勒索软件与‘勒索战’：为何我们都需要为网络攻击做好准备——《达沃斯电台》节目

• 大多数首席执行官认为他们已经做好了网络安全防护，但许多直接负责网络安全的人员对此却不太确定。

• 世界经济论坛的众多引人注目的发现之一，见于《全球网络安全展望》。

• 本期播客邀请了埃森哲的网络安全专家。

• 此外，论坛网络安全中心负责人解释了为何勒索软件通常可被视为‘勒索战’。

• 订阅《达沃斯电台》。

网络犯罪分子正迎来黄金时期，他们试图通过劫持计算机数据并索要赎金来轻松牟利。随着疫情期间在线办公激增，网络犯罪也随之增加——勒索软件攻击量增长了151%（2021年）。世界经济论坛的《全球网络安全展望》报告发现，当年平均每个组织遭遇270次网络攻击，且每次成功的网络入侵会给企业造成360万美元的损失。

在本期播客中，我们采访了埃森哲安全、战略与咨询业务主管兼高级董事总经理Jim Guinn，埃森哲去年曾遭遇一起广为报道的勒索软件攻击；同时采访了世界经济论坛网络安全战略负责人Algirde Pipikaite。

关于勒索软件为何通常可被视为‘勒索战’的问题，我们采访了世界经济论坛网络安全中心负责人Alex Klimburg。

阅读论坛的《全球网络安全展望》2022年版。

以下为本期《达沃斯电台》节目访谈的文字记录：

‘勒索战’

Alex Klimburg，世界经济论坛网络安全中心负责人：勒索软件是网络空间中正在兴起的政治武器之一。事实上，我在自己的出版物中，曾将具有政治动机的勒索软件攻击称为‘勒索战’。在过去几年里，它无疑已成为网络冲突中的首选武器。

勒索软件攻击已成为全球格局的一部分已有一段时间，但我们可以追溯到2015年、2016年左右，当时一组网络行为体（犯罪黑客，但很可能是情报机构）为自己获取了一款NSA网络武器，名为EternalBlue。所以，EternalBlue是一个大规模的Windows漏洞利用程序，即Windows操作系统中一个极难修补、当时尚属未知的安全漏洞。因此，基本上任何掌握该漏洞的人都能访问任何Windows计算机。

据称，这一由美国情报机构维护的工具被这一黑客群体窃取并公之于网络。2016年美国大选前后，人们怀疑这实际上是俄罗斯军事情报机构所为，其意图不仅是让美国情报机构难堪，还试图通过制造更多网络犯罪活动来引发更多问题——网络犯罪活动越多，网络防御人员就越忙碌，应对网络犯罪活动的难度也就越大，进而也越难应对网络战和网络情报活动。因此，基本上，对某些行为体而言，提升网络犯罪水平有时是一种双赢的做法。

于是他们公布了这一名为EternalBlue的漏洞，并问道：嘿，有人想接手这个吗？有人想用它吗？几年来，竟然无人采用，这多少有些离奇。

随后，2017年，与朝鲜有关联的行为体发布了一款名为WannaCry的软件。WannaCry是一种破坏性极强的勒索软件攻击，例如袭击了英国国家医疗服务体系，其影响之大，致使一度有四分之一的医院处于离线状态。将其放在具体背景下看，毫无疑问，许多人因此次攻击而死亡。这显然是一次试图对EternalBlue漏洞进行实战检验的行动，同时也试图让其他行为体看到勒索软件的吸引力，因为基本上，你可以付费使数据被解密、恢复并归还给你。在WannaCry事件中，数据并未被销毁。

理论上，你可以付钱取回数据，或至少让系统重新运行。然而事实证明，对于一些个人请求取回数据的要求，黑客并不太予理会。因此，这显然更像是一场政治攻击。攻击者更关心的是造成破坏，而非牟利。

那次攻击过去了，虽然相当严重。但随后发生的事情更糟，仅仅六个月后，那就是NotPetya。NotPetya现已被视为迄今破坏性最强的网络攻击，它源自乌克兰。看起来，俄罗斯情报机构或网络行动人员蓄意感染了一家乌克兰商业软件公司，而该公司与全球多家外部企业存在关联，其中包括联邦快递（FedEx）和马士基（Maersk）等企业。

这种勒索软件传播速度极快，仅用两天时间，就严重扰乱了马士基、联邦快递等数十家其他企业的运营。目前据估计，总损失已超过20亿美元，这是一个相当惊人的数字。仅马士基在该时段的损失就达3亿，这是有记录在案以来最高的网络损失之一。

关于这起攻击，有一点值得注意：尽管从理论上讲它是一起犯罪攻击，并声称只要支付少量赎金就能取回数据，但实际上根本无法付款。没有人回复过邮件，也从未有任何数据被解密，所以这是一起虚假的勒索软件攻击。这是一场‘勒索战’式攻击，其主要意图是造成破坏和政治扰乱。

所以，乌克兰一直与新型网络武器的实地测试相关联。勒索战式攻击最早是在乌克兰进行测试的，而我们当下在国际上看到的许多活动，有时被认为确实是由真正的网络犯罪分子所为，他们只对金钱感兴趣。但有时，背后可能是具有政治动机的行为体，他们更多地试图制造混乱。我们从2017年学到的教训是，这是一种极其有效的武器，既能造成政治不稳定，也能全面加剧紧张局势。因此，如果你想大规模制造混乱，它基本上是一种非常高效的工具。

Robin Pomeroy：自入侵乌克兰以来，我们现在是否看到这一情况在增加？

Alex Klimburg：我们看到的是，勒索软件的活跃程度非常高，而且在入侵发生之前就已经很活跃了。入侵预警基本上在去年10月就已经出现，从那时起，我们确实看到勒索软件攻击增加，尤其是在欧洲。欧洲在相当长一段时间内落后于北美，这进一步表明，大多数勒索软件攻击实际上是出于政治动机而非犯罪目的。因为欧洲本可以像大多数美国企业一样成为同样诱人的目标，但出于政治原因，美国才是首要目标，而现在攻击重点开始转移，越来越多的欧洲企业遭到攻击。

例如，我们看到德国的燃料零售行业以及鹿特丹的一座大型炼油厂遭受了相当严重的攻击。此外，还有许多其他攻击被报道，例如也发生在运输企业等类似领域。有时这些攻击会提供付款选项，但该付款选项要么是虚假的，耗时之久以致实际上毫无用处；要么是需要恢复的加密数据量过于庞大，以致基本上毫无意义，数据实际上已被销毁。

如今，网络武器的首选是勒索软件，而且它往往具有政治性，因此实际上就是‘勒索战’。尽管政治行为体与网络犯罪分子之间的界限被刻意模糊了。

企业领导者是否对网络风险过于自信？

Algirde Pipikaite，世界经济论坛网络安全战略负责人：事实上，我很想说，你刚才提到的这些统计数据让我感到意外，但遗憾的是，我认为这对网络安全界来说并不令人意外。我认为，我们让很多首席执行官和董事会成员感到意外，他们对自身的韧性以及应对事件的能力更加有信心，即便事件真的发生。Jim，你对此有何看法？

Jim Guinn，埃森哲安全、战略与咨询业务主管、高级董事总经理：你说到了点子上。在我多年来参与帮助保护关键基础设施组织的工作中，我们一直看到同样的趋势。这一趋势是，人们相信我们面临着一个叫做网络安全的问题，我们理解它，并且可以从高管层面征服它。但是，一旦深入到那些每天都要亲身应对这一问题的组织成员之中，他们对阻止攻击的能力就没那么有信心了，因为他们知道威胁在不断演变，形势也在不断变化。

因此，当你在宏观层面、高层次上做董事会汇报或更新时，你会说：‘我们目前的状况是这样，我们已经采取了这些措施来增强网络韧性，而这是我们将继续走下去的路径。’但三周后情况可能已经改变，报告也已经发布，高管们看过之后会想：天哪，我非常有信心我们已经掌控了局面。然而，气候或环境可能发生变化，或者两个东欧国家之间出现紧张局势，从而提升所有国家的风险等级。因此，网络空间中的事情变化极快，高级管理人员对某一网络安全态势感到非常安心，与真正拥有强大且具有韧性的能力，二者未必总是相关。它们会在不同时期起起落落，这是我们当今所处世界中一个令人遗憾的现实。

Algirde Pipikaite：你是否认为，正是因为我们如此紧密地相互连接，这一现实才降临到我们头上？新冠疫情在其中是否起了作用？或者你是否预计，随着疫情（结束）的曙光到来，网络安全状况有望改善？你对此有何看法？

Jim Guinn：把时钟拨回到2019年前后。2019年，大量网络事件持续不断地发生。我们甚至可以追溯得更远，无论是震网病毒（Stuxnet）、WannaCry、Wannacrypto，还是任何数量的重大全球性网络事件。当世界不得不从我们2019年前后的工作方式，转向我们今天的工作方式——即在家庭网络和移动设备上高度互联，在可能不安全的网络上与企业资产通信——我们确实看到网络活动增加，原因仅仅在于这种连接性。

我本人赞同这样一种观点：我们将再也不会回到2019年前后的工作方式和做事方式。远程办公或持续的远程办公将不断演变，而用最简单的话来说，这将增加可寻址IP资产的数量。如果你拥有一个可寻址IP的资产，也就是说，有人在使用某样东西，连接到某样东西并履行其工作职责，那么，如果你增加附件或连接的数量，你就扩大了攻击面。而一旦攻击面扩大，就会给恶意行为体提供更好的机会，使其得以设法进入。如果你转向元宇宙或其他类似事物、负责任的人工智能和5G，以及那些真正将加速技术更广泛普及的东西，我认为这一问题只会变得更糟，不会变得更容易或更好。我认为它会持续演变，我们只需在组织当前采用的网络安全措施上保持高度警惕。

Algirde Pipikaite：让我就人工智能、区块链、5G，以及我们正在引入的新技术和新现实（如增强现实和元宇宙）再追问一下。结合我们所看到的勒索软件攻击情况——2021年的增幅至少为150%，甚至更高——而加密货币正被大规模用于支付及支付追踪。我的问题是：你是否仍认为，我们会遭受非常基础的攻击所带来的勒索软件威胁？或者你是否预计，我们将使用的新技术的引入或多种技术的组合，会带来真正复杂的攻击？

Jim Guinn：我认为两者兼而有之，而历史已证明将会两者都存在。我们常见的一个情况（并非总是，但却是一个常见主题）是，各种设备上没有启用多因素身份验证等简单措施。因此，某人可以通过其他手段获取凭证后进入。

在我们把基础工作做好之前——例如在整个企业范围内实施多因素身份验证，我指的是从运营技术资产到企业IT资产，从我们的移动设备到所有终端，所有这些——在此之前，你仍会看到能力较弱的行为体闯入并造成危害，即那些试图快速牟利的网络团伙。

第二点是，恕我尊重所有国家，如果任何资金雄厚、网络能力确实很强的民族国家，想要通过民族国家行为体或其附属机构造成危害，你是无法阻止他们的。这只是时间问题。

近期出现了一些跨国的‘零日’攻击，即事先无人知晓其来袭。民族国家附属机构和/或直接的民族国家行为体已引发了一些真正的动荡。这几乎是不可能阻止的。如果有人想要闯入，而他们由民族国家或其附属机构资助，那么要阻止他们将是不可能的。这只是时间问题。

因此，我认为两类情况都会出现。我认为，能力远不及的团伙会试图通过收集凭证而快速牟利并闯入，而同时，也会有非常高端的民族国家行为体，希望在全球范围内制造混乱。

Robin Pomeroy：这相当可怕。因此，在第一类情况中，你必须堵住所有漏洞，在某种程度上就像堵住一条漏水的船。如果你堵住这些漏洞，也就是进入这些网络的途径，那么你应该就能阻止网络犯罪的勒索软件团伙。但你所说的另一类情况，即这些国家行为体，据我这个业余爱好者所知，这种情况已经持续了十多年。你说阻止他们是不可能的。那么，我们该如何阻止一个卫生服务机构陷入停顿，或者一个国家的能源电网被切断？难道你必须在事后才去应对吗？情况是这样的吗？

Jim Guinn：是的。我将沿用你的比喻，因为它非常贴切，而且经常被使用。有一位伟大的哲学家曾经说过：‘船一旦被造出来，沉船也就随之被造出来了。’这意味着，一旦你造了船并驾驶它航行，它就会沉没，总会有一艘在某个时刻沉没，这是一场悲剧。我职业生涯的早期曾在海上和船只上工作，你首先学会的事情就是在紧急情况下如何弃船。这意味着你需要有安全计划和保障计划，并且知道在哪里集合，每个人都清楚自己的职责。

我们总是努力避免沉船，即网络沉船。然而，如果它确实发生了，问题不在于它是否发生，而在于韧性，以及你能多快地隔离、遏制、恢复并以非常有序的方式作出响应。如果你用你比喻中的那艘船来想象，假如船上真的发生了重大灾难，而每个人都惊慌失措，那将是非常悲惨的。因此，关键在于规划，在于执行，在于行动审慎，以便当它发生在你所在的组织中，无论以何种形式出现时，你都已拥有一份经过充分检验、切实可行的计划，从而能够提升韧性，迅速从中恢复。

我们都会生病。我们会得流感，会感冒，或者，天哪，我们会得新冠，但我们终究都会生病。然而，只要我们有正确的计划，就都应该能够康复。如果我们拥有正确的医药能力，我们都能好起来。网络安全也是如此，它必然会发生。因此，让我们来谈谈如何以合乎逻辑且有条理的方式从中恢复，以便将来将对组织、客户或供应商的影响降至最低。

Algirde Pipikaite：Robin在节目开始时提到，企业或组织平均需要约280天才能识别某一事件并开始响应。这意味着，如果有人在1月1日遭到入侵，他们可能要到10月中旬左右才会得知这一入侵。

如果韧性是我们的座右铭，那么我们究竟如何预防？而且，你又该如何应对一个可能潜伏在我们网络中长达280天的攻击者？这段时间里，他们在九到十个月内进行的侦察，以及他们识别你的敏感数据、漏洞、访问管理等一切信息的方式，以及在你的网络中穿行的手段，都十分惊人。那么，你是否仍然认为这是一场可以获胜的战斗？还是说，更像是我们一旦发现了它，才会设法防止此类情况发生？

防范网络攻击的措施

Jim Guinn：这可能是一些组织的策略：‘一旦我们发现它，我们就设法阻止它’。但即使根据我们自身的经验，我们也未必建议采取这种做法。

关键在于备战，关键在于提前规划。因为你越能接近影响，也就是第一天，即渗透发生，或者有人已经闯入，某个恶意行为体已经进入。此时的重点在于，把时间从数百天往回拨，缩短到寥寥数天，从而减少影响。

我们可以做的事情有很多。我很乐意与收听本播客的任何人（或更广泛的受众）分享一份优秀的参考架构。有一些非常简单的理念，尽管执行起来十分困难。如果你采用它们，实际上就能缩短从受影响到清除（即把他们从你的网络中移除、驱逐出去）的时间。

例如多因素身份验证。如果每台设备都需要多个凭证才能进入，那么在网络中进行横向移动就会非常困难。

零信任。零信任意味着什么？就是我不信任网络中的任何人，因此，为了在业务环境中保护特定资产，我需要设置多种身份验证方式来访问这些资产，从而避免知识产权或数据的丢失。

有一些真正基础性的东西。同样，它们实施起来并不容易，而且需要投入时间和金钱。但最‘壮观’的，我在这里是负面意义上使用这个词，而非正面含义，我们见过的最‘壮观’的网络事件，都发生在扁平化网络中，没有多因素身份验证，也无法看清环境、了解正在发生什么的情况下。

我们试图用简单的话来描述这一点：如果你看不见它，你就无法保护它。字面意思是，如果你看不见，你就无法保护。因此，能够看清整个环境的全景，并能够关联各类事件，将使你更有机会把停留时间从数百天缩短到几个小时。

即使就我们自身的情况而言，去年我们也经历过一起事件，一个LockBit勒索软件团伙成功渗透了一组配置错误的服务器。坦白说，我们在不到五小时内就将其拒之门外，即不到五小时。因此，我们知道这是可以做到的。仅就我们自身因多因素身份验证配置错误而亲身经历的情况来看，我们能够在不到五小时内识别、隔离并消除一个威胁行为体。

Algirde Pipikaite：在居家办公模糊了界限的情况下，许多人用工作设备处理个人生活和私事，或者用个人设备处理工作。当如此多不同的设备，以及如此多实际上并非企业级安全防护的路由器（它们是家用安防设备，或者甚至可能根本没有任何安全防护）都连接在我们的网络上时，要识别入侵者何时进入网络容易吗？你们是如何识别的？一旦识别出来，接下来的步骤是什么？你们要采取哪些措施来真正遏制事件？而且，你们如何知道坐在网络上的不是Jim，不是Kelly，也不是Diana？

Jim Guinn：网络安全战略涉及诸多方面，但要理解使用模式，或理解用户角色（即人设，也称 AKA，或“角色”）以及该角色应当做什么、如何与工作互动，至关重要。我的角色是什么？我应当与谁互动？应当接触哪些数据？通常在什么时候接触这些数据？

我们可以利用的工具有很多，例如数据分析和人工智能，包括负责任的人工智能，即理解人工智能并且不将其用于非法牟利，而是负责任地使用。只要观察人类与技术及机器的互动方式，我们就能从中了解很多关于自身环境的情况。

零信任这类机制的基本原则，是建立一套角色、人设和身份标识，明确它们以何种方式与各类系统互动，弄清楚这些互动的具体情况，然后通过“先信任，后验证”的机制允许其访问相应系统。

因此，如果各类机构（不幸的是，正如我们在报告中提到的，许多规模较小的机构对整个生态系统至关重要），它们的员工会使用多台设备连接企业资产。它们的网络安全态势往往不够成熟，原因在于实施成本高、耗时长。你可能遇到一家只有100名员工的机构，它对耐用消费品或药品供应链的某一环节至关重要，一旦其存在漏洞，攻击者就可能借此渗透该机构，进而侵入你的机构。这类风险并非不可防范，但要阻止确实十分困难。

这又回到一个问题：如果你不了解员工在网络中应当做什么，就无法预测他们应当做什么。这正是“看不见，就保护不了”或“不知道，就保护不了”的道理。因此这并不容易，但并非不可行，只是需要时间，也需要坚定的决心，在企业资产、知识资产和员工方面进行真正的投入。

别忘了我们的员工。防止威胁行为者入侵，最好的办法就是依靠自己的员工。员工要保持警惕，不点击链接，不要在同一台设备上既收发个人网页邮件，又处理工作文件。比如，有人发来一段据称很搞笑的视频，其中却藏有恶意软件，结果恶意软件进入了企业资产，并在网络中横向移动，最终侵入系统。因此，在网络事件中，我们自己的员工可能既是我们最大的优势，也可能是最大的弱点。

Robin Pomeroy：我们能否谈谈遭受勒索软件攻击是什么感受？人们一想到勒索，就会想到从门缝里塞进来的一张纸条，上面的字是从报纸上剪下来拼贴的：“我们扣押了你的小狗，给我们50美元，就能把它还给你。”从某种意义上说，这与现实情况相去不远，不是吗？我读到过你去年遭遇的这起攻击，据说攻击者会在你的屏幕上放一张壁纸，上面写着：“是的，我们已经接管了这台电脑。我们在这里。哈哈哈。把钱寄过来。”情况确实就这么简单吗？你是否正是通过这种方式第一次意识到自己遭到了攻击？

Jim Guinn：希望不是这样，因为到了那一步，攻击者已经在你的网络中全面横向移动，渗透了多台设备，此时他们实际上已经掌控了你的基础设施的命脉。等发现这些迹象时，情况已经非常糟糕，真的非常、非常糟糕。理想情况下，你会在攻击发生的当下将其截获。你会看到异常的网络流量，也会发现不正常的活动。

比如说，你的MXDR平台。我们拥有全球领先的平台之一，为数百家客户提供服务。当平台检测到异常并发出警报时，你必须立即去调查到底发生了什么。因此，希望你能在收到通知之前就将其截获。但如果你收到了通知，接下来就会有一系列全新的工作要做，无论对你自己、员工、客户还是供应商而言，都会非常不理想。所以，希望你能在此之前就介入处理。这样说清楚了吗？

Robin Pomeroy：是的，当然清楚。不过这个缩写把我难住了。MXDR 是什么意思，能解释一下吗？

Jim Guinn：它的含义是“管理、扩展、检测与响应”。这是一整套技术体系，就像一个庞大的万花筒，汇集了网络中正在发生的所有活动，它能够让人看清正在发生的情况。

它能够对特定事件进行管理、扩展、检测和响应。该事件可能是异常的，也可能是正常的，还可能是恶意的，但它总是与众不同，因此必须加以调查。这就像一层覆盖在网络之上的“织物”，能够识别出涟漪。随后我们会仔细观察这些涟漪，弄清它们是什么、为何会在其他区域产生关联、为何会出现在其他位置。因此，它是一种更好地检测安全事件或事件潜在风险的方式。

Robin Pomeroy：你能否告诉我们去年那起攻击的情况？相关报道广泛提到，这个勒索软件团伙是 LockBit，能否介绍一下他们是谁，或者可能是谁？他们要求支付5000万美元赎金。从你的角度看，整件事是如何展开的？

Jim Guinn：我们对所有客户都极为坦诚。事件发生在7月30日，我记得那是一个星期日，我需要在脑海中倒推日历，我认为那是星期日。我记得星期一早上，当时的上司给我发了一条短信。我大约在早上5点到5点15分起床。平时起床后我会去遛狗，我当时还穿着遛狗的衣服。偶尔我经过手机旁边时，会因为没有随身带着它而走进办公室，点亮屏幕，看到我收到了那条消息。我心想：这可不是什么好事。在这个时间收到消息，实在不妙。

所以我看了那条消息，世界就此改变了。

有一点我要说明，你不能完全相信威胁行为者所说的话，原因有几个。首先，实际索要的金额并非5000万美元。我们不会披露他们索要的具体金额，但可以告诉你，远低于这个数字。事件在不到五小时内就得到了控制。也就是说，从有人入侵、我们的警报响起、我们意识到情况异常并需要展开调查，到事件被隔离，整个过程不到五个小时。至于他们能够窃取的内容，也就是数据，事实证明，并如我们向众多客户广泛披露的那样，主要是座位表、内部沟通邮件以及一些公开可得的基准数据，都是一些零散的内容。这些数据并没有太大价值。

威胁行为者，包括 LockBit 在内的所有攻击者，都喜欢夸大其所掌握的东西。如果无法从被其窃取数据的机构获取赎金，他们就会试图在暗网上出售这些数据，通过抬高数据的感知价值来吸引买家。在这起事件中，他们所拿到的就像是喷了金漆的石头。的确，他们确实拿到了一些东西，也是有价值的资料，但从财务角度看，并不具有实质重要性，不过毕竟是数据。他们把它喷上金漆，使其看起来更重要、更有分量。万幸的是，实际情况并非如此，否则局面就会完全不同。但事实是，他们意识到了自己手中的东西并不值钱，当我们表示不会支付赎金后，事情很快就公之于众。在我们弄清他们掌握了什么，并确信已经将其控制和隔离之后，这种所谓的“谈判”更像是一种拖延手段，目的是在事情公开之前，争取时间弄清我们所知道的情况，以及我们内部的计算机应急响应小组（CERT）和首席信息安全官（CISO）正在努力掌握的情况。因此，赎金绝对不是那个数额。而且，为了说得再清楚一些，我们确实没有支付赎金。

勒索软件：支付还是不支付

Algirde Pipikaite：决定支付还是不支付赎金有多难？企业通常会决定支付赎金以尽快解决问题，还是认为不支付、重建网络会更简单？这里存在两种不同的理念。你通常倾向于哪一种？市场上又更常见哪一种做法？

Jim Guinn：这是一个非常好的问题，而且并不容易回答。有人认为应当始终支付，也有人认为永远不应支付。我试图将其归结为一点，至少对我和我的团队所服务的客户而言，尤其是关键基础设施领域的客户：如果事件会影响健康、安全或环境，我想明确强调一下，即健康、安全、环境，就必须制定决策机制，以确定是否支付赎金。如果事件可能对环境造成非常、非常严重的负面影响，或对我们员工或其他人的安全造成严重负面影响，或对患者的健康和护理造成影响，你就必须有一套决策树，并通过桌面推演和高管讨论反复演练，弄清楚如果支付意味着什么，如果不支付又意味着什么。这样，你就不必在紧急情况下临时决定。

我个人主张，必须在事件真正发生之前就确定什么属于可支付事件，什么不属于。一旦真的遇到这类情况，就要执行既定的机制，并且要坚持自己已经做出的决定。因为在网络事件的混乱之中，在情绪高涨的情况下，临时做出极为关键的决定，一般而言，未必能做出最佳选择。

因此，试想一下，在风平浪静、人们没有慌乱、也不是火烧眉毛的紧急状况时，制定应对方案的意义并不在于方案本身，而在于事先做好准备。无论是在网络事件中，还是在关键业务运营中，演练这一方案，都能让你在关键时刻更有可能做出最佳决策。

所以，我两种观点都不完全认同，我的立场其实是居中的。每家企业都需要在其运营所在司法辖区的法律要求范围内，具备判断是否应当支付赎金的能力，考虑的是对健康、安全和环境可能造成的影响。

Robin Pomeroy：那么，企业是否真的会进行这类情景推演，也就是所谓的“战争演习”？我猜这主要是大型企业才有能力做到的事情，但你是否了解企业确实会这样做？

Jim Guinn：是的，确实会。自21世纪初以来，我们已经有了很大的发展。那时，即1998年、1999年、2000年、2001年、2002年，一些新兴技术刚刚开始蓬勃发展。如今，我们已取得了相当显著的进步，规模足够大、预算也足够充足的大型机构，会开展红队演练和桌面推演，以及决策流程，以弄清楚在特定事件中会如何应对，并确定应遵循的协议来指导决策。

至于较小的机构，目前已经有了一些机制。在澳大利亚、新加坡、欧盟、美国和加拿大等地的许多政府都推出了相关机制，帮助较小的机构获得此类能力。尽管这些机制在规模和能力上无法满足每一个可能在某一时刻需要或希望获得支持的机构，但它们确实为小型机构提供了利用这些能力的途径。

不过，我们的水平正在不断提高。那些确实做好准备的机构，很可能处于最有利的位置，能够缩短的不仅是停留时间，还包括知识产权、数据或其他重要资产可能遭受损失的时间窗口。

在此查看我们的全部播客。此处。

订阅：Radio Davos；Meet the Leader；读书会；议程对话。

加入世界经济论坛播客俱乐部（Facebook）。