网络犯罪导致了现代史上规模最大的金钱、信息、知识产权和国家机密盗窃案之一。美国及其他国家民众的安全、经济、关键基础设施和人身安全正面临风险。这些风险无处不在且具有系统性，但应对努力却大多缺乏协调。
在这篇观点文章中，Risk Assistance Network and Exchange（RANE）创始人 David N. Lawrence、Sullivan and Cromwell 驻纽约市普通业务组联合管理合伙人 Jay Clayton、MacAndrews & Forbes 执行副总裁兼美国前总统 George W. Bush 的国土安全顾问 Frances Townsend，以及他们的同事，提出了一项计划，旨在确保企业和政府齐心协力、相互协作，应对迫在眉睫的网络威胁。
据说，苏格拉底曾宣称：“唯一真正的智慧，是知道自己一无所知。”这成为他求知之路的起点。
在网络安全问题上，世界正处于苏格拉底式探索的初期阶段。无论在私营还是公共部门，人们都有理由担忧：我们知之甚少，还有太多工作亟待完成。
现在正是承认这一点、由此变得更加明智的时候。
网络安全议题复杂而微妙。同时，也有足够多的共同点，让所有人都能理解威胁的规模及其无处不在的特性，以及我们有限的应对手段。无论是自然灾害还是人为灾难，几乎每一种灾难性威胁都至少印证了风险管理的四条经验。网络威胁也不例外。
为灾难做准备的最佳时机，是灾难发生之前。
危机来临之前总会有机会——而且往往被错过——去说明风险，无论是局部风险还是系统性风险，并采取措施加以预防、减轻和恢复。
即便历史不会总是原样重演，也会足够相似，因此我们不必重蹈覆辙。
携手合作，我们的专业知识和资源可以发挥巨大作用；各自为战，我们就极易受到攻击。
网络安全是一个多维问题，超出了任何单一群体的风险管理和应对能力——无论该群体来自技术、国防、执法、公共政策还是商业领域。没有任何一个群体掌握答案，甚至没有任何一个群体可以自称更胜一筹。所有人都面临风险。
利害如此重大，为什么集体应对却进展甚微？
五十年前，鲍勃·迪伦在《地下乡愁蓝调》（“Subterranean Homesick Blues”）中提出了有关风险管理的实用见解：“不用气象学家也知道风往哪边吹。”风向显而易见，现在是时候采取集体行动了。
十年前，9-11 委员会在谈及“改变一切的袭击”时，分享了一项主要调查结论：事件令人震惊，并不意味着它们出乎意料。
我们认识到，将任何事情与 9-11 相提并论都必须谨慎且尊重，因此最近重读了 9-11 委员会报告。之所以这样做，是因为许多安全专家认为，在数字风险方面，世界正处于一个类似的转折点，关乎我们集体的准备状态。委员会对恐怖主义风险得出了一个总体结论：即使是影响最重大的威胁，只要共同认识、共享情报并采取共同行动，也能够预防或减轻。
在网络安全问题上，世界正处于苏格拉底式探索的初期阶段。
正如委员会的调查结果和建议所体现的，要有效应对复杂风险，我们的方法必须具备透明度、实用性和韧性。
因此，我们提出一项关于美国网络安全工作的建议，希望其他国家也能从中受益，并制定自己的同类方案。在眼下相对平静的时刻，我们有机会提供前瞻判断，而非事后总结；进行活检，而非尸检；提供蓝图，而非急救代码。
美国总统和国会应任命一个类似 9-11 委员会的网络威胁委员会。该委员会应：
召集各领域和各政党的优秀人才与有识之士——排除自身利益和外部影响——并赋予其充分的权力和权限，以便迅速有效地开展工作。
跨越国界招募成员，邀请来自世界各地的权威人士。
以人人都能理解的通俗语言，撰写一份关于数字联盟现状的报告，其中包括风险评估和应对计划。
效仿 9-11 委员会和传播专家，提供人们愿意阅读并遵循的叙事，而非一份典型的政府报告。
利用社交媒体持续沟通并收集反馈。
不需要发生一场“惊天巨变”。委员会必须回答以下问题：
我们为什么面临这个问题？它为什么重要？
问题的程度如何？需要做些什么？
威胁来自谁？谁应该作出回应并负责推动这项工作？
将如何落实解决方案？
何时会采取行动？
我们可以向谁求助？
网络安全就像“黑象”风险——这是“黑天鹅”风险（可能产生意想不到的重大后果）与“房间里的大象”（显而易见的重大问题）的危险混合体。
每天都有新的网络威胁出现。即将到来的攻击浪潮恐怕会超出任何一家企业、任何一个行业，甚至任何一个国家的应对能力。
全球范围内，我们正遭遇前所未有的金钱、信息、知识产权和国家机密盗窃——其中大部分被用于资助外国政权和犯罪组织。
公共和私营企业被迫承担不可预测的安全成本，仅仅为了维持运营——这实际上是一种“保护税”。这可能是高度不对称、多战线战争的早期行动，威胁国家安全、经济、关键基础设施和人身安全；在这种战争中，地面部队、坦克、飞机和舰船几乎无法提供防护。
互联网的构建初衷是实现普遍连接和访问，而非防范人类行为中阴暗的一面。互联网兑现了推动社会和经济进步的承诺。不幸的是，它也为那些试图扩大冲突、恐怖主义、犯罪活动、国家和工业间谍活动及破坏行为的人，提供了前所未有的机会。
正如 [9-11] 委员会的调查结果和建议所体现的，要有效应对复杂风险，我们的方法必须具备透明度、实用性和韧性。
全球互联网治理委员会指出了我们在全球范围内面临的风险：在互联网的分组交换网络和数据云中，各方的通信和数据混杂在一起。换言之，我们与那些试图将各种威胁带到家门口的人，行驶在同一条信息高速公路上，无论是去上班、上学还是休闲。事实上，互联网可能需要重建。
关于全球准备状态以及我们的应对能力，以下是公共和私营部门专家普遍认同的一些看法：
网络风险如今已成为对国家安全、经济可持续性、安全、公众信心以及构成我们生活方式的自由的系统性威胁。
大规模、灾难性且具有系统性的攻击是否会发生，已不再是“是否”的问题；问题只在于何时发生，以及它将造成多大代价——对生命、财产、声誉、经济，以及我们整体的信心和安全感造成的代价。
“只要你能想象得到，他们就能做到。即使你想象不到，他们也已经想到，并正在为之行动。”这是专家在评估我们面临网络攻击风险时所依据的简单行动前提。
只有一小部分威胁通过新闻标题和零星披露为公众所知。请放心，针对关键基础设施——国防、电力、交通、电信、医疗和金融系统——发动系统性打击的计划和人才并不匮乏。暗网上甚至还有用于此类攻击的“应用程序”，而 ISIS 等组织还在提供相关链接。
官员们担心，可能要等到发生一场“网络版 9-11”事件，我们才会警醒并承认这一威胁的严重程度。到那时，广泛且不可挽回的损害已经造成，我们可能会陷入非此即彼的相互指责。
网络安全不是一个只需打上“补丁”的技术问题。技术及其入口，是越来越多的个人、团体和国家支持的行为者实现熟悉目的的最新手段。说到底，这关乎欺诈、盗窃、国家和工业间谍活动、敲诈、非法金融活动、地缘政治冲突、恐怖主义、经济扰乱、侵犯人权和破坏行为。没有简单的修复办法——这事没有现成应用程序可用。
影响最重大的威胁，主要来自数量相对有限的国家、国家支持的行为者以及受国家庇护的团体。解决方案必须反映地缘政治现实。
网络攻击的幕后黑手可能是罪犯、间谍、恐怖分子、“黑客行动主义者”或敌对国家——但他们都是理性的行为者。据称，臭名昭著的 20 世纪 30 年代银行劫匪 Willie Sutton 曾简单解释自己为什么抢银行：因为钱在那里。无论是外部人员闯入，还是内部人员从内部发动攻击，我们相互连接的网络都提供了通往城堡的钥匙；城堡中存放着我们的金钱、国家和军事机密、运营系统、知识产权、商业策略、市场敏感信息、私人通信、个人身份信息、法律建议和声誉等资产。
网络犯罪仍几乎是完美犯罪，也几乎是一种完美的战争行为。风险低，回报高。它灵活、成本低，而且可以远程扩展。它不断变形和创新，执法人员却只能应对昨天的战局。受害者几乎无从追索。它不符合我们当前对国内和国际犯罪的认识及处理流程。没有法律、条约或边界能够限制其策略、武器和针对平民的目标。攻击容易伪装，并可从安全避风港发动，因此被发现、预防、抓获或惩罚的风险都很低。能得到的如此之多，可能失去的如此之少，为什么要停手？
全球经济每年因网络攻击遭受的损失，普遍估计约为 4450 亿美元。然而，实际损失的“内部估算”远远超过这一数字。许多成功的入侵从未被发现。另一些攻击则因国家安全考量，以及企业对客户关系、诉讼和声誉损害的顾虑而未被报告。
保险只能提供部分解决方案。保险市场仍处于起步阶段。保单通常限额较低，且有诸多除外条款。若要提高保障金额和范围，保险公司需要更完善的精算数据，以及有关被保险企业网络风险状况的情报，还需要了解可以采取哪些措施来减轻这些风险。
网络攻击的受害者不公平地承担了责备。在网络攻击发生后那种“爱丽丝梦游仙境”般的局面中，作案者往往逍遥法外，受害企业却被推上审判席。作为“被告”，他们被判定明知自己引人觊觎、招致攻击，却未能击退攻击者。
我们缺乏协调，这与民主模式下的安全保障不相符。全球安全一向需要政府机构与知情且积极投入的公民携手合作。不幸的是，即便只是决定是否向当局报告一次攻击，也涉及对可能成本和不确定收益的复杂权衡。有关保密、隐私、信息共享和安全港通知的关键问题，至今仍未得到解决。
即便最复杂、成本最高的预防和检测措施，也只证明部分有效——它们更有助于推迟不可避免之事，或将传染扩散转移到防御较弱的另一家企业。各机构都在问自己：“我得跑得多快、多灵活，才能跑赢这头熊？”短期而言，答案或许是只要比其他人快一点。长远来看，那头熊仍在外面。
我们各自为政的安全应对方式，延续了爱因斯坦对疯狂的定义——一遍又一遍地做同一件事，却连期待结果有所不同都没有。没有任何单一实体、行业或国家能够独自管理这种风险。健全的共享知识和资源流程及保护措施，必须成为网络安全战略的核心组成部分。国际条约必须制定并执行。
审视这些观点，只能得出一个结论：需要一份全面的集体报告，而且早就应该着手编写；这项工作必须与私营部门密切合作。国际公共和私营部门的意见，对这项工作至关重要。
我们与那些试图将各种威胁带到家门口的人，行驶在同一条信息高速公路上，无论是去上班、上学还是休闲。
当我们未能团结起来，保护公众利益免受已知威胁时，历史理应作出严厉评判。9-11 悲剧之后，我们有了一个在危机发生前应对最复杂威胁的范例。现在正是将其用于应对网络安全明显且迫在眉睫的危险之时。
作者简介：
David N. Lawrence 是 Risk Assistance Network+Exchange（RANE）的创始人兼首席协作官，曾任 Goldman Sachs 副总法律顾问兼董事总经理。此前，他曾在美国检察官办公室（纽约南区）担任多个高级职务。
Jay Clayton 是 Sullivan & Cromwell 普通业务组的联合管理合伙人。他还是宾夕法尼亚大学法学院的兼职教授。
Frances Townsend 是 MacAndrews & Forbes 执行副总裁，也是 CNN 国家安全分析师；她曾任美国总统 George W. Bush 的国土安全顾问。
Stephen Labaton 是全球传播公司 Finsbury 的总裁，曾任《纽约时报》高级撰稿人。
Frank J Cilluffo 是乔治华盛顿大学网络与国土安全中心主任、RANE 高级顾问，曾任总统国土安全特别助理。
Tim Murphy 是 MacAndrews & Forbes 副总裁，同时继续积极参与各类应对网络安全和国土安全问题的公私部门合作工作；他曾任 FBI 副局长。
Ed Stroz 是 Stroz Friedberg 创始人兼执行主席，该公司专注于网络安全和风险管理；他曾任 FBI 特工，并协助组建 FBI 计算机犯罪小组。
John Squires 是 Perkins Coie 律师事务所的高级合伙人，专攻知识产权和技术法律，曾任 Goldman Sachs 首席知识产权法律顾问。
Matthew Lawrence 是 Perkins Coie 的法律和知识产权研究员，将就读福特汉姆大学法学院。
Curtis Hougland 是社交媒体和营销领域的专家，也是 Attention 的创始人。
作者感谢以下人士的贡献：Carl J. Schramm（加利福尼亚大学），曾任 Kauffman Foundation 首席执行官；Amit Sharma，RANE 高级顾问，曾任美国财政部恐怖主义和非法金融事务高级顾问；Adam Robinson，Robinson Global Strategies 首席执行官。尽管他们未直接参与本文，我们仍谨向多家公司的安全领导团队致意，包括：CrowdStrike、K2 Intelligence、Kroll、Mandiant、Promontory Group、Recorded Future 和 Red Owl。
免责声明：作者表达的观点完全属于其个人观点，不应归于他们现在或曾经任职的任何机构。
本文经许可转载自 Knowledge at Wharton，这是宾夕法尼亚大学沃顿商学院的在线研究与商业分析期刊。刊载本文并不意味着世界经济论坛认同其中观点。
如需持续关注“议程”内容， 请订阅我们的每周简报。
作者：David N. Lawrence 是 Risk Assistance Network and Exchange（RANE）的创始人。Jay Clayton 是 Sullivan and Cromwell 驻纽约市普通业务组的联合管理合伙人。Frances Townsend 是 MacAndrews & Forbes 执行副总裁，曾任美国总统 George W. Bush 的国土安全顾问。
图片：一只放大镜置于电脑屏幕前。REUTERS/Pawel Kopczynski。
