网络风险评估：第四次工业革命中企业的“疫苗”

技术持续在塑造个人、政府和企业所面临的全球风险格局中发挥关键作用。根据世界经济论坛《2020年全球风险报告》，网络攻击被列为未来10年全球企业最为担忧的第二大风险。关键基础设施遭受的网络攻击——在2020年被专家网络评为第五大风险——已在能源、医疗保健和交通运输等行业成为新常态。这印证了往年记录的一种模式：在该报告的全球风险图谱中，网络风险与环境风险一道，稳固地占据了高影响、高可能性象限。

网络攻击面（即所有信息系统及互联网暴露面的总和）正在快速扩大。与此同时，本质上无国界的网络犯罪正在全球各地对受害者造成影响，而执法机构的权力往往受制于司法管辖范围，且依法跨境索取信息的程序存在局限。此外，网络犯罪即服务正成为一种日益增长的商业模式，因为暗网工具日益精良，使恶意服务更加廉价，且任何人都更容易获取。

在此背景下，网络风险评估对任何机构的风险管理战略都至关重要。网络风险评估能够提供对机构网络安全态势的知情概览，并为与网络安全相关的决策提供数据支持。经过良好管理的评估流程可避免代价高昂的时间、精力和资源浪费，并促成知情决策。

许多司法管辖区的法律文件，包括欧盟《通用数据保护条例》（GDPR）以及英国2018年《数据保护法》（DP A），都要求开展风险评估。任何拥有数字足迹的机构都应了解自身的网络应对能力，以确保管理层不会低估或忽视可能造成重大损害的风险。

聚焦网络安全

然而，如今网络安全意识普遍不足，投资者和企业管理层在评估自身或其投资组合公司的网络安全应对能力方面，尚无统一标准。以网络专业知识和意识为基础的网络安全导向文化，对于在投资过程中将网络安全置于优先位置至关重要。

将网络安全风险评估纳入投资和决策流程仍是一种较为新颖的做法。世界经济论坛与投资行业的领导者及网络安全专家共同制定了网络安全方面引导投资者责任的应尽责任标准。该标准以投资者需求为导向，采用原则性框架，旨在推动行为改变，而非仅仅规定具体应采取的行动。

大多数企业正在向数字化转型，或已身处数字领域。Image: 世界经济论坛

根据一份世界经济论坛报告，充分的网络安全专业知识是落实网络应尽责任原则的基础和关键。投资者应确保其自身及其投资组合公司能够获得所需的网络安全专业知识，无论是通过内部团队还是外部专家。投资者对网络安全的关注应远超监管合规和法律义务的范围，并应包括关于不断演变的网络风险的定期情况通报。

专业知识应不断更新，以确保持续跟进网络安全的最新发展。总体而言，鉴于大多数企业、投资对象及其关键资产正在向数字化转型或已身处数字领域，敦促投资者培育网络安全意识文化。

应遵循的原则：

纳入网络风险容忍度：投资者应将网络风险容忍度纳入其投资组合风险方法，与其所监测的其他类型风险（如财务风险和管理风险）一样对待。该网络风险容忍度阈值体现了投资者的风险偏好，并在作出投资决策时作为参考。

开展网络尽职调查：投资者在尽职调查评估中，从人员、流程和技术三个维度，对目标公司开展与业务相关的网络安全评估，并权衡潜在网络风险与投资的估值及战略收益。

确定适当的激励结构：在投资谈判的早期阶段，投资者应在投资授权书和条款清单中，明确界定投资组合公司持续的网络安全期望、基准和激励措施。

安全整合与发展：投资者应制定并执行系统性行动计划，根据投资性质安全地整合投资标的。这些行动计划涵盖人员、流程和技术的安全整合，并明确投资者将提供何种支持以提升标的的网络安全能力。整合的程度可能因投资者类型（财务型与战略型）及投资动机而有所不同。

定期审查并鼓励协作：投资者应定期审查其投资组合公司的网络安全能力。此类审查应评估其是否符合投资者设定的网络安全要求，并作为在投资者整个投资组合中分享网络安全挑战、最佳实践和经验教训的基础。

投资创新是降低意外冲击可能性、发现“蓝海”（与高潜在利润相关的市场）并助力实现预期回报的途径之一。创业者推动创新与试验，而投资者则在帮助其发展、优化和壮大业务方面发挥重要作用。帮助创业者优先重视网络安全，是投资者提高长期成功可能性以及产品市场韧性的重要途径之一，从而有助于提升品牌声誉和消费者信任。

在投资科技公司时，投资者需要考虑网络风险暴露的程度，以了解如何管理和缓解该风险。投资者在引导其投资组合公司更加重视并落实安全措施方面发挥着关键作用。

网络专业知识不仅包括技术诀窍，还包括在治理和投资中的网络安全意识。这些原则和网络安全尽职调查评估框架专为希望将网络安全纳入投资考量和决策标准的投资者而设计。优先考虑网络安全的主要障碍之一是市场上缺乏网络专业知识。然而，任何认识到网络安全在我们这个技术时代重要性的投资者，都可以提出正确的问题，以评估和了解目标的网络安全应对能力，从而在保障我们共同的数字未来方面发挥重要作用。