网络安全慈善资金每年仅为1亿至2亿美元，与整体慈善捐赠或人工智能投资相比微不足道。
只有一小部分网络安全资金流向新兴经济体和最不发达国家。
世界经济论坛全球未来网络安全理事会成员提议设立“可持续网络安全融资机制”，以弥补这一资金缺口，并助力为所有人打造更安全的互联网。
设想这样一个世界：每家小企业都能获得专业网络志愿者的帮助，以抵御人工智能（AI）驱动的网络犯罪。
在这样的世界里，非政府组织（NGO）能及时收到僵尸网络活动的通知，从而防止勒索软件攻击；国际援助机构也会例行为其受益人划拨数字安全经费，无论是用于保护支持消除疾病的卫生管理系统，还是将运营技术安全嵌入新建的污水基础设施之中。
实现这一愿景所需的标准、政策框架和技术在很大程度上已经存在，所缺的是资金。
据我们估算，私人和企业慈善捐助合计每年为网络安全专项事业提供1亿至2亿美元。近来，政府资助计划——特别是美国的州和地方网络安全拨款计划、英国综合安全基金，以及欧盟的数字欧洲计划——已开始在各自辖区内每年投入数亿美元，但这些资金中很少流向新兴经济体和最不发达国家。
相比之下，网络安全慈善事业每年1亿至2亿美元的拨款，与估计的2023年用于一般慈善事业的8850亿美元，或2025年涌入企业人工智能投资的5800亿美元相比，几乎微不足道。。
我们正在迅速扩大人工智能引擎的规模，却未为数字“刹车”提供资金。只需这笔资金的一小部分，便足以设立一个有实际意义的可持续网络安全融资机制（SCFM），致力于让互联网对所有人而言都安全可靠。
为可持续网络安全融资机制奠定基础
该可持续网络安全融资机制并非单一基金运作，而是一个协调统一的生态系统，汇集多元资金来源，包括个人慈善、企业捐赠、多边基金以及在共同原则和范围下协调一致的汇集机制。
因此，该机制将提供稳定的资金基础，以撬动更多资源，并填补资源不足但至关重要的互联网功能的资金缺口。然而，由于它无法支持每一项有益的数字安全服务或活动，我们建议从五个参数出发收窄其战略重点，以实现影响力最大化：
以网络安全为优先：在承认网络安全与民主促进、人权及错误信息等其他领域存在交叉的同时，对其他领域的积极影响应被视为附带效益，而非主要的资助标准。
与虚假信息的交叉：该机制不会将虚假信息作为独立优先事项予以资助，但会支持网络与虚假信息交叉的活动，例如冒充身份的网络欺诈、市场操纵，或利用被入侵基础设施开展的信息操纵行为。
注重民间韧性，而非军事/国防：所资助的活动应侧重于民间韧性、以受害者为中心的措施以及能力建设。
能力先于合规：在数字化起步较晚的地区，该可持续网络安全融资机制将优先建设基础能力，而不是先行满足以尚未具备的能力为前提的国际框架要求。
全球公平与中立：网络安全风险的分布并不均衡。相对于应对能力而言，新兴经济体和最不发达国家面临的风险敞口最大，而它们在全球治理讨论中的代表性也最为不足。该可持续网络安全融资机制将以政治中立、差异化出资和地域多元代表性为指导原则。
确保可持续网络安全融资机制以受益方为中心
为确保最佳成效，该机制必须遵循三项运营原则，以赋能提供关键一线服务的机构。
首先，基础设施应优先于特定性。资金应优先用于广泛的能力建设和核心基础设施，而非局限于狭隘的、特定项目的条块分割，从而使机构具备应对不断演变的威胁所需的运营灵活性。
其次，该机制需要确保一致性与持久性。为促进机构稳定，该可持续网络安全融资机制将优先提供可预测的长期拨款，而非规模庞大、波动较大的一次性拨款，同时简化分散的报告结构。
第三项运营原则是混合融资模式。该可持续网络安全融资机制将使混合融资模式合法化，包括允许受益机构向执法机关等有支付能力的用户收取成本回收费用，同时补贴无力支付的用户。
可持续网络安全融资机制的资金架构
资本不会流向其无法定价的问题。只要网络安全仍被视为可自由裁量的成本，而非可量化的系统性风险，作为全球公共产品的网络安全资金架构就将依赖捐助方、碎片化，并易受政治周期影响。该可持续网络安全融资机制应通过五大核心支柱引入经济可理解性：
将避免损失建模作为核心产出：该可持续网络安全融资机制必须公布严谨可信的模型，以展示通过网络韧性避免的经济损失。这需要量化离线基础设施的系统性中断，以及受害者所遭受的直接财务和社会损失。这项工作并非传播宣传，而是使网络安全更易于被资本市场理解所必需的基础性工作。
面向影响力资本的风险调整回报框架：为吸引影响力投资者、基金会和发展融资机构，该机制必须超越道义上的紧迫性，依托市场化风险调整回报逻辑，阐明清晰的经济论点。
标准化韧性会计：该可持续网络安全融资机制将倡导标准化框架，以经济术语衡量和报告网络韧性，并与影响力加权会计相衔接，使数字健康状况在财务资产负债表上得以体现。
民间韧性重新分类：该可持续网络安全融资机制应积极倡导在经合组织（OECD）、发展融资以及养老基金的分类体系中，将网络安全从“军事/国防”重新归类为“民间韧性”。目前这种错误分类使大量资本难以进入该领域。
嵌入式衡量：影响力衡量框架必须从一开始便纳入基金结构之中，确保所有拨款接受方系统性地生成数据，以证明其对宏观经济稳定所作的贡献。
“资本流向那些展现出经济必然性和实质性影响的问题。就网络安全而言：其实质性的经济突破点是什么？解决网络韧性问题能够应对哪些经济问题？影响力必须与经济价值相关联。”Proof of Impact首席执行官Fleur Heyns如是说。
巴西提升中小企业网络韧性的创新举措
随着各国政府和金融机构探索网络安全的新型可持续融资机制，巴西正成为中小企业（SME）网络韧性资金创新的典范。
通过共和国总统府institutional安全办公室（GSI/PR），并与《国家网络安全战略》（E-Ciber）保持一致，巴西正与美洲开发银行、巴西国家经济社会发展银行（BNDES）及其他机构合作，打造一种优惠信贷模式，将融资与技术支持、培训、合规协助、成熟度评估以及事件后恢复相结合。
该举措将网络安全重新定位为经济韧性问题，而非IT成本问题。通过提升中小企业获取负担得起的网络安全资源的能力，巴西旨在降低系统性网络风险、加强供应链，并提升一个占国家就业和国内生产总值重要份额的行业的韧性。
通过Hackers do Bem（善意黑客）倡议，该计划还提供培训和免费技术援助，同时为青年提供就业机会。
可持续网络安全融资机制是保障全球经济技术基础设施安全的关键
互联网连接着全球超过三分之二的人口，是人工智能和新兴技术的基础载体。其完整性深刻影响国家安全、经济繁荣以及公共健康与安全。
可持续、有实效且透明的网络安全融资机制，是保障全球经济技术基础设施安全、保护资源不足的机构和民众的基本要求。
若要充分实现技术进步的全部益处，并使我们的数字公共空间对所有人而言安全可靠，现在正是建立可持续网络安全融资机制的时候。
本博客的作者是 全球未来网络安全理事会成员Anna Maria Collard，KnowBe4高级副总裁（内容战略）兼非洲首席信息安全官顾问；Ann Cleaveland，加州大学伯克利分校长期网络安全中心执行主任；Hoda Al Khzaimi，纽约大学阿布扎比分校研究转化与创业副教务长；Jamie Saunders，牛津马丁研究员，牛津大学；Michael Daniel，网络威胁联盟总裁兼首席执行官；以及Sameer Suryakant Patil，观察者研究基金会（ORF）安全、战略与技术中心主任。
