地缘政治不稳定加剧了系统性网络安全事件的风险。
一份新报告显示，93%的网络安全负责人和86%的企业领导者认为，此类事件在未来两年内很可能发生。
将网络风险管理纳入组织决策流程的领导者，更有可能报告其网络韧性处于较高水平。
地缘政治不稳定改变了企业、政府和公民所处的环境，使网络风险更加多变且难以管理。与此同时，组织比以往任何时候都更加依赖共享的技术基础设施和服务提供商。这增加了网络攻击演变为“系统性网络安全事件”的可能性，其特征是对社区、经济体和政府产生连锁影响。
2023年1月，一组信息安全研究人员宣布，他们发现了私家车和其他车辆常用软件中存在的漏洞。如果遭到利用，这些漏洞可能使攻击者远程追踪和控制私家车队，甚至包括紧急车辆，据Cyberscoop报道。
得益于这些道德黑客的努力，以及受影响企业的协作应对，这些车辆中的漏洞均已修复。但是，当此类安全漏洞遭到攻击时，其后果可能出人意料地具有破坏性。2022年初，一次针对乌克兰军方通信的攻击依赖于私营公司Viasat提供的服务，意外导致中欧各地的发电风电场停止运行。
2021年，一次针对鲜为人知的IT服务提供商Kaseya的网络攻击，导致瑞典的超市字面意义上被迫关门停业。这类事件有时还会造成灾难性的经济后果，例如2017年的NotPetya攻击，该攻击曾使国际航运陷入混乱。
此类网络安全事件表现出以下特征：在系统间迅速传播、对预定目标以外的组织造成附带损害、风险集中于相互脆弱的单一节点、缓解和应对要求超出任何单一组织的控制范围，以及造成巨大的经济和社会影响。
“犯罪团伙正在为网络犯罪活动投入更多资源。人们普遍认为，网络犯罪正与国家行为体融合，这导致新的攻击活动数量增加，且攻击针对目标组织的定制化程度更加明显。”
Derek Manky，Fortinet首席安全战略师兼全球威胁情报副总裁
领导者如何应对？
《2023年全球网络安全展望》报告由世界经济论坛与埃森哲合作发布，报告显示，93%的网络安全负责人和86%的企业领导者认为，全球地缘政治不稳定在未来两年内“中等可能”或“非常可能”导致影响深远的灾难性网络安全事件。
各类规模组织的大多数受访者告诉我们，地缘政治不稳定已影响其网络安全战略。相当一部分受访者（50%）表示，网络风险是其重新评估与之开展业务的国家时的一个考量因素。同样，网络安全也日益成为影响政府如何决定与哪些企业开展合作的因素。这些决定可能对私营部门产生连锁影响。
网络安全战略关乎您的组织如何做出决策
报告成功调整网络安全战略的受访者还表示，其组织内已设立相应架构，以支持网络负责人、各职能部门的业务负责人以及董事会之间的互动。这些架构促进了各业务活动在数字韧性方面的协作。
或许正是由于地缘政治不稳定、备受关注的网络攻击，以及监管机构将网络风险管理的更多责任直接落实到董事会，组织领导层才开始倾听其网络安全高管的意见。
《2023年全球网络安全展望》显示，业务领导者与安全领导者对网络风险管理重要性的看法正趋于一致。随着超过39%的受访领导者同意“网络安全是关键的业务赋能因素”，人们对有效网络风险管理益处的共识也在逐步形成。
大多数业务和网络领导者都认同，正如论坛《董事会网络风险治理原则》中所建议的，将网络韧性治理纳入业务战略，是提升网络韧性最具影响力的原则之一董事会网络风险治理原则。
法规产生影响
与2022年相比，网络高管现在更倾向于认为数据隐私法和网络安全法规是降低整个行业网络风险的有效工具。这一认知较2022年《展望》报告有了显著转变。尽管各组织在合规方面面临挑战，网络领导者仍承认，法规能够推动全行业采取亟需的网络安全行动。
或许正是由于地缘政治不稳定、备受关注的网络安全事件，以及监管机构将网络风险管理的更多责任直接落实到董事会，组织领导层才开始倾听网络领导者的关切。
《全球网络展望》报告中一位受访高管解释道：“董事会对其职责和注意义务的理解已经提高。在规模较大或受监管的企业中，由相互关联的委员会提供的帮助进一步提升了这种认识，这些委员会使多位董事会成员有机会深入接触数字化转型、信息安全、业务连续性和网络韧性等问题。”
论坛如何应对全球网络安全挑战？
网络安全中心提供了一个可信赖的平台，让领导者齐聚一堂，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察分享，该中心帮助合作伙伴增强网络韧性，应对需要集体应对的挑战。
董事会如何就网络安全提出正确的问题
尽管董事会对网络安全的认识比以往更加深入，但许多董事会层面的高管仍难以确定哪些问题最适合用于评估其网络安全团队提供的信息。这是做出知情且基于风险的决策的一大障碍。网络安全和业务领导者必须学会有效地将其网络风险转化为企业风险，并转化为适当的运营和战术措施，以减轻这些风险。
网络安全负责人在与业务领导者沟通时，应减少使用技术性术语。董事会应协助网络安全负责人明确哪些资产和流程必须优先保护。一旦确定了这些优先事项，董事会随后应对其负责，因为网络安全资源很少足以在任何时候有效保护组织的所有部分。
