如何在网络攻击面前优先提升韧性

• 新技术快速演进，带来了新的网络安全漏洞。

• 企业可以做得更多以增强其韧性，包括提升网络素养。

• 对地缘政治和第三方风险的关注，为更广泛地讨论网络风险提供了切入点。

对于大大小小的各类组织而言，忽视网络安全正变得越来越站不住脚。

《2023年全球网络展望》于本周在瑞士达沃斯举行的世界经济论坛年会上发布，报告发现，全球地缘政治和经济的不确定性正在加剧可能具有灾难性的网络攻击威胁，增加了各行业企业面临的风险。

尽管在加强网络安全意识和准备工作方面已取得进展，但企业仍可以做得更多以增强韧性，包括提升网络素养、加强沟通与信息共享。

地缘政治风险加剧网络威胁

过去一年，地缘政治风险重新回到世界事务的中心，扰乱了供应链，并冲击了从能源到粮食大宗商品等多个主要行业。新技术也在快速演进，并随之带来新的漏洞，而攻击者（其中一些具有强烈的地缘政治动机）往往迅速加以利用。

事实上，该展望报告发现，93%的网络安全高管和86%的业务同行将未来两年内发生灾难性网络事件的风险视为“高”或“中高”。此类事件可能包括，例如，造成严重瘫痪的勒索软件攻击，或敏感消费者数据泄露——二者都将引发大规模扰乱，并在声誉和财务上造成高昂代价。

正如报告所指出的，风险上升已促使50%的受访者重新评估其开展业务的国家，而其他受访者则担心，与地缘政治相关的网络攻击可能导致业务中断和声誉受损。

相互关联的运营带来新风险

对重大攻击的担忧，部分也反映了当今运营的相互关联性。数字化转型正在形成技术上的相互依赖，其规模和性质往往尚未被充分理解。

消费者数据和技术日益在供应链中共享，这意味着一起网络安全事件可能迅速从一个组织“级联”扩散到另一个组织，并跨越国界。

对第三方风险的认识和担忧在过去一年迅速上升。共有90%的受访者表示关切第三方的网络韧性，尤其是那些与组织直接相连或处理组织数据的第三方。

因此，报告显示，领导者正在加强对第三方访问其组织（73%）或数据（66%）的控制，决策者也在努力降低网络风险。值得注意的是，业务和安全高管将其最优先事项列为把网络韧性纳入业务战略。

信息共享正在改善，但……

令人鼓舞的是，过去数年主导董事会讨论的技术与非技术之争正在发生变化。各方的共识日益增多，认识也在提升——尤其是董事会的认识——不仅包括什么是网络风险，还包括董事会在应对这些风险中所承担的角色。董事会更有可能思考网络风险并听取其网络专家的意见，报告显示，56%的安全负责人每月至少与董事会会面一次。

仍然存在的问题在于，业务负责人未能清晰阐明网络问题给其组织带来的风险。这反过来又使各方更难就如何最好地应对风险达成一致。正如报告所建议的，网络专家应以董事会层面的高管能够轻松理解并据以行动的方式呈现安全问题，而业务负责人则应对整体网络能力承担更大的责任。

……熟练人才招聘仍是一个问题

此外，找到合适的人才来识别、评估和管理网络风险，并应对重大网络事件，至关重要。然而，要做到这一点，就必须解决长期存在的技术人才短缺问题。

目前，64%的网络安全负责人和59%的业务同行将人才招聘与留用列为管理网络风险的一项关键挑战。令人担忧的是，调查受访者中不到一半表示拥有具备合适技能、能够应对网络攻击的合适人员。

所幸的是，近年来各方对这一问题的共同认识不断加深，这使得相关人才招聘计划更有可能得以制定。这将有助于建立规模更大、更具包容性的多元化人才库，包括具备危机管理技能、并能够以创造性和不同视角思考问题的人才。这也将有助于消除网络安全高度技术化的误解，而事实并非总是如此。

报告还显示，业务负责人（76%）和网络安全高管（70%）越来越倾向于认为，数据隐私法律和网络安全法规是降低网络风险的有效工具。合规可能带来挑战，但与此同时，监管以及股东期望带来的额外压力，正在推动网络安全行动。

这是积极的信号，因为要建立以安全为核心的文化，组织需要找到共同的语言和指标，将网络安全信息转化为可以便捷衡量和分析的内容。

然而，在明确规定发生违规时需要报告的内容和报告时限方面，仍有大量工作有待完成。横向（组织内同一层级）的网络信息共享已有所增长，并且通常比纵向（贯穿各层级）的信息共享更受重视。对此，报告指出，需要将网络风险管理及最佳实践纵向嵌入组织之中，并认为频繁且有意义的讨论有助于提升清晰度和理解。

当前对地缘政治和第三方风险的关注，为更广泛地讨论网络风险提供了切入点。形势正在改善，但对大多数组织和企业而言，改善速度仍不足以使其确信自身已具备应对重大网络事件的能力。韧性与准备工作应置于战略的核心位置。

要实现这一目标，网络安全专家需要改进其传递信息和数据的方式，而负责人则必须更好地判断网络风险对公司治理和投资决策意味着什么。

本文最初发表于阿拉伯新闻。