一份新报告称，网络安全市场已经失灵。
报告认为，由于质量难以评估，质量更好的产品正被逐出市场。
以下是修复该市场、保护消费者和企业的三种方法。
全球范围内，各方在抵御数字攻击方面的投入正在增加。全球网络安全集体支出预计将增长至到2030年每年4336亿美元。2020年，正值全球疫情高峰，企业领导者将网络攻击风险列为其组织面临的第三大风险。这推动了大规模投资：网络安全初创企业每年获得的投资接近90亿美元。
然而，投资的增加并未转化为风险的降低。攻击事件持续增多，政策制定者、行业领袖和安全社区开始追问其中原因。
越来越多的人开始认为，问题不在于技术，而在于经济学。早在2009年，美国众议院国土安全委员会便敦促奥巴马政府介入其所认为的以市场为主导的做法，该做法在保护美国资产方面“不足”，并呼吁实施严格监管。
近期，报告由Debate Security发布，并汇集了世界经济论坛网络安全社区的意见。该报告基于诺贝尔奖得主经济学家George Akerlov于20世纪70年代提出的基础性研究发现，宣称网络安全市场已经失灵，成为一个“柠檬市场”。Akerlov的研究以二手车行业为基础，解释了为何你的全新汽车一开出展厅便会贬值30%。
该理论认为，买家无法分辨“桃子”与“柠檬”，因此会按两者的平均价格付款。这最终将导致质量更好的产品被逐出市场。
市场中的问题
有效的网络安全战略在于在攻防平衡中保持优势。许多组织任命首席信息安全官（CISO）负责实现这一平衡，并确保在以下四个关键领域进行投资：
战略：明确保护什么以及如何保护；
流程：建立最有效的安全程序；
人员：聘用合适的人才，并确保终端用户了解相关风险；
技术：部署合适的硬件和软件，以实现上述所有目标。
报告指出，在“技术”领域，CISO面临一个根本性问题，即“信息不对称”。面对持续不断的挑战，包括跟进最新攻击、在复杂的企业环境中部署安全措施、董事会对合规驱动框架的依赖，以及大量新的供应商解决方案，CISO往往负担过重，缺乏做出最佳决策所需的工具或资源。关键信息掌握在供应商手中，而非买家手中。
对供应商而言，市场也呈现出碎片化且日益拥挤的态势。每年都有数百家新公司成立，因此许多人认为网络安全是一个泡沫。面对这种竞争环境，许多企业被迫过快地为过于宽泛的客户群体推出解决方案，随后又不得不在部署后将其方案定制为专属产品，采用最小可行产品方法。
三种解决之道
失灵的市场是可以修复的。政府可以通过监管、税收和补贴等工具进行干预。
美国通过一系列“柠檬法”解决了Akerlov所描述的二手车问题。这些法律通过向买家提供保修、消费者保护，以及关于车辆里程数和历史的清晰信息，解决了信息不对称问题。其他市场则以不同方式作出回应，例如品牌忠诚计划、消费者奖项或在线评论网站。
以下是安全社区可以修复其失灵市场的三种方法：
1. 开展独立评估。
为安全产品和服务建立独立验证机制是解决该问题的途径之一，但实施起来困难重重。评估必须跟上技术发展的步伐；鉴于供应商参与的动力不足，政府监管或成立行业协会是必要的。即便如此，这类措施对于本已在安全资源配置上捉襟见肘的中小企业而言，可能仍难以企及，因此需要进一步的政府保护和针对特定行业的监管。
世界经济论坛在网络安全领域的工作
网络安全中心为各方领导者提供了一个可信赖的平台，使其齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察共享，该中心帮助合作伙伴增强网络韧性，并应对需要集体应对的挑战。
2. 确保公司治理。
许多董事会虽然意识到网络安全风险，却仍认为这是一个深奥的专业领域。这一观念必须改变。由于他们认为这一问题过于技术化，直接责任往往被过多地委托给负担已重的安全团队、大型咨询公司、合规要求或行业支出基准比较。企业领导者需要更好的工具、指导，并最终承担问责，才能像管理其他企业风险一样有效地应对和管理网络安全。
3. 提供法律保护并转移责任。
要推动这一以企业对企业为主的市场发生重大变革，可能需要更为根本性的干预措施。真正的改变或许只能来自更好的正向激励，重点在于保护性利益，例如责任保护、保险、保修，以及产品失效时的法律保护。这一点也未必容易实现，有人表示网络保险本身已经是距离灾难仅一步之遥的一种索赔。
网络安全是一个复杂的问题，而该市场仍相对不成熟。认识到问题的存在是第一步。网络安全生态系统将成为第四次工业革命中最重要的生态系统之一，现在是时候确定市场本身能否推动世界所需的应对措施，以确保数字系统的完整性。
