企业如何保护自己免受网络攻击？专家小组在达沃斯2022年会议上分享了他们的评估。
阅读《2022年全球网络安全展望》这里。
世界经济论坛的《全球网络安全展望》报告指出，2021年全球网络攻击增加了125%，有迹象表明这一趋势在2022年仍将持续。在快速变化的环境中，领导者必须对网络风险采取战略性应对方式。
领导者如何更好地为未来的网络冲击做好准备？个人和集体可以采取哪些行动，营造更安全、更具韧性的数字生态系统？
本期《议程对话》收录了世界经济论坛2022年达沃斯年会一场小组讨论的完整音频
主持人：
凯伦·措，CNBC国际（欧洲）联合主播、记者
小组成员：
于尔根·施托克，国际刑警组织（INTERPOL）秘书长
约瑟芬·特奥，新加坡通讯及新闻部部长
钱德·普拉卡什·古尔纳尼，Tech Mahindra Limited董事总经理兼首席执行官
罗伯特·M·李，Dragos首席执行官兼联合创始人
观看讨论这里，
《全球网络安全展望》——文字实录
凯伦·措：大家好。我是凯伦·措，CNBC主播。非常感谢各位今天参加这场重要会议。我们欢迎世界经济论坛的所有利益相关方，并将聚焦网络安全。
大家都知道，网络攻击并非新鲜事，但随着数字和地缘政治格局不断变化，威胁等级也在上升。疫情期间，远程办公大幅增加，更多数据转移到云端，电子商务和在线金融交易增长，联网设备越来越多，乌克兰战争也加剧了地缘政治威胁。
在接下来的45分钟里，我们将讨论领导者如何为未来的网络攻击做好准备。先说明一项会务安排：如果您想参与这场讨论，可以使用#WEF22。大约20分钟后我们也会开放讨论，请准备好问题。
现在请允许我介绍今天的小组嘉宾：国际刑警组织秘书长于尔根·施托克；新加坡通讯及新闻部长约瑟芬·特奥；Tech Mahindra董事总经理兼首席执行官钱德·普拉卡什·古尔纳尼；以及美国Dragos首席执行官兼创始人罗伯特·李。
首先，于尔根，我想请您谈谈。世界经济论坛《全球安全展望》报告显示，过去一年网络攻击增加了125%。在评估网络安全风险时，我们还需要考虑国家支持的攻击威胁，您如何看待这一风险？
于尔根·施托克：非常感谢。我认为现在没有理由宣布警报解除。这些统计数据存在局限，因为当然仍有许多公司和受害者没有向警方或国家机构报告事件。因此，我们仍然难以掌握全面信息，因为执法机构收到报告的案件大约只占全部案件的5%至10%。
毫无疑问，威胁正在增加。犯罪团伙仍在活动，而且行动手法日益复杂。他们的组织方式与传统黑手党截然不同，后者的成员彼此认识，可能来自同一家族或同一地区。如今的模式就像互联网黄页：有人提供自己的专业技能，他们为某次具体攻击相互联络，之后又各自散去。这也使执法部门的工作变得更加重要。
因此，这类活动越来越复杂，也越来越难以应对，因为它们本质上具有全球性。当然，执法部门仍主要在各自国家的司法管辖范围内行动。另一方面，我认为主要风险仍不在于技术层面的信息技术安全问题，而在于人为失误为犯罪分子打开了大门，使其能够攻击系统并劫持数据——受害者先遭受一次侵害，数据又让他们遭受二次侵害。
随着世界的联系日益紧密，我们已多次在世界经济论坛讨论这一问题。挑战仍然在于：如何把需要连通的各个环节连接起来，让我们能够实时共享信息，为即将到来的下一次攻击做好准备——攻击迟早会发生。这是首要挑战。
凯伦·措：我想接着追问一下：国家支持的网络攻击与犯罪地下世界之间有什么联系？
于尔根·施托克：首先我要说明，国际刑警组织关注的是犯罪活动；在这些活动中，可能有80%是犯罪分子所为，他们仍然是为了钱和数据。我们在传统犯罪领域也看到类似风险：军方今天使用的武器，例如几年后可能出现在暗网上，被犯罪分子用于发动更复杂的攻击。在现实世界中，这令人十分担忧——战场上使用的武器，明天可能就会落入有组织犯罪团伙手中。数字武器也是如此：今天可能由军方使用或开发，明天就可能被犯罪分子获取。
凯伦·措：这是一个相当严厉的警告，对吧？部长，接下来请您谈谈。去年年底，新加坡更新了网络安全战略，尤其采取了更积极主动的立场来保护关键基础设施。新加坡有不少理由可能成为攻击目标，包括您支持对俄罗斯实施制裁。这个城邦正成为国际金融和商业中心，例如吸引了越来越多原本在香港开展的业务。请谈谈您如何看待未来12个月新加坡面临的威胁？
约瑟芬·特奥：首先，非常荣幸能参加这个小组讨论。我们有一位执法领域的资深人士，也有非常杰出的商界领袖，他们为众多不同企业提供各类网络安全和信息技术服务。作为一名部长，我想分享一个看法：短期内，我希望看到我们的经济更加稳健地复苏；长期来看，我希望帮助所有人做好准备，在数字时代取得成功。
我们最好不要把网络风险看成彼此孤立的问题，因为它们与各种风险相互关联，包括地缘政治风险、技术分化、俄乌冲突（由此造成了经济动荡）、能源安全问题，甚至普通的供应链中断。我认为，所有这些因素都可能外溢到网络空间。
我们一直关注的一个关键趋势，正如于尔根所说，是网络犯罪分子的技术水平似乎正在赶上国家支持的APT（高级持续性威胁）行动者。我们观察到，这甚至已经成为国家安全问题，因为关键信息基础设施可能受到威胁。我认为我们面临的一个问题是，这种趋势发展得非常快。于尔根所描述的地下生态系统利润极高，而且能够自我供资。因此，只要一个系统中具备的能力能够自我供资并赚取大量利润，就可以预期它会不断壮大。我认为这方面亟需关注和大量国际合作，以遏制
我想谈的第二类风险，是供应链和各种软件漏洞遭到猖獗利用，攻击者通过第三方进入许多企业。没有企业能够在不使用某些第三方软件的情况下运营。过去，客户与托管服务提供商之间存在信任关系，而这种信任正在遭到破坏。失去信任后，企业如何继续推进数字化，达到能够带来巨大收益的速度？我认为，这是一个长期存在、短期内不会消失的问题。
最后我想说，还有两类相关风险，我们认为它们未必属于网络风险。其一是威胁面扩展得太快，人才和能力可能不足以应对。其二是我所说的“注意力分散”问题。企业领导者要处理的问题太多；如果因此降低网络安全的优先级，我认为我们将面临许多长期后果，最终不得不为此付出代价，也会受到损害。我先说到这里。
凯伦·措：部长，谢谢您。我很高兴您提到了供应链，因为近日有报告称，联网农场设备遭到了黑客攻击。考虑到当前的粮食短缺正在推高各地通胀，网络攻击以及这一特定领域为何可能成为重大问题，也就不难理解了。
接下来，钱德，我想请您谈谈商界对此的反应。疫情期间，数字化进程大幅提速。网络安全带来声誉风险，也带来财务风险；我们还看到多起攻击造成了相关后果。您如何看待未来一年左右的威胁？
钱德·普拉卡什·古尔纳尼：凯伦，我认为退一步看，首先，技术依赖问题确实存在——在一些行业尤为明显，例如电力、公用事业、电信和医疗保健。疫情期间，甚至连在线教育也离不开技术。很多方面，我相信部长阁下会同意，电子政务服务对技术的依赖度非常高，因此我们必须谨慎：既然依赖技术，就应把它视为基础设施；既然是基础设施，就需要为维护投入时间、资金和精力。
我观察到，许多企业已经承担起责任，防范针对国家的攻击。他们关注暗网攻击，也关注针对个体的攻击。但问题是，维护的频率够不够？据我个人观察，每当发生类似的工业领域攻击，董事会就会变得非常活跃。比如，如果Colonial Pipeline（殖民地管道）遭到攻击，世界各地的石油公司就会突然行动起来，因为他们都想了解这个案例中发生了什么，以及自己是否安全。
审计范围也有类似问题。许多公司以为，只要保护好自有服务器或网络，或者办公场所内的终端设备，就足够了。但实际上，生态系统要大得多。我们曾受一家银行委托进行审计，但审计范围非常有限——银行喜欢明确限定范围——只包括服务器网络和营业场所。我们说：“不，这还不够。”我们通过他们聘请的律师事务所向他们证明：周五晚上，一个人（这正是于尔根刚才所说的）——问题主要出在人为失误上。一个人打开一封网络钓鱼邮件，就导致整个系统瘫痪。因此，我们必须认识到，漏洞如今也存在于系统之外。进行道德黑客测试时，（一）应该更频繁地开展；（二）需要把整个生态系统纳入考量。
凯伦·措：您说得很有道理。来自外部的联系会有明显警讯，但如果发邮件的人是您日常共事的人，风险性质就不一样了，对吗？
罗伯特，我想请您谈谈。我想我们大多数人都觉得，房间里总有人比自己更懂信息技术——您是个例外。您大概是这里的技术专家。您的经历也很有意思：您是最早调查2015/2016年乌克兰关键基础设施遭袭事件的人之一（也可能是第一人）。如今，地面上正在发生一场造成严重后果的实体战争。请您帮我们梳理一下，一场看似针对全球社群的攻击，可能如何实际聚焦于特定地区。回顾过去，您如何看待这些关联？又如何展望未来风险？
罗伯特·M·李：我认为，大多数企业领导者、高管和董事会成员都在讨论网络安全。正如我们刚才所说，大家的意识已经非常高。但我们的关注仍然主要集中在信息技术上。以我的专业背景为例，我对你们的信息技术并不了解，但我非常熟悉运营技术、控制系统，以及电力系统和制造系统的运作方式。然而，大多数公司谈网络安全时，花在网站上的时间比花在燃气轮机系统上的时间还多。
真正为企业创造收入、对国家安全产生影响、关乎安全和环境的，是运营环节，也就是所有控制系统。过去这些系统基本上没有联网；大约15年前，它们开始大规模连接。现在人们仍然以为这些系统彼此隔离——其实并非如此——别浪费时间审计了，它们已经联网。但它们联网的同时，数字经济也在朝着当前方向发展，我们的系统也在经历巨大变化；例如，我们正迈向更可持续、更公平的能源体系。因此，我们目前处于非常微妙的边缘。
所以，对手已经懂得如何攻击运营系统，他们让工程师与网络安全人员一同参与行动。系统的互联程度也达到前所未有的水平。多年前，如果电力系统遭到干扰，情况大概还可以应付；有些情况下，恐惧大于实际影响，而且重大风险可以设计控制。不过，工业领域一直在建设安全可靠的基础设施。以绿色能源转型为例，如今电力系统以实时按需供电的方式运行，追求每千瓦时成本最低。过去，如果一家公司的系统瘫痪，电网可能有足够的备用能源，而且我们还有“惯性”这个概念。大型旋转设备产生的惯性可以减缓事件的影响，让我们有时间作出响应。
但现在我们转向风能、太阳能等能源，这些都依靠逆变器型资源，属于直流电。我已不再拥有那么多大型旋转设备，系统也不再具备那种惯性。如果电力系统受到影响，我就没有备用电力，也没有时间作出响应。系统的互联程度更高，了解这些系统的对手也更多。这种局面并不理想。因此，讨论关键基础设施的网络安全时，所有人都要记住，关键基础设施中真正关键的是运营技术系统。当然，信息技术安全也要做好。但尤其是谈到国家安全时，必须重点关注运营技术系统。
最后我想说，政府必须充分认识到企业风险与国家安全风险之间的区别。如果是企业风险，公司应自行承担费用并开展相关工作。但如果属于国家安全风险，联邦政府就必须提供支持，甚至可能要投入资源，让相关实体真正采取行动。
凯伦·措：我想接着追问这一点：对这个行业来说，乌克兰战争前后是否出现了一个分水岭？加入制裁、决定退出俄罗斯并停止在当地运营的公司和国家，如今面临的风险是否比以前更高？
罗伯特·M·李：当然。我们确实看到，公开宣布实施制裁、公开表态或与相关体系有联系的国家，遭到的攻击明显增多。因此，只要谈到关键基础设施和网络攻击，就一定要考虑地缘政治因素。
另一个需要特别留意的问题——我认为这也是给各位听众的建议——是：如果您是高管，在下一次董事会会议或高管讨论中，有两个问题值得重点关注。第一，当您拿到各种指标、统计数据和网络风险热力图时，尽管那些颜色我们都很喜欢，但您可能并不太看得懂；请问清楚，这些数据反映的是企业信息技术，还是整个企业？因为很多时候，您对最关心的业务领域所做的工作远远不够。
第二，我建议关注各种情景（这也回到您提到的乌克兰问题）。很多时候，尤其在技术领域，讨论全都围绕技术控制展开：要不要打补丁、要不要管理漏洞、要不要用防病毒软件、要不要部署防火墙？还有这个、那个，等等。真正的问题不是缺少下一代人工智能、区块链或其他新技术。通常，我们的问题只是没有落实那些已经投入资源、应该去做的事情。
但不要只关注技术控制。我们在其他领域不会用这种方式管理业务。应当关注具体情景：世界各地的电力公司是否应该能够防范、检测并应对2015/2016年乌克兰那类情景？当然应该，因为这种情况已经发生过。至于要不要设想中国、伊朗、俄罗斯、美国或其他超级大国联合对付你们？没必要，因为这种情况还没有发生。不要把精力放在理论设想上。如果某种情况已经在你们行业发生过，你们就有责任为此制定应对情景，以保护整个行业。关键不在某一项技术控制措施。
凯伦·措：部长，可以请您简短回应一下吗？罗伯特刚才提到，如果公司面临国家安全威胁，政府可以提供资金支持。您怎么看？如果公司的威胁因国家安全因素而加剧，新加坡会介入并为其提供资金吗？
约瑟芬·特奥：首先，作为国家，我们必须审视自身提供的服务，并确保设定足够高的标准。事实上，许多关键信息基础设施由国家运营。例如，尽管我们的电网在很大程度上已经私有化，我们对发电公司施加的网络安全措施，仍是确保它们达到标准的一种方式。我们还可以通过其他方式提供帮助，例如了解风险所在。我认为，政府可以在这方面发挥积极作用。
不过，我也想补充罗伯特刚才说的话：在考虑各种情景时，我们不应认为自己从未遭到入侵。事实上，在新加坡，我们的看法是，网络攻击不是会不会发生的问题，而是什么时候发生的问题。因此，我们必须从预防措施转向具备遭受攻击后的恢复能力。将网络韧性纳入企业风险管理非常重要，而且必须由足够高层的领导者推动，确保采取这些措施。
凯伦·措：部长，您正好引出了下一个话题。我想谈谈认知差距，因为世界经济论坛发现，企业对自身网络安全准备程度的认知，与网络安全负责人之间存在差距。92%的企业高管认为，网络韧性已纳入企业风险管理战略，但只有55%的网络安全高管认同这一点。因此，企业内部的专家认为，现阶段的规划水平远远不够。想请您谈谈这一点。于尔根，您见过企业为设施设防、防止犯罪分子进入场所所做的准备。您如何看待这种认知差距？企业领导者是否已准备好应对网络安全攻击？
于尔根·施托克：根据我的经验，以及我与多位企业高级领导者的交流，大家的意识确实在提高，情况已经好得多。但这并不一定意味着企业已全面了解网络安全风险，包括您提到的供应链、合作伙伴以及与企业相连的各方。同样重要的是形成全面认识，并将其转化为必要措施，而且要经常采取这些措施，因为我们真正需要的是实时信息交流。形势变化如此迅速，犯罪模式有时几小时内就会发生变化，至少也可能在几周内改变。我们必须融入一个国家、区域和国际层面的生态系统，以实现实时信息交流。
因此，对我来说，管理层仍然存在认知差距并不令人意外：大家普遍有所认识，但仍需投资采取具体措施，包括培训团队和员工，减少这些流程中的人为失误，并认识到这不是一年做一次、像体检那样就够了，而是必须长期坚持。显然，我们还有很多工作要做，也需要加强对话，例如执法部门之间的对话。因为一方面，我们了解正在发生的事情；另一方面，我们需要私营部门掌握的数据。所以我们需要你们提交报告。没有你们的报告，我们就会两眼一抹黑。我提到过，大量犯罪行为未被报告，这是我们必须共同弥合的差距，不能只靠执法部门。这要求我们在各自的信息孤岛之间搭建桥梁，并以更有力的方式将现有合作制度化。对我们而言，世界经济论坛是全球层面的重要参与者。
凯伦·措：欧洲正朝着要求在24小时内进行某种形式报告的方向发展。正如您所说，人们往往会把这类事情掩盖起来，因为担心声誉受损，不愿披露发生了网络安全漏洞。
于尔根·施托克：或者出于其他原因。
凯伦·措：钱德尔，我想请你谈谈，因为你刚才提到了认知差距。我本周与一位网络安全专家交谈时，对方说，20年来一切都没有改变，人们仍然认为存在风险，试图保护组织内的所有信息，而不是最关键的信息。鉴于行业专家对应该如何做好准备存在如此大的分歧，请谈谈企业今后的战略应该是什么。
钱德尔·普拉卡什·古尔纳尼：你认为20年来一切都没有改变，这让我很惊讶。
凯伦·措：那不是我的看法。
钱德尔·普拉卡什·古尔纳尼：我只能说，我刚才走上来的时候，偶然遇到了IBM董事长，他问我：“你要去哪儿？”（这位董事长是阿尔温德·克里希纳。）我说：“我要去参加论坛的网络安全讨论。”他说：“哦，这是本十年最大的威胁，而且下一个十年它仍将是威胁。”
有一点很明确：我们大多数人确实意识到这是一种威胁。第二点是，我们大多数人也明白，虽然我们知道100种保护IT系统、网络、终端用户或供应链的方法，但攻击者只要成功一次就够了。因此，对我们来说，显然无论是技术，都需要更新；还是流程，也需要与时俱进，了解这些病毒。我是说，就像你提到的整个医疗卫生领域一样。很明显，我们的流程必须跟上当前形势。
第三，人们不仅需要知道如何防护，还需要知道如何预判。我认为，全世界都需要认识到，多项研究表明网络安全领域存在技能人才短缺。我认为，我们都没有足够重视培养横向技能人才队伍；到2025年，这支队伍需要达到270万人。因此，我认为这是一项涉及人员、流程和技术的更大挑战。
约瑟芬·张：凯瑟琳，顺着钱德尔刚才的话说，我猜认知差距之所以产生，是因为一群人看着所有已知的未知因素，觉得我们已经掌握了；另一群人则想着所有未知的未知因素，认为我们其实还没有掌握。这就是认知上存在巨大差异的原因。在网络安全领域，正如钱德尔所说，你不知道自己不知道什么。你必须相信这些都是非常严重的漏洞，保持警惕，并努力彼此交换信息，以便更好地理解问题。
于尔根·施托克：我认为，许多公司直到首次遭到攻击、数据被锁定后，才开始认真处理这个问题。行动就是从那时开始的：“哦，我该联系谁？我的数据在哪里？谁能帮忙？”这是我的经验。我也和很多高级管理人员谈过，他们打电话来说：“我遭到攻击了，该怎么办？”那就太迟了。抱歉。
凯伦·措：各位可以看到，台上嘉宾的讨论多么热烈。我知道现场还有一些问题，所以我们承诺开放时间，让观众参与讨论。如果您想提问，请起立，我们会把麦克风递给您。这里先有一位提问者，麦克风已经准备好了。也请说明您来自哪里。
沃尔夫冈·克莱因韦希特尔（观众）：我叫沃尔夫冈·克莱因韦希特尔，是奥胡斯大学的荣休教授。联合国已启动网络犯罪公约谈判。您对此有何期待？这个问题尤其想请教施托克先生和张女士。
于尔根·施托克：谢谢你，沃尔夫冈，这个问题问得很好。这是一个全球性问题，对吧？和世界面临的许多其他威胁一样，它需要全球性的解决方案。不能只在国家或地区层面处理，也不能孤立应对，那样行不通。这需要全球协调。国际刑警组织面临的挑战，是如何联结195个成员国。我们期待执法部门参与其中，正如刚才提到的，希望大家都认同，调查、起诉并将犯罪者绳之以法，是保护我们系统的重要组成部分。因此，我们参与了这些谈判。我们希望确保全球执法部门的利益能在联合国这一倡议中得到体现。我们认为这很重要。
约瑟芬·张：我可以补充一下于尔根刚才的话吗？我完全同意他的看法。国际合作的需求非常迫切，这也是我认为新加坡努力参与所有这些工作的原因。与许多其他国家面临的威胁相比，我们面临的威胁规模有所不同。除此之外，我还想说，除了制定公约，还有一个同样非常重要的领域，那就是能力建设。即使制定了公约，最终也要由各国负责运行网络安全系统的人员在适当时候采取行动。
我们与国际同行合作，在本地区开展项目并创造培训机会。例如，在东盟，我们共同建立了东盟—新加坡网络安全卓越中心。该中心反响很好。美国、国际刑警组织、英国等许多国家和机构都决定加入，共享知识，因为我们充分认识到，网络安全是一项团队协作。我们越能让每位成员都具备胜任能力，团队就会越强大。这就是我们的做法。
凯伦·措：当然，要把这场比赛打好，也需要一支完整的队伍。罗伯特，在我们继续之前，我想问你：安全攻击发生后，善后工作由你负责。你认为全球协调或某种形式的联合国决议会带来不同吗？
罗伯特·M·李：我觉得这是个很好的想法，也祝你们一切顺利，谢谢（笑声）。不过，不，我认为这实际上不会有任何帮助。国家之间一直有各种协议，甚至涉及关键基础设施攻击。我们大多数人都认同不应以平民为攻击目标。但当某个政府想这么做时，只要它认为有必要，就会这么做。因此，我认为全球讨论之类的工作非常重要，提高认知也非常重要；但认为一项条约或类似安排就能解决问题，我觉得没有必要。
不过，我确实想谈谈哪些做法有效。看看新加坡的网络安全局、美国的网络安全和基础设施安全局（CISA），以及澳大利亚政府的ACSC计划。这些政府机构主动推动了相关讨论，并非供应商或其他主体在推动，而是政府机构开展国际合作，确保从董事会成员到一线从业者都知道该怎么做。这类做法有效。重复并推广有效做法。如果你还想尝试其他想法，也可以，但应并行推进，不要二选一。
凯伦·措：我们再多听几个问题。前排有一位。谢谢。
娜塔莉亚（观众）：大家好。我叫娜塔莉亚，我是全球塑造者社区的成员，也是基辅分会的策展人。战争开始时，总部从网站上撤下了所有信息，包括所有乌克兰分会聚会以及乌克兰塑造者的相关信息。与此同时，我们确实有Facebook、Instagram和LinkedIn账号。我的问题是，如果您处在我们的位置，会怎么做？我们是否应该隐藏所有关于自己的信息？谢谢。
凯伦·措：钱德尔，你愿意回答这个问题吗？
钱德尔·普拉卡什·古尔纳尼：坦率地说，信息来源太多了，我不知道能否制定一项普遍适用的政策。例如，我们谈到建立一个集中管理恶意软件库的能力时，现实是，CSO社群和黑客社群的人都能获得所有这些资料库，而工具公司也据此制定了一些控制措施。因此，我个人认为，我们必须假设这些信息会被获取。我们可以尝试监管，但无论是在Facebook还是其他社交媒体上，这些信息都会存在。我认为，我们的策略必须建立在这样的假设之上：人们知道有哪些工具可用，知道有哪些恶意软件，也知道有哪些安全措施。在此基础上，再考虑如何加密或保护自己。
罗伯特·M·李：我想补充一点，尤其是在冲突和热战时期，而不只是间谍活动期间，我们应该认真考虑人身安全问题。我认为这类措施非常重要。我同意这些信息在某处可以找到，但我们常常把国家行为体看成一个整体，比如“美国、俄罗斯、伊朗”，以国家为单位来看待。实际上，它们由许多不同的机构和团队组成。找上你的人并不是俄罗斯、中国、伊朗或美国，而是5到10个人，是某些团队中的一个子集中的一个子集。因此，政府某处也许掌握了这些信息，但那个团队未必掌握。谈到人身安全，我确实认为，尤其是在这类环境中，减少自己的暴露是非常明智的做法。
凯伦·措：此外，还会出现信息战。我是说，我们看到过一个具体例子：乌克兰一位化妆师身处冲突地区之一，俄罗斯方面在信息战中利用了她的个人资料。这显然也是需要考虑的另一个方面。不过，我们再听几个问题。我知道现场还有不少人感兴趣。
观众：关于网络战，多边体系目前没有交战规则来进行干预——罗伯特，我理解你所说的需要解决方案，但我也认为我们需要多边解决方案。你对网络战中的交战规则有什么想法吗？比如针对网络战行动制定类似《日内瓦公约》的规则。我是联合国秘书长有效多边主义问题小组的成员，我们目前正在思考这个问题，所以也想听听你的意见。谢谢。
约瑟芬·张：我认为，许多国家都在努力制定人人都可以遵循的行为准则。例如，联合国设有一个不限成员名额工作组，许多国家已参与了多年的讨论。不过，正如罗伯特也暗示的那样，这并非易事。显然，各方利益十分多元，但我认为我们正在取得进展。新加坡恰好担任本届不限成员名额工作组的主席。至少在上一次由瑞士担任主席时，各方达成了一份文件，就一些所有人都应能够遵守的基本条款达成共识。我们能否深入讨论，并更扎实地理解彼此应该如何合作？答案是肯定的。我们能否很快做到？我认为还需要付出很大努力。
凯伦·措：于尔根，我能请你谈谈这个问题吗？你经常跨境开展工作。我们也面临这样的情况：全球合作已经出现倒退。中国就是一个很好的例子，贸易战已经发生，外界也担心中国与西方之间的信息共享程度。谈到全球合作，我们该如何应对这些问题？
于尔根·施托克：我们努力成为一个平台，让这些国家在一定程度上能够聚到一起，尽管它们的法律制度和政治制度各不相同。有一点非常明确：我们留下的任何空隙，都会被犯罪分子利用。新冠疫情期间我们也看到，犯罪分子多么迅速地将说辞转向社会出现的新漏洞。因此，任何危机发生后，犯罪分子都会伺机利用。
今天早些时候，我们在这里谈到了元宇宙。我相信，就在我们此刻交谈时，犯罪分子已经在准备把它用作犯罪活动的平台。同样，我们别无选择——国际刑警组织的存在正是为了提供这样的平台。它完美吗？当然不。但另一方面，我们是否在一些情况下成功地促成各方齐聚一堂，即使其中一些方面存在外交问题（在如今这个时候，这话不太好说）？是的，我们做到了。我认为别无选择。互联网是全球性的，我们需要一支全球性的警察力量，或者至少，我们努力在某些情况下把各国执法力量聚到一起，这就是我们的职责。
凯伦·措：我们再听几个问题。
伊农·科斯蒂卡（观众）：我叫伊农·科斯蒂卡，是云安全公司Wiz的联合创始人。我们与多家《财富》500强企业合作。我们意识到，真正推动改进的关键，是与构建云应用的工程师合作。你提到人为因素是最大的失误来源，也提到我们需要更多培训。刚才我们又听到有人提问，说到信息暴露，以及人们不知道长远后果会是什么。所以我想问，如何才能推动更多全球范围的网络安全教育和认知普及，让每个人都有工具评估自己的风险？举例来说，我父母收到一封邮件，说“我们有你们的照片，往这个地址支付1,000美元”。我告诉他们，这完全是胡说，不过是敲诈，别理它。但他们不知道该怎么办，害怕了两天，也不知道该去哪里问。所以我的问题是，我们怎样才能建立一个全球社群，开展培训并提高认知？
凯伦·措：钱德尔，你愿意谈谈这个问题吗？
钱德尔·普拉卡什·古尔纳尼：我同意，防患于未然才是正确做法。如果你编写的代码安全，而且设置了足够的防火墙，我认为任何人都很难侵入代码。因此，从根本上说，这才是正确的做法。第二，我认为我们谈到了教育问题。要立即解决这一部分并不现实：如何现在就为数千万用户提供教育？因为众所周知，漏洞并非只来自一种操作系统、一段代码或一种工具。漏洞也可能来自智慧城市、智能工厂或智能计量系统。
无论你怎么看，要防止这种情况发生，大致有两种办法：一是做个守法公民，这样就没有犯罪；二是部署足够多的警力，让人们因为害怕警察而不敢犯罪。我认为两者都需要。我们需要开展教育，但这需要时间。在此之前，我认为我们有些人必须发挥催化作用。我也完全同意，像你这样的人在编写代码时，应尽量确保代码安全。作为一个社群，如果我们开始为安全代码支付更高的价格，我认为这是正确的方向，因为人们会明白，安全代码能带来经济收益。
约瑟芬·张：我想补充两点看法。第一，我完全同意。设计阶段就融入安全性应该成为你的竞争优势。如果你能向市场提供内置更多安全功能的产品，就应该能够获得溢价，久而久之，人们会明白付费购买对自己有利。
但我也想说，我不确定这是否需要全球共同努力才能启动。我认为，各国政府都有责任照顾本国公民，帮助公民了解他们在网络空间活动时面临的风险也符合我们的利益。这要从在校儿童开始，帮助他们了解自己可能遭遇哪些网络危害，以及如何应对。例如，可以与企业合作。在新加坡，谷歌就有一个很好的项目，帮助学生学习一些简单的事情，比如设置强密码。
但人口中还有其他容易受到伤害的群体——例如容易成为诈骗者目标的老年人。除了加强防范诈骗者的能力，政府也可以开展大量教育工作。有时由警方牵头，与行业组织、公民团体和民间社会组织合作。我认为，这些努力都可以在国家层面开展，而且符合我们自身的利益。
于尔根·施托克：没错。执法部门需要行业帮助我们获得工具，以便在新的虚拟环境中调查网络犯罪。我们有一支执法机构中的冠军联赛，成员训练有素、装备精良；但在195个成员国的警察部门中，可能有70%装备不足、缺乏培训，很多时候甚至什么都没有。因此，我们也需要私营部门支持，开发易于操作的解决方案，以调查这类犯罪。
罗伯特·M·李：我同意刚才大家说的一切。我想再补充一点，回到我们的情景和需求讨论。部长刚才谈到了分心问题。你的父母需要担心网络攻击、系统瘫痪、变压器和电力系统吗？在他们负责运行这些系统之前，大概不需要，对吧？我们总是在谈网络安全，也一直在做各种网络安全工作。我认为，作为领导者，我们有时未能为社区明确最初的需求，即使是在企业层面也是如此。这家公司需要担心什么？确定两三个需要关注的情景和需求。公司不需要为所有可能发生的网络安全事件做好准备。
如今谈网络安全教育，应该从哪里入手？这个领域太广了。现在已经不能再做网络安全通才了——20年前当然可以。如今不行，需要云安全专家、工业安全专家，等等。即使只说工业安全，电力领域的专家和制药领域的专家也各不相同。因此，我认为要明确需求和情景，并想清楚我们希望社区实际做到什么，而不是只说网络安全、网络卫生，或其他任何听起来不错的说法；那些说法最终只是把关注点像花生酱一样涂得太开，反而没有真正采取行动。
凯伦·措：提问时间到了。非常抱歉。我知道大家还有很多问题，但请每位嘉宾用10秒钟回答：罗伯特，你希望未来12个月发生什么？
罗伯特·M·李：我希望企业高管能够更好地理解公司面临的运营技术风险，并为此投入一些精力。选择一条路径，具体是哪条不重要，但要选定一条，并认识到不能把IT战略照搬到发电厂。
钱德尔·普拉卡什·古尔纳尼：就我而言，也包括在座的政策制定者：聚焦教育、聚焦人才、聚焦技能。
约瑟芬·张：网络安全是个棘手的问题，永远无法一劳永逸地解决。绝不能把它当作事后才考虑的问题，而应始终列为优先事项。
于尔根·施托克：加强并进一步制度化公私合作伙伴关系。
凯伦·措：回答非常简洁。非常感谢于尔根、部长、钱德尔和罗伯特，感谢各位拨冗参与。
查找我们的所有播客，点击此处。
加入世界经济论坛播客俱乐部Facebook社群。
通过wef.ch/wef22以及社交媒体，使用话题标签#WEF22，回顾世界经济论坛2022年年会的精彩内容。
