体系的变化
金融与货币体系中心召集领导者共同理解全球金融体系的转型，涵盖可持续性、韧性、创新和数字化。
通过促进合作与见解交流，该中心帮助合作伙伴推动金融体系与长期经济稳定及共同繁荣相协调。
协作应对网络安全挑战
在当今高度互联的数字世界中，网络安全不再是某个组织或某位高管的单独责任。
网络安全是一项终极团队协作，企业、行业和政府必须团结起来，共同抵御全球威胁行为者，这至关重要。
