网络韧性并非一成不变的通用模式，而是一段因情境而异、务实且不断演进的历程。
随着条件变化，具有韧性的组织会融合多种类型的特征，而不是完全归入某一单一类型。
了解自身类型有助于做出更明智的领导决策：以指导战略，判断领导风格是否契合，并找出未来所需的能力缺口。
网络韧性是一种实践，而非理论。由于每个组织都有其特定的个体风险状况、治理方式和工作文化等情境因素，因此不存在适用于所有组织及其各自情况的单一韧性建设方案。任何两个组织的韧性之路都不尽相同。
不过，一些共同的特征和属性正在显现。为应对各组织普遍面临的约束——例如监管要求、安全事件和市场动态——它们对于何为“良好”的韧性历程持有相似的看法，因此采用相似的方法来提升网络韧性。
组织很少只属于某一种单一类型；网络韧性通常需要多种类型的融合，并侧重于一两个方面。不存在好坏之分的类型，只有适合不同情境的不同做法。
领导者若能有意识地理解组织所属的类型，便能了解组织当前的定位，从而评估并规划未来：这种韧性类型是否适合即将到来的挑战，自身的领导风格是否契合所处的组织类型，以及为采用不同的网络韧性方法，可能需要弥补哪些技能缺口。
网络韧性组织的四种类型
红色：应变者：的特征包括灵活敏捷、反应迅速，并在网络安全事件中专注于快速恢复。从情境来看，这种类型通常出现在事件发生之后，重点在于根据近期的事件经验，提升敏捷性、响应方式和响应时间。
黄色：加固者：的特征包括积极主动、防御严密，并致力于完善稳健的预防措施。从情境来看，这种类型通常出现在网络安全事件发生之前或“和平时期”，目的是为应对现有及新兴的网络威胁而加强防御。
绿色：协作者：的特征包括以社区为导向、注重合作，并专注于共享情报、伙伴关系和供应链。从情境来看，这通常是对生态系统变化所做出的应对，例如外部动态、供应商的变化，或并购重组。
蓝色：领航者：的特征包括具有前瞻性、勇于创新，并始终为新兴威胁做规划。从情境来看，这通常出现在市场发生变化之后，例如新法规出台、出现商业机遇，或处于增长型市场之中。这既可能是资源充裕的情况，也可能是约束激发了创新的情况。
听起来都很不错，这也确实如此。每种类型都有其自身的优势与劣势，而这些优劣又由不同的情境所决定和体现。让我们进一步深入探讨。
红色：应变者
红色组织并非一成不变。它们通常具备强大而迅速的安全事件响应能力，注重应对威胁的能力。红色组织制定了有效的灾难恢复计划，能够迅速遏制威胁。
红色组织通常面临资源压力，例如预算紧张、团队规模较小，因此必须优先考虑速度与增长，而非全面的网络安全实践。这种类型常见于初创企业和小型企业，它们可能是供应链中的关键环节，也常见于利润率较低的行业。
这种应变者思维可能导致主动防御不足、预防方法发展不充分，并过度依赖被动措施。快速响应无法替代长期战略规划和投入。
如果贵组织属于红色类型，以下是您可能会认出的一些典型特征：
红色组织需要具备适应性和响应力的领导力。在这种情境下，拥有紧迫感并具备安全事件管理背景的首席信息安全官（CISO）通常会受到团队的认可。然而，安全事件刚刚发生之后，并不是深入思考长期战略的时机，不过具有战略眼光的首席信息安全官能够带来一种力量，有助于组织的长期韧性。
危机管理能力较强，因为这是经常被依赖的能力，也是衡量安全职能绩效的常用指标。
技术系统往往能够支撑或阻碍稳健的响应，因此危机管理团队通常会优先投入资源并对其加以重点关注。
在人员与文化方面，团队中的职业倦怠和英雄主义文化可能成为红色组织的败笔。韧性建设是一场马拉松，而非短跑冲刺，红色组织不能、也不应永远停留在救火模式之中。
黄色：加固者
黄色组织防御严密。它们通常投入大量资源建设稳健的预防措施，以期在事件发生之前加以阻止。黄色组织通常具备诸如强大的边界防御、分层安全架构和成熟完善的合规流程等特征。
这种做法可以带来强大的实力，但也可能导致僵化，从而牺牲灵活性。因此，黄色组织在调整内部流程和基础设施以应对新型威胁时，可能面临更多挑战，并伴随较高的维护成本。
黄色组织通常处于严格的监管环境和风险规避型情境之中，致力于加固防御，其驱动因素在于自身的特殊地位——要么持有高价值数据，要么对维护客户信任至关重要。这种类型常见于拥有传统技术和悠久历史的组织，例如金融机构、医疗服务提供者以及资金充足的政府机构。
如果您所在的组织属于黄色类型，以下是您可能会认出的一些典型特征：
黄色组织重视审慎且长期的战略性领导力。在这种情境下，任期多年且具备风险管理背景的首席信息安全官（CISO）通常会受到团队的认可。然而，具备动态做法和敏捷响应能力的首席信息安全官也能带来一种力量，有助于组织的长期韧性。
GRC（治理、风险管理与合规） 能力较强，因为它已深植于组织的基因之中，并且通常是衡量安全职能绩效的指标。
技术系统稳健且可审计，从而确保充分的合规性并增强信心。
业务流程是组织运作方式的历史基础，但僵化是常见的隐患。重新审视并现代化业务流程，可以确保它们在今天（以及未来）依然与设计之初一样契合其用途。
绿色：协作者
绿色组织彼此紧密相连。这类注重合作的组织专注于共享情报、加强伙伴关系，并将安全性纳入其供应链。绿色组织致力于建立伙伴关系与社群，其紧密的连接能够通过推动公私伙伴关系，提升整个生态系统的水平。
这种协作与互联的做法也带来了额外的风险暴露，这与生态系统的波动性以及对合作伙伴的依赖有关。在协调众多利益相关方时存在沟通挑战，而第三方组织也会带来其自身的风险组合。
绿色组织通常在互联的生态系统中运营，彼此共享依赖关系，并且基于紧张的预算，需要借助多方力量来增强防御能力。这类特征常见于对自然环境产生不成比例影响的全球性组织、拥有庞大供应链的组织（例如制造业），以及关键基础设施领域。
如果您所在的组织属于绿色类型，以下是您可能会认出的一些典型特征：
绿色组织重视可见的领导力，能够在组织内外建立社群。在这种情境下，拥有广泛人脉和公众影响力的首席信息安全官（CISO）通常会受到团队的认可。然而，内向型的首席信息安全官也可以通过加强内部组织联系，来提升组织的长期韧性。
生态系统管理是组织管理其风险暴露并从社群防御力量中获益的关键组成部分。
业务流程是与上下游组织共同合作制定的，以避免瓶颈和未知的依赖关系。
GRC至关重要，但往往资源投入不足。随着连通性和复杂性的增长，管理风险所需的资金和投入也应随之增加，而针对该领域的监管举措也正在加强。
蓝色：领航者
蓝色组织专注于创新，并为新兴威胁制定规划，因此这类组织通常率先投资先进技术，并专注于长期战略，从而改变整个生态系统应对韧性的方式。采用技术优先的方法，其对传统系统的依赖程度较低，而零信任则是不可妥协的要求。
这种开创性的做法可能在平衡创新与实际投资回报率方面带来挑战。采用未经检验的方法既可能开创新的范式，也可能以惨重的失败告终。
蓝色组织通常拥有雄厚的预算和专门的研发团队，其驱动力在于需要保持竞争优势，或因市场需求而在网络安全行业中保持领先地位。这种类型常见于科技或网络安全领域的大型组织，或拥有宝贵知识产权的创新型行业。
如果您所在的组织属于蓝色类型，以下是您可能会认出的一些典型特征：
蓝色组织重视创新、大胆的领导力。在动态环境中，能够从零开始、并希望在行业中引领发展的首席信息安全官（CISO）通常是较为契合的人选。然而，具备扎实基本功并采用经过验证的成熟方法的首席信息安全官，也能带来健康的挑战，并为组织的长期韧性提供助力。
人员与文化能力较强，因为如果没有合适的文化，技术基础将毫无价值——让人员、理念和正确的态度共同服务于该项举措至关重要。
蓝色组织认识到其在生态系统中具有不成比例的强大作用——它们能够树立范式并切实推动变革，使其在各项举措和公私伙伴关系中的贡献显得尤为宝贵。
危机管理维护着其强大的品牌声誉，但过度自信可能成为蓝色组织的致命弱点。对蓝色组织而言轻松处理的中小型事件，对大多数其他组织来说可能是足以决定职业生涯的重大事件——但这也意味着，当大型危机来临时，蓝色组织可能措手不及，而其潜在的连锁效应将影响广泛且具有全球性。
您的组织属于哪一类？
各组织的网络韧性历程各不相同。没有对错之分，只有不同的做法，以确保组织的主要目标和宗旨得以实现。每种类型都侧重于网络韧性罗盘的不同领域：技术系统、危机管理、人员与文化、业务流程、生态系统、领导力以及GRC。
网络韧性并非在于选择“正确”的模式，而在于确保组织的韧性与其运营环境相适应，从而指导战略、调整领导风格，并找出需要优先弥补的能力缺口。
全球性组织拥有不同的环境与行业背景，因此需要量身定制的行动方案。最具韧性的组织是动态且能够主动调适的，它们会随时间推移融合不同类型的优势，以维系信任、保障连续性并实现长期价值。若缺乏对不同类型的认识，可能会导致挫败感；例如，某种在红色组织中行之有效的做法，在黄色组织中可能会遇到困难或阻力。
了解组织的网络韧性类型，有助于消除在寻找与领导层文化契合度时的阻力，最终帮助组织招聘或适应合适的领导风格。这一认识也有助于指导战略，即了解组织过去在安全方面的投入情况及其原因，从而确定其应在哪些方面拓展并多元化其做法。了解组织的类型还能够识别潜在的摩擦点，即那些原本适当的网络韧性建设方法，与对立类型可能相互冲突或格格不入的领域。
无论处于何种情境，以下五项行动可助您将理论付诸实践：
评估贵组织当前的网络韧性类型。
使领导方式与组织类型相协调，并加以调整。
对网络韧性罗盘中对该类型至关重要的各个领域进行协调并排定优先次序。
持续实施与组织需求相契合的能力建设计划。
通过培训和意识提升计划，培育与网络韧性类型相一致的文化。
