网络安全已不足够：企业需要网络韧性

• 网络钓鱼、恶意软件和勒索软件攻击等欺诈行为，威胁着整个经济体、政府以及我们的生活方式。

• 网络安全侧重于保护数据，但已不再足够；企业需要网络韧性。

• 为帮助企业提升网络韧性，需要一个框架来衡量其水平。

如今，我们可以随时随地办公，使用更多设备、连接更多网络，面临的风险也比以往任何时候都更大。网络钓鱼、恶意软件、勒索软件攻击及其他欺诈行为十分普遍，不仅威胁个人或平台，还威胁整个经济体、政府以及我们的生活方式。

然而，我们对保护企业及数据的思路并未真正跟上形势。企业资源往往仍被分配用于防御性网络安全，其重点在于保护数据的保密性和完整性。但面对日益复杂的攻击，这些防御措施正被证明是不够的。我们需要网络韧性作为网络安全的补充，理解二者之间的区别十分重要。

为何选择网络韧性而非网络安全

网络韧性始于做好网络安全的基础工作；在Salesforce，我们称之为“把寻常之事做到不寻常的出色”。这包括修补漏洞、检测和缓解威胁，以及对员工进行安全防范教育。但我们需要持续开展这些工作，而不是每年只做一次。

除此之外，企业还需要将韧性融入业务的每个环节，从业务流程梳理到服务可用性工程，再到关键供应商依赖关系。企业需要将网络犯罪的影响限制在对公司品牌、财务、法律及客户信任义务的范围之内。尽管这些领域通常较少受到关注、资源投入或高管重视，但在面临真正威胁时，它们是至关重要的组成部分。

网络韧性的目标已相当明确：以最小的影响确保运营和业务的连续性。但现实往往更难把握，因为目前尚无衡量网络韧性的良好方法。作为领导者，我们需要对自身应对攻击、维护客户信任、吸收财务、法律和品牌影响并恢复正常经营的能力，保持一定程度的信心。然而，目前尚无被广泛接受的网络韧性框架，也没有成熟度模型，而我认为应当有。

毕竟，还有无数其他成熟度模型，可用于衡量企业在能力、数字化转型、供应链、网络安全和数据管理等方面的水平，仅举几例。网络韧性的成熟度会是什么样子？这不仅关乎应对和恢复的能力，更关乎我们恢复的速度以及我们所优先考虑的事项。

我并非提议另一份清单或自我评估方法。成熟的网络韧性方法应当灵活、适应性强并持续改进。我建议我们设计一个框架，描述一组特征，帮助企业及其领导层理解什么是网络韧性以及将如何实现它。该框架将描述一种实现网络韧性的方法与态度。

例如，贵机构是否在随意地开展韧性工作？制定了计划却只在审计人员询问时才拿出来看？在本可以使用PagerDuty的情况下却还在构建呼叫树？真正的韧性需要一种多维度的方法，既能动态应对威胁，又能保持业务目标不受影响。

衡量网络韧性可能包括：

- 识别您的核心资产和关键能力；

- 考察您的系统之间的相互关联性，以及您遭受攻击的脆弱程度；

- 更迅速地适应更广泛的社会和政治环境；

- 与同行、竞争对手及公共机构建立合作伙伴关系；

- 考察您的团队如何招聘和培养技能；

- 转变您的方法，使您不仅是在保障业务安全，还在借助安全手段赋能业务；

- 衡量您是否保持着信任与敏捷的文化；以及

- 衡量客户信任度与透明度。

每个组织都有其独特的风险，没有任何一种模型可以作为适用于所有情况的网络韧性通用方法。但这一方法有助于指导投资决策、围绕共同目标团结利益相关方，并推动持续改进的实践。最重要的是，网络韧性应使领导层确信：当最糟糕的情况发生时，组织仍能履行其承诺。

成熟度模型应用中的挑战

以数值评分为基础、以评估为核心的框架可能导致流于形式的文化。但网络韧性并不关乎比较，也不存在最终目标。该衡量框架应通过聚焦确保整个价值链具备韧性所需的人员、流程和技术，从而适用于不同行业。

美国在推出改善关键基础设施网络安全的美国国家标准与技术研究院（NIST）框架时，曾发出全国性的行动号召。如今，社会与企业正处于另一个转折点。公共和私营机构都在以全新的、更加数字化和分布式的方式开展工作，这进一步打开了网络风险的闸门。2021年5月的总统行政令指出：“美国正面临持续且日益复杂的恶意网络行动，这些行动威胁着公共部门、私营部门，并最终威胁美国人民的安全与隐私。”该行政令呼吁建立公私合作伙伴关系，以作出保护混合云基础设施所必需的重大变革。

与NIST框架一样，重要的是，一个全新的、可扩展的网络韧性框架应当通过此类合作伙伴关系来制定，以供各行各业的组织使用。因此，请将此视为一项公开倡议：我们能否携手建立这一框架？我们能否让网络韧性成为日常业务的一部分？我们需要共同努力，让每个人都变得更加强大。