72%的网络安全领域领导者表示风险正在上升。各国政府和企业如何应对？

• 72%的企业认为网络安全风险正在上升。

• 近半数受访者将生成式人工智能的恶意使用列为首要网络安全关切。

• 最新研究评估了全球网络强国的政策方针，但成功没有放之四海而皆准的路径。

随着全球对数字基础设施的依赖日益加深，世界网络安全正承受前所未有的压力。现代网络攻击的规模、复杂程度和战略意图持续升级。近期威胁行为者“盐台风”渗透美国关键基础设施，以及网络犯罪组织拉撒路集团窃取价值15亿美元的加密货币，便是例证。

在地缘政治动荡的时代，我们看到网络攻击越来越多地被用作政策杠杆，同时攻击手法也在不断演变，例如“就地取材”型恶意软件。

因此，许多国家正在重新调整网络安全方针。世界经济论坛的《2025年全球网络安全展望》（GCO）显示，近60%的组织表示，地缘政治紧张局势已直接影响其网络安全战略。

令人震惊的是，72%的受访者在《全球网络安全展望》调查中报告称，组织面临的网络风险有所增加，勒索软件仍是首要关切之一。此外，近半数全球组织如今将生成式人工智能的恶意使用列为首要网络安全关切，超过40%的组织在过去一年已遭遇成功的社会工程攻击。

如今，三分之一的首席执行官将网络间谍活动和知识产权盗窃列为首要关切，45%的网络安全领域领导者则担心运营中断。这些关切不再只是理论上的问题，而是已纳入政府和行业最高层的战略规划。

为更好地了解各国如何应对这些压力，哈佛大学贝尔弗科学与国际事务中心近期制定了《网络安全战略评分卡》。该评分卡分析了七个主要网络强国——澳大利亚、德国、日本、新加坡、韩国、英国和美国——的国家网络安全战略，以确定可为全球标准提供借鉴的最有效、最具创新性的政策方针。

研究表明，国家网络安全战略没有放之四海而皆准的蓝图。最成功的方针会根据各国面临的威胁、资源限制以及社会和政治动态的独特组合量身制定。

网络安全的坚实支柱

尽管如此，一些技术最佳实践普遍适用。有效的战略通常建立在五大基础支柱之上：（1）保护基础设施和民众；（2）发展网络能力，包括人才队伍和研发；（3）建立公私部门及国际伙伴关系；（4）明确问责和执法机制；（5）制定适应性政策流程，确保充分沟通并定期更新。

多数国家都展现出强烈意愿，致力于培养技术人才、投资技能提升计划并拓展教育人才培养渠道，以应对日益严重的网络人才短缺问题。各国也普遍重视保护关键基础设施、建立国际伙伴关系、加强机构间协调并推动高效的公私合作，例如英国的 i100 计划和美国的 JCDC 计划，为行业专业人士授予安全许可。

网络风险日益增加。以下是应对这些风险的四种创新方法。

02:12

最常见的不足包括严重忽视如何保护中小企业（SME）和弱势群体。尽管面临日益增长的威胁，这些群体仍未得到充分保护。同样，尽管网络安全日益成为跨学科领域，很少有战略实质性投资于非技术类网络安全岗位，例如网络法律师、政策制定者和合规专业人士。数据隐私和问责方面的监管方针差异很大，尤其是在美国。或许最关键的是，很少有战略纳入有力的问责机制、可衡量的成果或风险量化措施。若缺乏更好的激励措施和更明确的执法架构，这些战略可能沦为空泛的愿景，而非可实现的目标。

自然，健全的战略态势并不总能转化为强大的现实能力。尽管多数国家战略强调加强网络人才队伍的重要性，并列出切实可行的政策行动，但 GCO 发现网络技能缺口进一步扩大，自2024年以来扩大了8%。如今，三分之二的组织报告称人才短缺程度达到中度至严重，其中包括缺少满足核心安全需求所必需的技能。令人担忧的是，只有14%的组织确信目前拥有所需的人才和能力。

在某些方面，战略态势与现实中的不足更为吻合。GCO 数据证实，前述中小企业和弱势群体面临的网络安全不平等是一个日益严重的问题：如今，35%的小型组织认为自身网络韧性不足，这一比例较2022年增加了七倍。相比之下，报告网络韧性不足的大型组织比例几乎减半。

激励私营部门加强网络安全

尽管各方普遍认识到私营部门是国家网络韧性的基石，多数政府仍缺乏有力且着眼长远的战略，来引导并激励私营部门采取安全实践。监管仍是一项重要驱动力：根据 GCO，78%的首席信息安全官和87%的首席执行官表示，出台新的网络安全相关法规，主要是出于提升安全水平和降低风险的需要。首席信息安全官还强调，监管有助于降低系统性风险并增强客户信任。

然而，三分之二的组织表示，日益碎片化的全球合规环境带来了成本高昂的复杂性。许多战略都提及网络安全相关补贴；政府不应只依赖资金援助，还应帮助各方更好地理解网络安全解决方案的投资回报，包括更有力地量化网络风险、强化问责并推广最佳实践。日本、德国和新加坡等国为经过审查的中小企业解决方案提供补贴，澳大利亚则减轻监管负担。

与此同时，美国网络安全学徒计划和“安全设计”提案（将不安全产品的责任转移给生产者）等举措，试图通过激励措施培育健康、长久的网络安全文化和人才队伍。归根结底，网络安全不应被视为合规要求，而应被视为能够建立信任、保护创新并提升市场竞争力的业务助力。要实现这一点，我们必须制定明确且可量化的激励措施，让企业领导者了解其网络安全投资如何以及为何能带来净财务收益。

网络威胁正以惊人的速度演变，勒索软件、国家支持的入侵活动和人工智能驱动的攻击，如今对国家安全、经济稳定和公众信任构成严重风险。与此同时，新兴技术正在扩大攻击面：人工智能使攻击者能够实现鱼叉式网络钓鱼自动化，生成逼真的深度伪造内容，并大规模发现软件漏洞；量子计算的进步则可能破解现有加密标准。

监管机构已开始采取行动，例如欧盟《网络韧性法案》为数字产品设定了基本安全要求。但被动制定政策的窗口正在关闭。各国政府必须紧急更新网络安全战略，投资建设可衡量且适应性强的防御体系，并制定切实可行、可衡量的政策。若做得不够，在网络攻击势必增多的时代，关键系统可能暴露于风险之中。