过去20年间，企业资产价值的性质发生了显著变化。如今，《财富》500强企业80%的价值来自知识产权（IP）及其他无形资产。随着资产迅速扩大的“数字化”，企业风险也相应地走向数字化。因此，网络安全如今已位居企业董事会必须面对的议题之首。
近期研究显示，全球企业每年因知识产权、交易算法、被破坏或篡改的金融及消费者数据、声誉受损而损失数千亿美元，同时还面临监管和法律风险上升的可能。而且，情况正在急剧恶化。
网络系统在设计时并未考虑安全问题；随着移动设备激增，以及几乎所有实体资产——从监控摄像头到冰箱——都接入网络，也就是“物联网”，这些系统变得更加不安全。此外，攻击者群体的技术水平正大幅提升。几年前我们只在国家之间见到的那类复杂网络攻击，如今普通罪犯也在实施。又或者，如索尼事件所示，国家行为体会出于政治或经济目的，对商业实体发动攻击。
最后，网络安全的经济学有利于攻击者。网络攻击成本相对低廉，也容易实施。攻击者的商业计划野心勃勃，利润率极高。与此同时，防御往往落后攻击者一代；对于成功防止的攻击，很难证明其投资回报；而执法几乎不存在——我们成功起诉的网络犯罪分子不到2%。
这种鲜为人知的经济激励失衡，还因近期推动企业增长、创新和盈利能力的许多技术与商业实践同时削弱网络安全而加剧。
VOIP或云计算等技术能大幅提高成本效率，却也显著增加了安全工作的复杂性。长供应链和自带设备（BYOD）等高效、甚至不可或缺的商业实践，在经济上同样具有吸引力，但从安全角度看却问题重重。
企业董事会面临两难：既需要利用技术来发展并维持企业，又不能因此危及企业的核心资产，或来之不易的公众信任。
美国国家企业董事协会（National Association of Corporate Directors）的 《网络安全手册》 确定了五项核心原则，以帮助企业董事会加强网络风险管理。
认识到网络安全是企业全范围风险管理议题。将网络安全视为只需通过技术解决方案处理的IT问题，本质上是一种有缺陷的策略。网络系统中最大的单一脆弱点是人——内部人员。将网络安全成本纳入产品发布、并购（M&A）和营销策略等核心业务决策，能够以最高效率进行管理。此外，在相互关联的世界中，组织必须考虑供应商、供货方和客户带来的风险，因为其弱点可能遭到利用，从而损害本组织的系统。
董事需要了解网络风险的法律影响。网络安全相关法律现状尚未明朗，且变化迅速。并不存在适用于所有情况的统一标准，尤其是对在多个司法辖区开展业务的组织而言。组织有必要系统跟踪其所在市场不断变化的法律法规。
董事会需要充分获得网络安全专业知识。尽管网络安全议题对业务决策的重要性已不亚于法律和财务考量，但大多数董事会缺乏评估网络风险所需的专业知识。如今，许多董事会正在招募网络安全专业人士担任董事，以协助分析和评估员工报告。至少，董事会应定期在会议中为网络安全留出充足时间，将其纳入审计委员会或类似委员会的报告议程。
董事需要要求管理层建立企业全范围的网络风险 管理框架。最起码，每个组织都应设立企业全范围的网络风险团队，由拥有跨部门职权的高级官员领导；该团队须定期开会、拥有独立预算、制定全组织计划并开展演练。
管理层需要依据计划制定评估网络事件损害的方法。他们需要确定哪些风险可以通过保险来规避、缓解、接受或转移。这意味着他们需要明确组织愿意损失或遭到泄露的数据类型及数量。随后，应在防御基本风险和高级风险之间适当分配风险缓解预算。
如果组织遵循这些原则，就应能稳步建立一个可持续的网络风险管理体系。
作者：Larry Clinton，互联网安全联盟（ISA）总裁兼首席执行官
图片：一幅插图展示了2013年6月24日，在华沙的一间办公室里，一名手持笔记本电脑的男子身上投射着二进制代码。路透社/Kacper Pempel
