对于大多数生命形态而言，攻击威胁——无论来自捕食者、环境条件变化、低等生命（如细菌和病毒），还是其他力量——始终存在。事实上，对于自然界的许多生物来说，问题不在于 是否，而在于 何时 会遭受某种形式的攻击，以及它们将如何（或是否会）作出反应并从这段经历中走出来。
当然，企业也面临类似处境，必须应对自身可能遭遇的威胁。因此，大多数公司都将风险识别、评估和缓解列为优先事项。然而，在我们看来，如今有一种特定威胁是许多公司准备明显不足的：与IT和信息管理相关的风险。随着数字化在企业运营中的作用持续扩大——据《 Wired UK》杂志特约编辑本·哈默斯利（Ben Hammersley）所说：“网络空间正成为21世纪生活的主导平台”——企业遭受数据窃取、知识产权泄露、企业破坏、拒绝服务攻击等风险也在同步上升。这类事件可能对企业利润、声誉、品牌、竞争地位乃至生存能力造成巨大损害。例如，一家科技公司因其系统遭到大规模黑客攻击，业务受到实质性损害。另一家公司则在一次数据泄露事件导致客户个人数据安全受到威胁后，声誉遭受了重大损害。
在自然界，强大的免疫和防御能力对生存至关重要（正如在人类社会中，疫苗和医疗保健系统对保护生命至关重要）。对于当今企业而言，保护IT系统和信息的能力或许同样不可或缺。为妥善做好防护，企业必须了解所面临的IT和信息相关风险，并建立足够稳健的防护体系；同时，还必须兼顾成本控制，并尽量减少对业务的负面影响。当然，任何企业都不可能实现完美安全。关键在于确定并提供适当的防御 水平，以合理的成本实现这一目标，同时不对组织的业务实践或文化造成重大损害。此外，企业必须在把握并管理安全措施所带来妥协相关风险的同时，取得这种平衡。根据我们的经验，迄今为止，能做到这一点的企业寥寥无几。
谁面临风险？
一般而言，最容易遭受攻击及其后果的企业，是那些价值创造很大一部分依赖信息、且信息流经许多相互连接系统的企业。应用和系统环境复杂的行业也面临较高风险，依赖复杂或网状网络的行业亦然。此类企业包括银行、汽车供应商和能源公司（它们在整个价值链中都面临各种脆弱点，包括发电、分配和基础设施环节）。
业务在很大程度上由移动交易驱动的企业也尤其面临风险。（例如，在许多亚洲市场，移动在线交易量如今已超过通过传统桌面平台进行的交易量。）对这类企业而言，移动交易的迅速增长可能带来收入增加，也意味着发生安全漏洞和数据窃取的可能性上升。随着这些企业积累更多种类、更大规模的客户数据，它们也可能越来越受到黑客等攻击者的青睐。
一般而言，处理大量客户和财务信息（例如信用卡详情）的企业同样面临较高风险，其中小型和中型企业尤为脆弱。例如，许多小企业缺少妥善保护在线环境或销售点环境所需的预算和技能，因此很容易成为攻击目标。
然而，随着整个企业领域的价值创造日益数字化，几乎所有企业都变得更加脆弱，相关担忧也在加剧。（见图表1。）医疗保健企业、电信企业、媒体公司、公共服务组织，以及拥有大量知识产权的工业和消费品企业，都越来越可能成为攻击目标；如果其IT系统和信息安全保护不足，它们可能蒙受重大损失。（参见BCG Focus，2013年11月刊《 信任优势：如何凭借大数据制胜》。）
毕竟，黑客和数据窃贼的目标往往不是系统本身，而是系统存储和处理的信息。而信息的价值往往取决于（非法）窥探者的判断。战略规划以及与企业市场、生产和定价策略有关的信息，显然都是必须谨慎保护的高价值资产。但企业可能认为远不那么重要的其他信息，却可能令竞争对手、罪犯、受国家支持的第三方或公众极感兴趣。（例如，一家餐饮服务公司可能认为客户订单对第三方价值不大，因此不会投入太多精力保护这些信息；但假如该公司的一位客户恰好是执法机构，那么某一天异常庞大的订单就可能向感兴趣的外部人士透露，该机构正在筹划一项重大行动。）
面临风险的组织范围还在不断扩大。IT安全正迅速成为一项关键议题：有些企业使用计算机不只是为了处理数字，还要监测、移动和控制关键设备、机器及生产线。对这类企业而言，网络物理系统的IT安全遭到破坏，可能造成严重的运营、健康、安全和环境影响。例如，焊接机器人稍有失准，就可能严重影响汽车的稳定性，进而损害制造商的声誉。震网（Stuxnet）计算机病毒则是另一个至今仍令人记忆犹新的例子，凸显了相关风险的潜在危害。因此，这类企业越来越重视工业IT安全，也就不足为奇。
简言之，这一问题如今涉及各种类型的企业，但影响并不止于此。政府显然也容易受到IT和信息安全风险的威胁，越来越多的政府正在采取防御行动。英国国家基础设施保护中心、美国国家网络安全与通信集成中心、澳大利亚信号局，以及德国国家网络应急响应中心和国家网络安全委员会，都是专门为应对这一问题而设立的机构。
优化IT与信息安全
旨在有效保护企业信息及其存储和处理技术的计划，必须涵盖若干关键要素，包括：
保密性： 只有拥有查看权利或确有查看需要的人才能访问信息。
完整性： 信息准确、有效且可靠。
可用性： 需要时，信息、资源和服务均可供使用。
可追责性： 每项（交易）操作都能追溯到应承担责任的个人。
来源可追溯性： 每一条信息（或每一项数据）的来源和历史都清楚且定义明确。
此类计划还必须清晰说明相关情况，并就控制措施的可靠性以及支撑这项工作的假设是否有效提供合理保证。这些要素各自的优先级会因企业类型和行业而异。
为确保安全行动足够稳健，企业必须从多个角度审视这项工作。其中三个最重要的角度是技术、成本，以及风险和为缓解风险而采取的措施可能造成的负面影响。要在技术层面做到位，第一步是理解并量化企业试图缓解的风险所带来的价值影响。随后，企业应确定可用于应对最受关注风险的技术：包括防火墙、入侵检测与防御系统和数据泄露防护在内，哪种组合最为有效。企业还必须结合行业和国家法规，了解这些技术的使用方式。例如，在某些国家，利用技术自动识别并删除垃圾邮件，可能违反宪法保护的通信权利。
成本显然也是一项关键考量。既然不可能建立完全安全的环境，企业就必须确定所需的基本安全水平——换句话说，企业愿意承受的最大风险（声誉、运营或财务风险，包括修复成本）是多少——随后评估通过进一步投入获得额外安全保障的边际价值。之后，企业便可根据自身业务战略、对品牌和运营风险的容忍度及其他考量，决定最优支出水平。这听起来像是相当直截了当的评估，但实际并不容易；我们发现，大多数企业都为此费尽心力。
最后，必须将对业务可能产生的负面影响纳入考量，包括对企业文化、灵活性、创新能力和创新速度的影响；既要考虑未管理风险带来的影响，也要考虑已实施的风险缓解措施带来的影响。与成本问题一样，归根结底这也是一个平衡问题，企业必须找到适合自身的最佳平衡点。我们看到不少企业在这方面举步维艰，其中包括几家在国际运营的资源和工程公司。其中一家为尽量降低数据窃取和间谍活动风险，不允许员工携带笔记本电脑和移动设备前往其认定为高风险的国家。这项政策可能给员工带来相当大的后勤挑战。例如，如果员工的多国区域商务行程安排在中途访问一个高风险国家，该怎么办？为了不影响整个行程的效率，把所有设备都留在家里？还是听从IT部门颇有疑问的建议，带上 两台笔记本电脑出行，却把那台存有敏感信息的电脑留在高风险地点的酒店里？
同样，一家大型科技公司采取了非常严格的措施来提升IT和信息安全水平。公司不允许员工将公司数据存储在公司配发电脑以外的任何地方，也不在办公室内启用无线局域网。此外，公司不允许来自卫星办公室的访客将公司配发的笔记本电脑带入总部，而是在访客抵达时为其提供“空白”电脑。对员工来说，这使访问演示文稿、回复电子邮件等日常工作任务变得十分困难。回到人体免疫系统这一比喻，这相当于过敏反应，甚至自身免疫反应：系统攻击完全无害的外来或内部因素，从而损害身体正常运作的整体能力。
防止知识产权泄露，是许多企业特别关注且日益严峻的问题，并可能迫使企业作出许多艰难决定。例如，担心员工通过外发电子邮件泄露信息的公司，是否应屏蔽所有此类邮件，或删除所有附件？这样做虽能解决眼前问题，却可能引发新的问题，例如，合同被从电子邮件中剥离后始终未能送达预定收件人，导致业务流失。这种做法还可能降低效率，并促使员工另寻公司 无法 监控的通信方式。（事实上，我们看到一些大公司的员工，在试图改变他们认为不切实际的公司电子邮件政策未果后，转而使用外部“免费邮箱”完成工作。）采取相反做法，即允许所有外发通信（但加以监控），也有利有弊：这能保持公司的开放文化，但泄露风险会随之增加，因此需要投资监控技术、快速检测和响应能力以及相关人员。
这些例子说明，企业今后将不得不作出此类决策。它们也暗示了企业在设法保障整个生态系统的安全时将面临诸多复杂问题；所谓生态系统，是指企业在运营过程中与之往来的所有组织。还要注意，业务IT（保密性往往至关重要）与工业IT（可用性通常是首要任务）在这些决策中所涉及的权衡，很可能截然不同。
当然，企业应努力做到“不造成伤害”，在安全措施的有效性与既有规范之间取得平衡。如果安全措施确实影响企业文化和既有运营方式，企业就应确保积极管理必要的变革。
将IT安全视为整体风险管理的一部分
IT安全不存在事前即可轻易计算的投资回报；它就像房屋保险或配备额外安全气囊的汽车，是今天投入资金，以降低那些可能永远不会发生的事件所带来的风险、潜在成本和影响。因此，IT安全应被视为经营所必需的成本。它还应被视为企业整体IT风险管理计划的一部分，而该计划又应被纳入整体企业风险管理之中。（见图表2。）然而，我们经常发现企业两者都没有做到。
概括而言，IT风险分为六大类：
狭义IT安全相关风险。 例如，不恰当或执行不力的密码政策，或软件和固件补丁未及时更新，会带来哪些风险？
IT运营与业务连续性相关风险。 例如，如果银行的核心银行业务和支付系统未能按预期运行、无法使用，或发生故障并在数天甚至数周内持续不可靠，会面临哪些风险？
IT项目与投资相关风险。 如果为满足法规期限要求而开展的IT项目未能按时交付，或者旨在抓住新市场机遇的项目因底层IT系统无法按要求运行而停滞一年，企业会面临哪些风险？
外包IT活动相关风险。 如果供应商的数据中心遭遇洪水，或某项关键应用程序源代码的所有者倒闭，企业会面临哪些风险？如果企业的某些硬件或软件遭到入侵，或者供应商的一名员工意外（或故意）将企业客户记录发布到互联网上，又会有哪些风险？服务水平合同无法缓解这些风险。
企业声誉风险。 如果银行或电信公司的客户账单因重大IT故障而出错，或其网站反复崩溃，其声誉将面临什么风险？
数据保护与隐私风险。 如果黑客公开医疗保健公司的客户记录，该公司会面临哪些风险？如果存储在云端的人力资源数据落入某个遥远的地理位置，又会有什么风险？
组织应努力制定统一、连贯的计划来应对这些风险。第一步是识别企业在这六大类别中面临的具体风险。第二步是确定针对每项具体风险及风险类别应采用四种风险应对策略中的哪一种——规避、转移、缓解或接受——并决定如何最好地处理任何剩余风险（例如，为特定主要风险或剩余风险可能造成的财务影响购买保险）。随后，企业必须决定如何将这些策略融入工作方式。
让天平向你倾斜
我们与涵盖银行、保险、国防、航空航天、工业品、能源、原材料、电信和物流等多个行业的企业合作开展IT与信息安全工作时，发现高管还可以采取一系列其他行动，提升企业成功的机会，包括：
从系统性和整体性角度，而非按组件划分的角度，审视IT系统、信息及相关风险。例如，如果你的公司是一家银行，与其只关注数据库、网络或交互式语音应答（IVR）的正常运行时间，不如关注面向客户的网上银行服务端到端的可用性（并考虑通过将来电转接至呼叫中心来解决IVR故障）。
推动将IT安全和风险管理流程与原则从设计之初就纳入企业流程，而不是事后补救或附加上去。例如，确保IT安全成为企业架构、编码、测试和签约实践不可或缺的一部分，并从一开始就将遵守公司IT安全政策纳入项目流程（以及预算审批或预算拨付流程）。
再次问问自己，企业能够承受多大风险，而不是在既定预算下能获得多少安全保障。尝试量化不同类型风险和各类事件的财务影响，包括业务停摆、恢复和修复工作、对客户、员工及公司声誉的潜在损害，以及缓解风险所需的投入。考虑哪些风险或许值得接受，而不是加以缓解。
确保专注于IT和信息安全的IT人员不扮演一味反对者的角色。相反，他们应努力成为业务顾问：从长远来看，通过确保项目满足所有安全要求，以经济合理的方式帮助企业保护关键信息和系统；从短期来看，帮助项目顺利推进，同时不牺牲创新速度。
承认一个事实：即使竭尽全力，也不可能实现100%的安全，而且某种安全漏洞很可能终究不可避免。然后做好相应准备。定期测试系统及其恢复能力；识别脆弱点；设计紧急运营程序和响应计划，并对其进行测试。提出一些棘手的问题，例如：必要时，我们能否以受控方式让公司下线？例如，当我们让欧洲下线时，真的完全下线了吗？是否存在通往亚洲业务的某条后门通道（例如灾难恢复故障切换网络链路），而从未有人从这个角度考虑过？一旦发生安全漏洞，我们的传播和公关部门是否准备好管理所需的内外部沟通工作？
利用情景规划和模拟演练，帮助识别安全威胁与流程缺口，并设计适当的应对措施。（参见BCG Perspectives，2010年10月刊《重新思考情景：一天之差，结果迥异》。）桌面安全事件管理演练是很好的起点；但先进企业不会止步于此，而会进行 实地测试。例如，一些互联网巨头设有专门部门，负责使其服务宕机，以触发不断更新的免疫响应；我们的许多客户还会委托进行“道德黑客”（也称渗透测试）演练，就像汽车制造商对车辆进行碰撞测试一样。
考虑使用务实、注重成果的框架来评估公司的IT风险管理能力，例如创新价值研究院（Innovation Value Institute）的IT能力成熟度框架。（参见BCG文章，2010年9月刊《以业务价值管理IT：新的黄金标准》。）
免疫系统经过数百万年的演化，为有效的企业网络安全计划应当具备的样貌提供了启示。例如，它们能够辨别“自身”与非自身，识别入侵者、确定如何使其失去作用，并在入侵者不断演变时持续学习。它们会调集适当资源（例如一支T细胞大军）投入战斗。毫无疑问，我们还能从这些系统中学到更多；鉴于企业所面临的风险不断上升，学习的紧迫性也与日俱增。
然而，没有任何免疫系统（或网络安全工作）能达到100%的效果。虽然有办法让胜算向你倾斜，但无论多么谨慎，我们大多数人最终还是会喉咙痛。究竟只是轻微不适，还是后果更严重，取决于你得的是感冒还是重症流感；也取决于你能够施加影响的环境条件、准备程度、反应速度以及防御深度。若想了解自己的健康状况，请向医生咨询健康检查。也可以考虑同时检查公司的IT安全。
本文最初由 波士顿咨询集团发布。阅读BCG在 bcg.perspectives上的更多见解。本文的发布不代表世界经济论坛认可其中观点。
要跟上议程， 请订阅我们的每周通讯。
作者：Stefan Deutscher 是波士顿咨询公司柏林办公室的负责人。Walter Bohmayr 是波士顿咨询公司维也纳办公室的高级合伙人兼董事总经理。William Yin 是波士顿咨询公司香港办公室的合伙人兼董事总经理。Massimo Russo 是波士顿咨询公司波士顿办公室的高级合伙人兼董事总经理。
图片：一幅插图显示，一名男子手持笔记本电脑，其身影周围投射着二进制代码。路透社/Kacper Pempel。
