随着网络威胁增加，网络安全不应仅被视为技术问题，而应被视为战略、文化与合作的问题。
据世界经济论坛《2022年全球风险报告》，网络安全失效仍然是对世界构成关键性短期和中期威胁的因素之一。
以下是组织高级管理层应优先考虑、以将网络韧性融入组织的五件事。
长期以来，网络安全一直被视为IT问题，并被委托给技术专家负责。然而，随着威胁不断增加，网络安全不应仅被视为技术问题，而应被视为战略、文化与合作的问题。这要求商业领袖在管理企业内部的网络风险方面以身作则，从而保障个人、组织和国家日益依赖的数字经济。事实上，无论是在网络安全还是其他技术问题上，有效的领导力只会随着时间推移变得愈发关键。
这一点尤为重要，因为变化的步伐正在加快，在数字领域尤其如此。数字化加速的迹象随处可见。据研究机构DataReportal，全球有超过50亿人使用互联网，这意味着全球超过63%的人口now已经上网。数字化也是企业转型不可或缺的一部分。据另一家研究机构Statista的数据，2025年全球数字化转型支出将达到2.8万亿美元。
然而，在这些趋势之中，还潜藏着另一种更为险恶的趋势：不法分子正积极寻求利用个人和组织的脆弱性。出于多种原因，网络空间的性质对犯罪分子十分有利。
其一，准入门槛较低。只需10美元，任何人便可在暗网上购买简单的攻击手段；即便是复杂的攻击，成本也仅需几百美元（即所谓的“网络犯罪即服务”）。
其二，受到起诉的风险相对较低。与实体犯罪不同，实体犯罪中受害者与犯罪者通常位于同一司法管辖区，而在网络犯罪中，位于一国的犯罪分子可以对另一国的组织发动攻击，所得收益则可转移至第三国。这使得起诉变得困难（顺便一提，这也使得私营部门与各地执法机构之间加强合作变得更加重要）。
其三，犯罪收益诱人。据Sophos这家IT安全公司报告称，遭受勒索软件攻击的组织平均赎金支付额接近234,000美元，且该赎金可使用难以追踪的加密货币支付。
尽管这些问题并非新鲜事物（网络犯罪已存在数十年），但随着技术进步，它们正日益令人担忧。可以说，直到2017年“永恒之蓝”（Eternal Blue）漏洞利用程序泄露事件发生，网络安全才成为全球企业领导者高度关注的首要问题，这一事件堪称分水岭。该漏洞由美国国家安全局开发，泄露后引发了袭击英国国家医疗服务体系的WannaCry勒索软件攻击，以及袭击乌克兰及其他地区多个组织的NotPetya网络攻击。毫不奇怪，“网络攻击”和“数据欺诈或盗窃”被列为按发生可能性排名前五的风险之一，出现在世界经济论坛的《2018年全球风险报告》。
“鉴于优质人才匮乏，高级管理层需要投资于在组织内部招募和培养现有人才” - Akshay Joshi
这一问题不会自行消失。恰恰相反，过去几年网络攻击的频率和严重程度已经改变了领导者对网络威胁的看法。根据论坛的《2022年全球风险报告》，“网络安全失效”仍然是对世界构成关键性短期和中期威胁的因素之一。当受访者被问及长期信号时，网络安全在排名中似乎有所下降，这表明风险认知存在盲点，而并非威胁会自行消散。
网络风险认知差距确实存在。论坛的《2022年全球网络安全展望》报告指出，尽管85%的网络安全领导者认为网络韧性是其所在组织的业务优先事项，但在将网络风险与众多其他风险进行优先级排序时，争取决策者的支持仍是一项突出挑战。此外，就网络韧性而言，尽管92%的受访商业高管认为网络韧性已融入企业风险管理战略，但仅有55%的网络安全领导者表示同意。
如果我们要成功建设具备网络韧性的组织，就必须弥合这一差距。这需要首席执行官、董事会及其他首席高管层转变思维方式。就网络攻击而言，问题不在于“是否”发生，而在于“何时”发生。因此，重心必须从关注网络风险转向建设网络韧性。毕竟，在网络攻击不可避免的环境中，为其做好准备固然至关重要，但同样重要的是建立机制，以应对并从中恢复。
以下是组织高级管理层应优先考虑、以将网络韧性融入组织的五件事：
将网络安全视为战略性业务优先事项
一家总部位于亚洲、每年进行约10笔企业并购交易的大型工业企业集团的一位高级管理人员报告称，网络安全团队往往是最后才对目标组织进行尽职调查的人员，甚至可能根本不参与。结果是，收购方在试图将目标公司与母公司整合时，可能会面临大量尚未解决的漏洞，这往往会带来大量不必要的成本。
投资者的情况也类似，他们在投资前很少进行网络安全尽职调查。2019年，论坛发布了一份报告，《促进负责任和安全的创新：投资者原则与指南》，以帮助解决这一问题。由此得出的教训是：网络风险即业务风险，必须加以理解、排列优先级，并将其融入关键的战略和运营决策之中。
确保网络安全治理成为董事会的必要职责
在大多数组织中，首席信息安全官（CISO）负责网络安全事务。然而，与大多数战略性问题一样，董事会和组织内的高级管理层需要定下基调、制定管理网络风险的机制，并对企业的网络韧性承担责任。
去年，论坛与美国企业董事协会、互联网安全联盟、普华永道及其全球合作伙伴合作，制定了一套六项共识原则，以帮助董事了解其组织当前的网络安全状况、履行监督职能并设定未来目标。
此外，美国证券交易委员会近日提出了新规则，该规则将要求披露公司在董事会和管理层层面的网络安全治理情况。这些规则一旦最终确定，将凸显董事会在有效监督网络风险管理方面的作用，确保网络风险始终是整体业务战略的组成部分。
培育网络韧性文化
有效的网络风险管理需要兼顾三个关键要素：技术、流程和人员。其中，人员可以说是最薄弱的环节。据网络安全教育与培训公司Cybint的数据，95%的网络安全漏洞源于人为失误。因此，确保员工有能力理解并践行有助于组织网络韧性的行为，无疑至关重要。
为了改变文化，高级管理层必须定下基调，并建立机制，促使组织各层级对网络韧性承担问责。关于网络韧性战略、实践和知识的开放与沟通，有助于在员工中树立主人翁意识。
最后，持续培训对于提高员工对网络韧性概念和最佳实践的认识，其重要性怎么强调都不为过。
打造优质的网络安全人才队伍
全球网络安全人才极为短缺。根据（ISC）2021年《网络安全人才研究》，仍存在超过270万的人才缺口，为有效保护组织的关键资产，网络安全人才队伍需要有效增长65%。
当被问及其组织是否具备应对和从网络攻击中恢复所需的技能时，论坛的《2022年全球网络安全展望》中，有一半受访者表示，由于团队内部技能短缺，他们在应对方面将面临挑战。在拥有5,000至50,000名员工的公司中，不到四分之一的公司“拥有[其]当今所需的人员和技能”。
鉴于优质人才匮乏，高级管理层需要投资于在组织内部招募和培养现有人才。在求职者市场中，恰当的工作条件对于确保员工满意度和留任率至关重要，这些条件应包括美国作家丹·平克所称的“内在”与“外在”动机激励杠杆”，对于确保员工满意度和留任率至关重要。
还需要设计创新解决方案，为现有人才转向网络安全职业提供途径。为此，Salesforce、Fortinet、全球网络联盟（Global Cyber Alliance）和世界经济论坛共同创建了网络安全学习中心，该中心提供免费的、以职业为导向的模块，为人们通往这些抢手岗位提供路径。
激励公私合作
网络犯罪是一门生意，网络犯罪分子通过分享攻击技术和工具的信息相互协作。为了领先于网络威胁，需要在更广泛的生态系统中加强公私行为体之间的协作。
合作伙伴关系的价值已得到验证。在《2022年全球网络安全展望》报告中，超过90%的受访者表示，他们从外部信息共享团体和/或合作伙伴处获得了可行的见解。值得注意的是，85%的受访者同意，如果这样能加大对网络犯罪的惩处力度，他们愿意更加透明，并与执法部门合作。
然而，合作也存在重大障碍，例如，监管限制和法律边界往往会阻碍信息共享。高级管理人员必须鼓励在网络安全问题上开展合作，并消除限制行业参与者、国家网络机构与执法部门之间及相互之间交流的组织性障碍。这些合作不仅有助于提升防范准备，在危机来临时，来自更广泛生态系统的支持也可能成为扭转局面的关键因素。
由此可见，网络安全不仅是技术问题，更是战略、文化与合作的问题。
21世纪的领先企业，将是那些拥有正确领导力、不仅优先关注网络安全、也优先关注网络韧性的企业。
上传者注意：请在社交帖子中添加#CybersecurityAwarenessMonth，并在Twitter上添加@WEFCybersecto。
