几周前，这样一则新闻标题登上了头条：“黑客正在传播一份包含22亿条记录的超大规模数据泄露文件”。
这类标题在网络安全领域十分常见。但较少有人思考，此类信息如何影响潜在受害者对网络安全的看法，以及安全专业人士如何看待自身的价值链。
技术用户将网络威胁视为经济阻碍因素，将网络安全视为经济负担。上述数字如此庞大，使读者从一开始就感到无能为力，仿佛什么也做不了。此类标题和数字令人丧失信心。
另一方面，网络安全专业人士则觉得有义务从其所保护的经济价值角度来阐述其工作和服务，却没有意识到，他们以这种方式直接和间接创造的经济价值也因此被忽视。
由于上述种种动态，网络安全行业中许多人所采取的简单策略，便是放大对威胁的认知，即所谓的贩卖恐惧策略。
的确，确实存在导致巨大价值损失的严重攻击事件。一些计算机网络行动扰乱了民主进程，使关键基础设施瘫痪，并导致了巨额盗窃案。无论以何种标准衡量，这都令人担忧，新闻媒体理应对这些案件进行报道。
然而，近来将事实略加夸大、将数字和威胁渲染得更甚、过于仓促地下结论，并出于个人、商业、政治乃至军事利益或理由而这样做，正日益成为一种普遍做法。
结果会怎样？一个恶性循环由此形成：每一条新的危言耸听的安全消息，都使潜在受害者感到更加不安、无助和漠然，从而为更多成功的攻击和更多危言耸听的新闻铺平道路……
这种外生增长模式可持续吗？显然不可以。
网络安全是一种共同责任，而最薄弱的环节往往是人为因素。
我们需要每个人都予以关注。以下是改变这一叙事的五种方式：
网络安全是一种竞争差异化优势
网络安全可以成为一种竞争优势。而且不仅限于航空航天或核工程领域的企业。例如，它也是零售商的首要任务，正如最近这项研究所强调的那样。客户、合作伙伴乃至员工，将越来越倾向于选择安全记录更好的企业。
网络安全专业人士如何更好地传达这一叙事？
理论稍作说明会有所帮助。从经济角度看，说服企业投资网络安全，相当于提高其支付意愿（WTP），使其超过投资的价格。
例如，当一家企业不愿接受某项安全认证（如ISO 27001）时，网络安全专业人士很容易利用令人担忧的统计数据和宣传内容夸大威胁认知，以刺激该企业对该认证的支付意愿。或者，他们也可以降低价格。前一种做法不够道德，后一种则利润不高。
何不考虑，支付意愿低可能源于时间、人力、企业文化或优先事项的缺乏？明确这些考量因素有助于实现双赢，例如提议快速通道认证，或减少企业在认证过程中所需投入的全职等效人员数量。
那么，安全服务提供商如何确定其客户支付意愿的影响因素？答案很简单：通过了解目标受众所关心的问题，通过就推动因素和障碍展开对话，网络安全专业人士便能制定更具针对性的商业策略，从而有助于从安全投资中直接获取价值。
调查，或向众多客户提出若干定量问题，是更好地从定量角度了解总体趋势的简便方法。焦点小组是获取定性反馈的绝佳途径，而黑客松也是网络安全行业日益采用的一个良好范例。
此外还有其他解决方案，例如分析客户行为，或通过联合分析推断客户优先事项。所有这些技术的共同点在于，它们将客户置于讨论的核心和解决方案的核心。这正是网络安全所需要的。
你是解决方案的一部分
通过将客户置于流程的核心，网络安全专业人士有助于增强其所服务企业的能力。安全是一种文化，现代组织需要自下而上和自上而下地加以践行。
如果一家企业的执行委员会中没有首席信息安全官，那么这家企业就面临风险。安全是一种思维方式，公司的每一位员工都应当具备。过于频繁的情况是，人们不愿建立安全文化，因为它被与风险规避联系在一起。事实未必如此。安全从来不是为了停滞不前或回避风险。恰恰相反：它是在清醒认识利害关系的同时，推动前进并承担风险。内在的安全思维有助于员工和管理者做出更好的决策。
我们网络安全专业人士经常看到，一些决策是基于糟糕的安全判断做出的，例如在未进行适当审慎尽职调查的情况下进行合并，或因对威胁的错误认知（而这种认知可能被媒体夸大）而放弃收购。
随着假新闻的泛滥，深入理解自身的风险状况，并在做出重要决策前进行细致的风险评估，是安全专业人士必须引导客户走的几条路径。
网络安全是一个过程
许多企业投资网络安全不足或过度，另一个原因在于，它们仍被误导，以为存在即插即用的解决方案。事实并非如此。
无论网络安全厂商如何宣称，任何防护设备都无法完全保障一个组织的安全。安全也不是一项可以完全外包的服务。即便是那些没有资源自建安全运营中心、转而依赖服务提供商的中小企业，在这样做时也必须具备安全思维。
安全是一段旅程，而非终点。这是一场猫鼠游戏：攻击者不断改进技术，以寻找进入系统的创新途径。相应地，防御者也必须不断改进技术，以将其拒之门外。
这种范式常常给人一种印象，即安全是一个无底洞，无论一个组织投入多少，总可以再投入更多。
情况不必如此：网络安全专业人士可以逐步增强客户的能力，使其能够独立评估风险，并根据可用资源确定所需的投资。有些风险确实需要加以缓解，而其他风险则可以简单地降低或转移，少数风险则需接受。
此外，既然网络安全确实需要成本，何不探索如何利用这些投资来创造直接价值？拥有健全网络安全计划的企业，可以为其供应链或生态系统内的其他公司提供安全服务，与保险公司协商更优惠的保费，或利用与合作伙伴和客户长期积累的信任，开发平台等新的商业模式。
网络安全是可以实现的
绝大多数受害者的遭遇，是由于缺乏应有的审慎尽职调查，而并非因为某个外国超级大国利用六七个关键漏洞突破了其防御……
网络安全源于计算机与网络安全，这使其对非专业人士而言带有非常浓厚的技术色彩。的确，网络安全生态系统中有许多要素相当具有技术性。然而，这些要素未必复杂：网络安全领域确实存在技能短缺，但技术复杂性很可能并非主要原因。恐惧叙事或许才是更合理的成因。
主要问题在于，缺乏将网络安全嵌入组织各个层级的流程。法务部门、媒体部门、财务部门：组织的每个部分都在安全态势中发挥作用。
制定网络治理计划并非高深莫测之事。拥有网络危机管理预案也无需多年的研发工作，几天或几周即可完成。
对网络安全知之甚少的高级决策者，已不能再被视为网络领域是一门晦涩学科的证据。他们恰恰证明了责任心的缺失。从儿童到公民再到政治家，每个人在各个层面都有数以百计的机会了解网络知识。
世界经济论坛设立了网络安全中心，以放大各项倡议的影响力，并提供一个全球性的、中立的、公共的机会平台。我们的角色，实际上是帮助各组织自助，因为我们真诚地相信它们能够做到。
网络安全是一个积极的词汇
最后，各组织之所以仍不愿公开其安全态势，一个关键原因是担心这样做会使其成为怀有报复心理的黑客的首要目标。这是一种过时的幻想：黑客早已不再待在车库里入侵企业，以提升自己的声誉。
如今，攻击者追逐的是金钱和数据，而非媒体关注与赞誉。如果一家企业的安全态势被公认为较高，而其竞争对手的安全态势较低，他们为何还要攻击这家企业？
这被称为“隐蔽安全”，是一种臭名昭著的糟糕做法。公开宣扬自身的安全投资，可以成为一种强有力的威慑。
这意味着信任：首席执行官以及可能的董事会对安全投资已经过周密考虑、企业不会轻易落入简单攻击陷阱，这种信任至关重要。此类信任是通过安全团队与组织其他部门之间的互动逐步建立起来的，并逐渐体现于各项流程之中。有鉴于此，推动将网络安全纳入组织的传播叙事之中，有助于营造内部文化。
网络安全是一门迷人的学科，处于技术、政策与商业的交汇点，对第四次工业革命至关重要。
它不应成为恐惧之源，而应成为希望之源。
网络安全是一个积极的词汇。请这样使用它。
