疫情加速了电力行业的数字化进程，也凸显出系统性弱点。
如果不从整体上解决这些问题，后果可能波及全球并造成严重破坏。
以下是组织如何着手协作，构建更具网络韧性、适应新时代的电力生态系统。
新冠疫情危机正对我们的社会产生巨大影响，也进一步强化了我们对稳定的互联网和电力基础设施的依赖。
世界经济论坛的《新冠疫情风险展望》发现，企业最关注的第三大问题是新的工作模式可能增加网络攻击：“随着新冠疫情危机加速经济流程对技术的依赖，也加剧了……网络风险。”
威胁与挑战
针对关键能源基础设施的网络攻击会威胁能源系统、经济和社会福祉。大范围地区长时间断电，将对企业、政府和更广泛的社会造成严重影响。
过去，能源行业管理重大停电风险，意味着通过稳健的缓解和恢复计划，应对部件故障或恶劣天气等问题。
过去十多年，电力行业的生态系统经历了快速且变革性的数字化。这一进程对于确保疫情期间电力供应的可靠性和连续性至关重要。这些数字技术加深了运营技术（OT）与信息技术（IT）之间的互联互通和融合，也扩大了恶意行为者可利用的网络攻击面。如果不作出调整，原本安全的系统和环境也会变得不安全。
当前，电力行业面临着至少出于三种不同动机的网络威胁行为者。首先，有组织犯罪团伙为谋取经济利益，通过勒索软件攻击瞄准电力行业的IT网络。其次，其他行为者实施网络间谍活动；第三，还有人开展虚假信息行动。已知高级持续性威胁（APT）会瞄准工业控制系统（ICS）网络，试图进行攻击前侦察，或直接造成破坏和扰乱。
然而，新冠疫情危机进一步加速了电力生态系统的数字化，并凸显出特定的内在系统性问题，这些问题主要与数字架构和供应链依赖承受前所未有的压力有关。例如，大规模转向居家办公后，电力公司的数字环境和架构正在重塑；与这一转变相关的风险不断上升，也在给供应链韧性和网络安全运营带来压力。
如果不以整体方式解决这些问题，不断上升的风险可能产生多米诺效应，进而影响全球的关键职能和行业生态系统。
许多行业都在应对类似挑战，但针对与电力系统相连的IT基础设施的复杂网络入侵，可能影响关键运营乃至整个社会。
在电力生态系统中培育网络韧性文化
自2018年以来，世界经济论坛的“网络韧性系统：电力”社群一直致力于提升关键基础设施的网络韧性。该社群得到来自电力公司、技术制造商、政府机构和学术机构的70多位高管支持，所处的世界正日益互联互依。
在世界经济论坛于2019年发布的一份报告中，“网络韧性系统：电力”社群提出了七项行业专属原则，帮助电力公司董事会采取战略性方法提升网络韧性。
这些原则旨在应对三项关键挑战：
1.了解参与者构成多元、复杂的供应链，其中各方的优先事项、实践和成熟度各不相同。
2. 监督与传统和现代技术相关的风险；数字化和可再生能源技术使复杂性不断增加。
3.采取整体、系统的方法应对网络风险，涵盖IT和OT环境以及高度互联的生态系统。
这些原则旨在帮助董事会制定负责任的行动方案并监督网络风险，在业务目标与日益增加的网络安全风险之间取得平衡。
6月30日，世界经济论坛发布了《董事会与网络安全负责人实务指南》，旨在搭建桥梁，联结负责治理和战略的企业领导者，并帮助推动这些原则得到有效落实。以下关键步骤将帮助董事会在企业内部及更广泛的生态系统中树立网络韧性文化：
1.推动必要的文化和组织转变，提升公司内部及整个更广泛生态系统的网络韧性。
2.确保对网络韧性计划进行有效监督。
3.要求企业领导者承担网络风险管理责任，使其与企业战略目标保持一致，并将其纳入业务决策和预算。
4.指定一名企业高管负责网络韧性，并指导董事会和企业领导者作出更充分考虑风险的网络韧性决策。
在全球协调监管指引与实践
许多行业普遍认为，监管是协调和改进商业实践的有效工具。迄今为止，电力行业的监管主要侧重于安全。近期的技术创新，包括向智能电网转型，以及不断演变的网络风险形势，都要求同样重视网络安全监管，以防范大规模中断。
政策制定者、监管机构和电力公司应开展协作，在各国和地区之间为电力行业建立网络安全法规的基本协调框架，同时保留灵活性，使各方能够根据自身独特需求和国家利益调整法规。
“电力网络韧性系统”社群分析了现行法规中的差距，并找出公共和私营部门实体改进监管实践的机会，以进一步提升生态系统的网络韧性：
1.制定以原则为基础的全球网络安全监管指引，使公用事业企业能够协调各地区的网络安全实践，并提高灵活性。
2.采用通用的产品认证方法，限定于特定用途场景，帮助公用事业企业保障供应链安全。
3.加强政府、行业、学术界和供应链各方的协作，推动监管和信息共享实践更加灵活、有效且有针对性。
保障供应链和价值链安全
数字化、去中心化和全球化不断扩大攻击面。从联网设备到新市场参与者，再到跨境运营的跨国企业，接入电力生态系统的连接比以往任何时候都多。第三方和各类组件会在供应链各环节带来风险，组织有责任确保电网所依赖的组件和服务安全。
随着数字产品日益普及，供应链和价值链的复杂程度不断上升，对电力生态系统构成重大威胁。传统的供应链安全方法假定，制造阶段的威胁最大。
保障价值链安全必须覆盖产品从设计、调试和运营直至退役的端到端生命周期。价值链中的不同实体会协作开展对产品和系统至关重要的业务活动，因此孤立应对并不足够。具备韧性的生态系统需要各方分别承担责任，也需要共同负责。
为此，世界经济论坛“网络韧性系统：电力”社群的成员编写了一份报告，提出了新的价值链责任模式。
电力行业的组织必须确保产品和系统层面的安全要求保持平衡。有效且可持续的保护措施不能只着眼于保障单个产品和系统的安全，必须建立以产品和系统为中心的计划。这些计划要求各利益相关方共同理解并认可彼此的责任。
要有效保障价值链安全，相关方法必须同时采用纵深防御策略（覆盖从设计开始的整个产品生命周期）和广度防御策略（涵盖从组织的供应商到资产所有者，最终延伸至系统集成商和运营商）。
此外，在采购过程中，资产所有者、产品供应商和系统集成商之间就安全问题进行密切沟通，有助于确保尽可能好的结果。应优先考虑已在内部采用全面、稳健网络安全实践的产品和供应商。在招标过程中，安全不能成为可选项，也不能受价格标准左右。
世界经济论坛在网络安全领域开展了哪些工作
网络安全中心提供值得信赖的平台，让领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。中心致力于在日益互联的数字世界中增进理解与信任。
中心通过推动跨行业协作和洞见分享，帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
要适应系统运营方式的变化，资产所有者、运营商和供应商之间必须建立信任关系，以便根据运营制度找到应对网络安全实践的最佳方式。随着新技术的力量、规模和影响持续加速增长，迄今为止对技术影响采取放任式管理，可能给社会带来灾难性后果。要妥善应对，就必须前瞻而果断地管理风险和意外后果。
