如何为现代时代构建公私网络安全合作伙伴关系

• 在每个国家，真正强大的网络安全专业知识都由政府掌握并加以保护。

• 然而，鉴于网络攻击对企业的威胁日益增加，其手段也日趋复杂，这种状况必须改变。

• 以下是企业与政府应如何相互迈出第一步，共同构建更强大的全方位网络防御体系。

网络攻击持续被视为一项关键商业风险。在世界经济论坛近期发布的《2019年营商区域风险报告》中，受访者中来自全球十大经济体中六个经济体的人士将网络攻击列为其首要风险。

然而，与财政危机或能源价格冲击等其他风险不同，网络攻击有明确的应对手段：网络安全。尽管过去十年网络安全支出持续增长，受访者仍对自身能否提供足够强大的网络安全以化解风险缺乏信心。这是为什么呢？

一个关键原因在于，即便是规模最大的商业机构，对网络安全的认识和理解也十分有限。既然几乎每家机构都已任命了首席信息安全官（CISO），而且（至少在新冠疫情前）全球密集的会议活动也使他们能够不断分享经验和最佳实践，为何仍会如此？答案是，在每个国家，如何提供强大的网络安全——即真正能够可靠地化解网络攻击风险的网络安全——的知识，仍然被严密掌握在政府和国家安全界的狭小圈子之中。

国家治理之道

政府长期以来一直需要保护其最敏感的系统免遭网络攻击，而这些攻击往往来自其他国家的政府。当然，还有一面镜像：各国政府也有对竞争对手发起网络攻击的经验。因此，它们保护最关键系统的方法既源于迫切的必要性，也基于实践经验。这些方法通常与私营部门的网络安全实践大不相同。

人们普遍认为，保护政府最敏感系统（例如存有机密信息的系统）的措施简单但不切实际。这些系统难道不是“物理隔离”的吗，即未与互联网等可信度较低的系统进行物理连接？尽管这曾经属实，但各国政府此后已形成了成熟的实践体系和指导方针，说明如何在敏感系统与不可信系统之间建立连接，并以有效的方式提供强有力的网络攻击防护。

全球商界领袖眼中的十大风险Image: 世界经济论坛《2019年营商区域风险报告》

总体而言，美国国家安全局（NSA）和英国政府通信总部（GCHQ）等政府机构，已通过美国国家标准与技术研究院（NIST）等论坛广泛分享其网络安全专业知识。然而，敏感系统与不可信系统之间的连接——通常被称为“跨域解决方案”——仍是一个鲜有人涉足的领域，即便在政府部门内部，相关知识也鲜为共享。事实上，直到最近，大多数国家的大部分相关信息仍属于机密且受出口管制。但随着各国政治层面日益认识到，保护往往由商业机构持有的关键基础设施和服务，与保护军事和外交机密同样重要，许多政府原则上已愿意分享其知识。

然而，很少有商业网络安全专业人员知道这一知识体系的存在。由于它处于间谍如何防范其他间谍的核心位置，这或许并不令人意外。同样不足为奇的是，当这一话题被提及时，语言的壁垒往往使人难以理解，进而加深了误解。正如商业安全服务机构对政府经验并不熟悉，政府服务机构也常常不了解当今企业环境的现实情况。两个群体的出发点存在如此差异，意味着即便尝试沟通，沟通本身也构成了障碍。

并非所有源自政府服务机构的这些高强度安全方法都已适用于主流部署；毕竟，体现这些方法的产品直到最近才开始面向主流买家。但商业机构需要将这些方法与现有技术供应商所推广的方法进行比较评估（这些供应商当然并非毫无利益关系的一方），然后与初创企业及其他创新者合作，开发其所需的新产品和新能力。

在过去十年中，公私合作伙伴关系一直是网络安全发展的核心，它通过商业机构与历来保密的政府机构之间的威胁信息共享得以实现。如今，一个新的公私合作伙伴关系时代、一个全新的信息共享领域已经到来。

商业机构需要推动其政府合作伙伴分享有关其如何保护最敏感系统以实现强大网络安全的信息，同时还需投入时间学习和消化陌生的知识体系。政府方面则肩负着若干职责，以确保信息共享过程高效、富有成果。

承担责任

首先，政府需要更加公开地讨论那些历来仅在小范围社群内分享的议题。对于历来保密的组织而言，这涉及文化层面的转变，并且与威胁情报共享之间的相似之处十分明显：需要设立专门的项目和计划，以在此前几乎没有公私对话的领域开启公私对话。

其次，政府需要认识到，虽然其许多做法和经验可能与商业机构相关，但并非全部如此。尤其是，商业机构对于防范影响业务连续性的攻击——例如防范勒索软件——的兴趣，将远高于对保护机密信息专门措施的兴趣。

第三，政府安全服务机构需要认识到，其内部使用的语言未能与商业世界产生共鸣，双方相互不理解是可以预见的。首要任务是建立合作伙伴关系：找到共同的术语和出发点，以实现有效沟通，同时识别需要加以应对的关键差异。在这一领域的对话中，即便是最“显而易见”的假设，也值得加以质疑。

二十年前，政府之外的人无需了解这些高安全性方法。但在一个企业将网络攻击列为首要风险的世界里，若企业在未充分了解自身选择的情况下便要求其防御这些攻击，这是不合理的。十年前，人们对网络风险的认识尚且不足；用于威胁情报共享的公私合作伙伴关系已显著改变了这一状况，并使网络风险跃居企业议程的首位。如今，随着一个专注于能够有效化解网络攻击风险的强大网络安全措施的新公私合作伙伴关系的建立，未来十年，我们便可以着手将这一风险降下来。