领导者为何必须转变网络韧性的衡量方式

• 事件发生后的恢复能力已不足以单独衡量一个组织的网络韧性。

• 日益复杂的网络犯罪以及继承而来的第三方风险，正促使领导者重新思考如何治理网络风险。

• 如今，网络韧性应更多地在前端进行衡量，即从防范、早期缓解以及恢复等角度进行评估。

随着网络韧性在全球董事会和高管层讨论中日益受到重视，领导者越来越认识到，网络风险是一个核心的业务、运营和治理问题。

然而，传统上网络韧性主要在恢复阶段进行衡量：系统能以多快速度恢复、危机应对团队的应对成效如何，以及事件发生后组织能在多大程度上遏制损失。

这些能力固然重要，但在人工智能（AI）驱动的攻击日益增多、数字依赖不断扩大以及第三方风险持续上升的环境中，领导者需要更为广泛的应对思路。

如今，网络韧性应更多地在前端进行衡量：首先应将其视为风险缓解和防范能力，即在损害发生之前降低中断的概率、规模和业务影响的能力；只有在预防措施不足时，才应将其视为恢复能力。

网络事件：组织面临的高昂现实

这一转向以防范和风险缓解为重点的必要性日益紧迫，因为网络事件已成为全球各类规模组织的日常现实。世界经济论坛的《2026年全球网络安全展望》2026年全球网络安全展望 描述了这种快速变化的环境，其特点是AI驱动的风险、地缘政治碎片化以及日益扩大的网络不平等。

过去一年网络风险增加或减少的感知情况Image: 世界经济论坛

由于恢复通常远比防范代价高昂，因此改变这一思维方式也有着强有力的经济理由。IBM的《2025年数据泄露成本报告》发现，全球数据泄露的平均成本为440万美元，而更快速的识别和遏制是降低损失的关键因素。

该报告补充道，广泛使用AI和自动化技术的组织，将数据泄露生命周期缩短了80天，并将平均泄露成本降低了190万美元。公开案例更清楚地说明了这种不对称性：马士基估计，NotPetya攻击使其损失了2亿至3亿美元，这些损失来自业务中断及恢复工作。

网络韧性的衡量方式必须如何演进

对领导者而言，其中的启示很明确：韧性不仅在于承受冲击，更在于从一开始就减少对代价高昂的恢复工作的需求。因此，网络风险衡量现在需要通过四项相互关联的转变来加以演进。

从静态转向动态

在新架构、供应商、软件更新、AI部署和暴露身份每天都在改变的数字环境中，偶尔开展的问卷调查和时点审查已不再足够。

现代韧性衡量应发挥持续监测机制的作用，而不仅仅是定期审计。英国国家网络安全中心通过其积极网络防御计划提供了一个有益的范例，该计划提供持续服务和自动化检查，以大规模降低常见攻击造成的危害。

更广泛的原则很简单：衡量工作必须与其所要保护的环境实时同步发展。

从声明式转向可观测

随着网络风险变得日益复杂且快速演变，网络韧性不能仅依赖访谈、自我评估或政策文件；它还需要可观测的证据，以证明系统、控制措施、流程和团队在实践中切实有效地运行。

领导者和网络团队越来越依赖外部情报，以便在事件发生前加强防范能力。这意味着要对面向互联网的漏洞、非预期暴露以及新兴威胁的迹象进行外部评估，以便更早发出预警。

时间优势至关重要：在内部工具发现入侵迹象之前获取由外而内的风险情报，可以使防御方有机会在威胁抵达边界之前采取行动。

可观测性并非等待内部警报来确认损害，而是利用外部结果（从漏洞扫描到泄露网站和暗网监测）来识别组织可能已经存在漏洞、暴露或成为攻击目标之处，从而在入侵演变为中断之前采取行动。

从合规转向可执行

合规仍然有用，在受监管行业尤其如此。但仅凭合规评分并不能保护组织。良好的衡量结果会促成更优的管理决策，例如优先修复哪些漏洞、哪些供应商需要上报升级，以及哪些资产应当脱离暴露状态。

成熟的事件响应指南和框架明确了这一优先排序逻辑：治理、识别和保护与响应及恢复并非彼此割裂；它们有助于预防事件、降低影响并随时间推移改进事件管理。只有当衡量结果为优先排序、投资和整改提供依据时，衡量才具有真正的价值。

网络安全专家感到乐观的五个原因

04:10

从个体转向系统

尽管越来越多的证据表明，网络韧性依赖于更广泛生态系统中的协调、信息共享和可见性，但许多组织在评估网络韧性时，仍仿佛风险止步于自身边界之内。

2025年Verizon报告分析了22,052起真实世界的安全事件，发现30%的数据泄露涉及第三方，大约是上一年的两倍。这意味着，韧性衡量不仅要在组织内部开展，还必须延伸至供应商、服务提供商、软件依赖项、暴露的凭证以及在正式边界之外流通的泄露数字资产。

SWIFT客户安全计划是一个实际范例，它将强制性控制措施与认证相结合，以增强金融生态系统的信任，而非任由每个参与方孤立地管理风险。

信息共享与分析中心（ISAC）提供了另一种实用模式，使同一行业的组织能够共享情报，共同增强网络韧性。在相互关联的经济体中，必须在干扰可能传播的地方衡量和管理韧性。

支持一致网络衡量的框架

组织可以依托成熟的框架和标准，在上述四项转变中开展一致的衡量工作。例如，NIST CSF 2.0为网络风险的治理、识别、保护、检测、响应和恢复提供了切实可行的结构。MITRE ATT&CK则提供了一个知识库，帮助组织将防御措施与现实世界中的对手行为相对应。这些框架及其他框架共同为董事会、安全团队、供应商和监管机构提供了通用语言。

领先的组织已经在转变。网络韧性不再仅通过事件发生后的结果来衡量，而是要看组织是否在加强防范、减少暴露、将衡量结果转化为行动，并应对数字风险的系统性本质。

在实践中，有四个问题至关重要：我们是否在进行动态衡量？我们观察的是运营成效，而非自我声明？我们的衡量结果是否在推动行动？我们的监测是否延伸至边界之外，覆盖我们所依赖的更广泛生态系统？

2026年，能够对上述问题作出肯定回答的组织和政府，将更有能力预防中断、保护信任、减少直接和间接损失，并以更大信心加速数字创新。