• 企业与政府正日益使彼此面临越来越多的网络风险。
• 目前汇集网络安全资源的努力范围有限。
• 共享威胁情报是描绘清晰网络威胁全貌的第一步。
网络管理公司SolarWinds近期遭黑客入侵，致使恶意行为者得以攻陷多个美国政府机构和大型企业，这揭示了一个令人担忧的事实：企业与政府因相互关联并依赖同一供应商软件网络，而彼此面临重大网络风险。因此，战略应对必须加强深度协作。简言之，网络攻击威胁对政府或企业而言都过于艰巨，单凭任何一方都无法独自应对。
网络安全投诉去年疫情期间，向美国联邦调查局提交的网络安全投诉数量增加了两倍多，同时受害者支付的平均赎金勒索软件在2021年第一季度环比上涨43%。针对软件供应链的攻击呈指数级增长，而迅速发展的物联网（IoT）和5G无线技术也提供了更多可供利用的漏洞。
政府凭借执法和情报能力，对潜在威胁有广泛的了解，但其往往从国家安全的角度看待问题，而非商业风险。企业掌握特定公司和行业的风险信息，且通常更容易获得网络安全人才，但它们难以从全经济层面进行通盘考量，并可能发现自己难以应对由国家支持的攻击者。
所需要的是双方汇集资源，以实施更加协调一致的防御。其中部分工作已在进行。美国网络安全和基础设施安全局（CISA）、美国卫生与公众服务部以及联邦调查局于2020年10月警告称，“恶意网络行为者”正以医疗保健和公共卫生机构为目标，意图索要勒索软件赎金并扰乱医疗服务。然而，此类努力往往属于个别情况，且为时已晚。双方都需要加强协作，并使其更具前瞻性。
高级官员认识到仍需做出更多努力。联邦调查局局长克里斯托弗·雷（Christopher Wray）近期呼吁政府与私营部门联手，有组织地打击网络犯罪分子，而不是仅仅应对每一次单独攻击。曾任美国国家安全局高级官员的克里斯·英格利斯（Chris Inglis）获拜登总统提名，拟出任该国首位国家网络主管，他可能会将公私合作作为国家网络战略的关键要素。
以下是政府与企业在网络安全战役中携手合作的四种方式：
1. 共享威胁情报
政府与企业拥有不同的信息、见解和情报来源。及时汇集这些资源，将有助于更清晰、更及时地呈现网络威胁全貌。部分信息交流已在进行。英国国家网络安全中心与行业合作运营一个网络安全信息共享伙伴关系，而CISA则与美国关键基础设施运营商建立了类似的伙伴关系。欧盟执法机构欧洲刑警组织（Europol）更进一步，创建了一个网站，公共和私营实体可在该网站上共享解密工具，以便在不向犯罪分子付款的情况下，从勒索软件攻击中恢复数据。
此类举措颇具价值，但信息共享的一致性和及时性仍有不足。企业高管常常认为，他们会按需提供数据，但政府方面却未予以同等回应。情报机构也常因担心向企业披露大量潜在风险或泄露情报手段机密，而不愿透露潜在威胁。此外，部分企业可能担心，披露网络相关事件可能使其内部控制或网络风险管理面临不受欢迎的审查、繁重的监管或处罚。
双方均可建立信任，深化合作。近期宣布的全国网络安全中心与谷歌开展的合作，为美国州立法机构议员及其工作人员提供网络培训，这正是我们需要看到更多的举措类型。
2. 使网络教育与市场需求相匹配
全球各地的政府、企业及其他机构都面临网络安全专业人才短缺的问题，估计缺口超过300万人，几乎与目前估计约350万名从业人员的规模相当。可以说，这里存在可调动的劳动力资源。挑战有两方面：一是吸引更多人转行从事网络安全工作，二是确保课程设置能使学生和受训人员跟上快速变化的威胁。
美国政府的国家网络安全教育计划近期修订了其人才培养框架，以使学校能够提供更具相关性的教学，并让企业确信毕业生具备必要的能力。英国国家网络安全中心则设立了CyberFirst计划，提供从大学经济资助、学徒计划到暑期项目等各类服务，以吸引年轻人投身该领域。
网络安全人才联盟由主要金融机构、纽约城市大学（CUNY）以及劳动力发展专业机构iQ4共同发起，目前拥有来自产业界、学术界和政府的2700多名成员，并计划到2022年为1万多名美国学生提供实习机会。纽约市经济发展公司已与当地企业和高校合作，开设网络安全学位课程，并设立加速器，以助力该领域初创企业的成长。然而，仍需要更多此类努力，以弥补网络人才缺口。
3. 提升事件响应能力
即使是最好的网络防御也可能被攻破。因此，高效的机构会预先制定周密的应对计划，以应对攻击者。
多个国家设有论坛，供政府与企业在应对网络攻击时开展协作。在美国，CISA的国家网络事件响应计划将网络防御定义为个人、私营部门和政府的“共同责任”，明确了各政府部门在应对攻击中将承担的角色，并承诺联邦官员将保护企业的隐私和知识产权。英国国家网络安全中心是情报机构政府通信总部（GCHQ）的一个分支，它协调类似的应对措施，并明确了将与哪些私营部门网络安全专家合作。
此类计划应包括真实的培训演练，而不仅仅是角色扮演式讨论。金融行业在此提供了一个良好范例。证券业和金融市场协会自2011年起便开展网络安全演练。最近一次Quantum Dawn V演练于2019年11月举行，汇集了19个国家的150多家金融机构和50个监管机构，共同演练应对针对具有系统重要性的机构及金融市场基础设施的模拟勒索软件攻击。主要收获包括：行业应建立关键参与者和人员名录，并加强企业、行业协会及中央银行等监管机构之间的跨境信息共享。
此类演练仍需更多开展。威胁因素因商业领域而异，政府越能了解何者重要以及对谁重要，官员就越能做好准备，从而收集有价值的威胁情报。
4. 从设计阶段构建安全性
人为失误（例如点击钓鱼攻击并下载恶意软件）是95%成功网络攻击的诱因。我们无法消除这种脆弱性，但应能通过在技术设备设计之初就构建更完善的安全性来降低这一风险——而许多科技企业在争相推出新产品和服务时，往往忽视或无视这一点。
澳大利亚eSafety专员是全球首个致力于提升公众对网络风险的认知并开展相关教育的政府机构。2019年，该机构召集了行业、政府、消费者权益倡导者和非营利组织的代表，就提升在线服务固有安全性的一套原则达成一致。其中最重要的理念是，安全不应仅由消费者承担，企业应在向公众发布服务前，为所有用户降低风险因素。去年12月，美国通过立法，要求政府为物联网设备的安全性制定更高标准。
其他国家应效仿这些做法。最终目标是建立一种相当于英国标准协会（British Standards Institution）的Kitemark标志的网络安全认证，即表明从电器到移动设备等各类产品均符合安全标准。
世界经济论坛在网络安全领域开展了哪些工作
网络安全中心提供了一个值得信赖的平台，让各方领导者齐聚一堂，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨部门合作与洞察共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
随着技术在社会中的作用日益增强，网络安全将成为越来越严峻的挑战。政府与私营部门在共同应对这一威胁方面，具有共同的利益和责任。
