法国本土一次持续六小时的冬季停电，可能给家庭、企业和重要机构造成总计超过15亿欧元的损失。对关键电力基础设施精心策划的网络攻击，可能对一个国家产生此类经济影响。这现实吗？美国国土安全部官员曾于2018年公开表示，黑客已渗入美国多家电力公司的控制室，其能力足以中断向用户供电。
过去一年，作为世界经济论坛“网络韧性系统：电力”公私合作工作组的联合主席，我们投入大量时间探讨如何降低网络攻击影响关键电力基础设施的风险，并在日益复杂的电力生态系统中确定最佳的网络韧性路径。
过去10年间，电力行业遭受了重大网络攻击——下图提供的是一份非详尽的概览。2010年，“震网”（Stuxnet）计算机病毒对伊朗核电离心机造成重大破坏，这些离心机被操控至失控旋转。2014年，一组黑客取消了约65万美元应付给一家土耳其能源公司的电费。2015年，乌克兰三家能源公司的控制系统遭入侵，导致22.5万名客户断电。2016年，“Crash Override”恶意软件再次引发乌克兰一起与网络相关的停电事件。
我们这一行业在保护关键基础设施免受环境事件和物理攻击，以及建设有韧性的网络方面拥有多年经验。如今，我们需要强化这些协议，实施新的做法和策略，以应对新的数字风险。尤其是随着越来越多新技术和主体进入生态系统，一旦遭到入侵，可能对整个电力系统产生连锁效应。
尽管已有多项针对电力行业的网络信息共享举措，但正如下图所示，跨境实时、以机器速度进行的信息共享，以及集体态势感知，仍有很长的路要走。尽管随着安全分析、机器学习、人工智能乃至量子计算的日益成熟，技术的持续演进将有所助益，但仍存在诸多挑战。
电力行业历来与供应链上的相互依存高度关联，更不用说与电信、港口和污水处理设施等其他关键基础设施行业的关联。这种互联性正在增强。美国国土安全部部长克斯滕·尼尔森（Kirstjen Nielsen）曾表示：“超级互联意味着你的风险now就是我的风险，而‘最薄弱环节’遭受的攻击可能会影响我们所有人。”在当今环境下，企业不仅需要守护自身的“房屋”，还需沿整个供应链开展合作，以确保整个“街区”都得到保护。
鉴于我们这一行业是受监管最严格的行业之一，驾驭监管环境始终是一项挑战，对于需要在每个市场遵守略有不同法规的跨国机构而言尤其如此。
尽管如此，必须认识到，对我们的企业而言，“合规”并不等于“安全”。真正的网络韧性更多取决于战略和文化，而非战术。应像处理其他业务风险那样系统性地应对网络风险的战略，以及让每位员工都对组织的韧性承担个人责任的文化，才是关键。
我们讨论的成果是近期发布的“电力生态系统中的网络韧性”报告，该报告详述了电力行业企业董事会应遵循的七项原则。这些高层原则专为推动我们行业整个生态系统网络韧性的提升而设计。
电力远不止是另一个技术系统，它是社会的生命线。维护这一重要系统的正常运行需要持续改进。在2018年势头的基础上，我们的目标正在扩大。2019年，作为联合主席，我们计划继续领导并与这一公私合作团体协作。借助世界经济论坛独特的中立平台，我们旨在共同制定指标，帮助领导者衡量其网络韧性努力的价值。此外，我们希望就网络韧性政策的全球通用方法向政策制定者提出建议，并希望通过就网络韧性方面不同利益相关方的角色与职责达成一致，加强电力供应链上的协作。这现实吗？12个月后请回来看看我们的成果。
自2018年5月以来，作者一直担任世界经济论坛“网络韧性系统：电力”工作组的联合主席。该工作组由世界经济论坛的电力行业合作伙伴以及公共和私营部门的高级领导人组成，并与波士顿咨询公司共同合作，近期发布了报告，《电力生态系统中的网络韧性：董事会原则与指导》。
