为优化网络安全，我们为何需要业务、运营和财务韧性

• 为降低风险并增强抵御恶意网络活动的韧性，政府与私营部门必须调整各自的网络安全风险管理方式。

• 将网络安全融入运营和治理的各个环节，对私营部门和政府都大有裨益。

• 投资网络安全需要成本，但削减网络安全投入的代价更高。

2022年数据泄露的平均成本为435万美元，预计2023年将达到500万美元。网络安全研究机构Cyber Ventures预测，到2025年，网络犯罪将给全球造成 10.5万亿美元的损失。据美国证券交易委员会（SEC）称，“网络安全事件可能造成的潜在成本和损害十分巨大。许多规模较小的公司曾遭受严重的网络安全攻击，最终因此倒闭。”

为降低风险并增强抵御恶意网络活动的韧性，政府与私营部门必须调整各自的网络安全风险管理方式。双方必须更具战略性地利用自身能力，并制定框架，使投资与网络威胁相匹配。

行动号召

2023年3月，白宫发布了备受期待的《国家网络安全战略》。该战略为这一“决定性十年”指明方向，认识到数字生态系统中的不同行为体在降低风险、监测恶意网络活动、综合威胁信息并提供可行指导、打击威胁行为体以及建设韧性等方面各具比较优势。为此，该战略对政府和私营部门提出了更高要求。

《国家网络安全战略》由两项总体原则推动。第一，“网络空间中能力最强、位置最有利的行为体，必须更好地履行数字生态系统守护者的职责。”第二，“经济和社会必须激励决策，使网络空间在长期内更具韧性和防御能力。”使政策和商业决策与这些原则保持一致，无疑将提升我国的国家网络安全态势。更安全、更具韧性的网络领域也有利于商业发展——投资安全需要成本，但清理数据泄露的代价更高。

为承担更多安全责任而进行必要投资，短期内可能产生成本，但也将提升公众对关键基础设施和技术可靠性的信心，提高生产力和利润，并促成联邦政府与私营部门之间更强、更具战略性的伙伴关系。简言之，将网络安全融入运营和治理的各个环节，对私营部门和政府都大有裨益。

政府的范式转变

长期以来，联邦政府依赖自愿性框架，鼓励私营部门采用强有力的网络安全标准。网络事件，例如SolarWinds供应链攻击和Colonial Pipeline勒索软件攻击，然而，这些事件表明纯粹自愿模式存在局限，并凸显了网络事件的连锁后果。在《国家网络安全战略》发布之前，2020年和2021年的高调网络攻击已迫使联邦政府重新评估其对自愿措施的依赖，以提升关键基础设施和技术公司的网络安全水平。

认识到需要提高国内网络中恶意活动的集体可见性，美国国会颁布了《2021年关键基础设施网络事件报告法》，该法要求相关实体在72小时内向网络安全和基础设施安全局（CISA）报告某些网络事件。该立法赢得了私营部门的支持，因为它使联邦政府能够更快地打击恶意网络行动，并提供有关对手战术的关键洞见

与此同时，行政部门在推动采用更强有力的网络安全实践方面一直十分积极。负责网络与新兴技术的国家安全副顾问Anne Neuberger于2021年6月向企业高管和商界领袖发出一封公开信，敦促他们落实第14028号行政令中的五项最佳实践，包括使用第三方渗透测试人员和完善事件响应计划。

2021年7月，拜登总统签署了《关于改善关键基础设施控制系统网络安全的国家安全备忘录》，责成国土安全部（DHS）和商务部为关键基础设施制定网络安全绩效目标。两部门于2022年10月发布了跨行业基线网络安全绩效目标（CPG），此后不断更新。自发布以来，CPG已为地面交通和航空等领域的新联邦网络安全要求提供了依据。

2023年2月，网络安全和基础设施安全局（CISA）局长Jen Easterly与网络安全执行助理局长Eric Goldstein在《外交事务》杂志上发表文章，论证道：“在每家企业中，网络安全责任都需要从IT部门提升至董事会、首席执行官和高级管理层层面。”为此，Easterly局长和Goldstein执行助理局长宣布“每个技术提供商都必须从打造既‘默认安全’又‘设计安全’的产品开始。”此后，他们一直倡导采纳这些原则。

与此相关，2022年3月，美国证券交易委员会（SEC）发布了关于网络安全风险管理与治理的拟议规则。SEC的新规则旨在使高级管理层和董事会切实参与其中。

除其他事项外，该拟议规则明确了与注册人识别和管理网络安全风险的政策与程序、网络安全治理结构、管理层在应对和缓解网络安全风险中的作用，以及董事会中是否有具备网络安全专业知识的成员相关的披露要求。

这些要求凸显了在整个董事会层面推进风险管理和治理工作的重要性，以确保资源和投资用于那些对财务、业务和运营具有最重大影响的网络风险。

《国家网络安全战略》建立在政府迄今工作的基础之上。尽管联邦政府的网络安全方法正在演变，这种演变可能会产生新的标准，但它也将推动关键基础设施和技术公司采用更好的网络安全实践，降低因网络攻击而损害生产力、公众信心并最终损害利润的风险。

就政府而言，它有义务向其私营部门合作伙伴证明新网络安全要求和公私伙伴关系的安全价值。随着该战略对私营部门提出更多要求，它也代表政府作出了大胆承诺。它设想全力应对恶意网络活动，从就勒索软件开展国际协调、积极打击网络犯罪分子，到瓦解恶意网络行动并摧毁威胁行为体的基础设施。

政府已在很大程度上这样做了：今年早些时候，FBI渗透了Hive勒索软件团伙，获取了解密密钥并将其分发给受害者。4月，FBI及其国际合作伙伴关闭了Genesis，这是一个销售被盗和窃取数据的网上商店。这些行动共同表明，政府可以利用其独特的资源和权力，降低对合作伙伴和公众的风险。

此外，政府在为私营部门制定新标准时，应确保各级政府施加的任何额外负担相互协调。合规成本不应削弱安全投资。该战略承诺通过国家网络主任办公室和管理与预算办公室协调各项法规，正如国土安全部的网络事件报告委员会正在努力协调各类网络事件报告要求一样。然而，这些协调工作必须应对独立监管机构的复杂性。

最后，政府必须建立一个框架，以更好地评估关键基础设施所有者和运营者之间的相互依存关系，以及网络事件可能产生的连锁影响。针对此类分析的健全框架将推动安全领域的战略投资，并促进更大的韧性。网络安全和基础设施安全局（CISA）正在着手做这件事。

欧盟《网络韧性法案》如何加强网络安全

01:24

更聪明地工作

网络安全生态系统（人员、流程、技术）主要侧重于应对用于降低风险的技术层面威胁。尽管网络安全生态系统仍在不断演进，但它仍缺乏将网络威胁和事件与业务、运营及财务风险关联起来的能力。“重大性”的判定受事件对公司业务、运营及财务状况影响的左右。

以下列举了在判定事件重大性时应考虑的业务和财务因素类型。公司因网络安全事件可能产生或遭受的成本和不利后果类型包括以下几项：

• 业务中断、产量下降和产品发布延迟所产生的成本。

• 支付赎金及其他勒索要求的费用。

• 补救成本，例如被盗资产或信息的赔偿责任、系统损坏修复费用，以及攻击后为维系客户或业务伙伴关系而提供的激励措施。

• 增加的网络安全防护成本，可能包括保险费上涨，以及进行组织变革、增派人员和部署防护技术、员工培训、聘请第三方专家和顾问的成本。

• 因知识产权盗窃和专有信息的未经授权使用而造成的收入损失，或攻击后未能留住或吸引客户所造成的收入损失。

• 诉讼和法律风险，包括州及联邦政府机构和非美国机构的监管行动。

• 对员工和客户造成的伤害、违反隐私法以及对客户或投资者信心产生不利影响的声誉损害。

• 公司竞争力、股价和长期股东价值受损。

网络风险管理是一项团队协作运动，需要整个企业共同努力以确保业务韧性。所需要的是更具包容性的信息传达与协作，涵盖所有企业风险管理负责人。

技术变化迅速，网络威胁亦然。对当前风险的静态分析作用有限，因此更有价值的是建立一种定期的信息流向董事会的机制，以支持基于业务、运营和财务考量的网络安全投资决策。通过让董事会定期将网络安全作为日常治理的一部分加以关注，董事将具备遵守SEC新要求的能力。

网络风险是董事和高管的议题

前SEC主席高级网络安全顾问、纳斯达克董事会卓越中心洞察委员会主席Chris Hetner表示：“董事会必须持续纳入网络风险管理讨论，探讨减少网络风险所带来的财务和业务影响的最有效方式。这一讨论不应仅限于首席信息官（CIO）和首席信息安全官（CISO）。它应是更广泛的C级高管讨论，并须由首席财务官（CFO）和总法律顾问牵头。”

Hetner称，董事会已不能再忽视网络安全，他指出：“高管的默认倾向是依赖定期的战术和技术报告，以证明为解决技术安全问题而采用的技术方案的合理性。”他还补充道：“在与董事会成员和C级高管沟通时，网络安全常常在“翻译”过程中失真。这使管理层无法确切知晓其资金投向何处，以及仍存在哪些剩余缺口。”

Hetner与NACD近期支持推出了一项服务，帮助董事会更有效地履行与网络风险敞口相关的监督职责。该服务包括X-Analytics和NACD网络风险报告服务，这是一项年度订阅服务，每季度提供董事会报告，重点说明归因于组织网络风险的财务敞口。该平台依托网络保险行业领先者所使用的同类分析工具。

这项NACD新服务有助于推动围绕网络风险的更广泛C级高管讨论，并帮助董事会参与超越网络安全技术层面的讨论。

总之，投资网络安全需要成本。削减网络安全投入的代价更高。