企业和政府面临持续的网络威胁，从国家支持的网络间谍活动到犯罪团伙发起的勒索软件攻击。
众多领先机构已转向采用网络风险评级，以帮助其了解并减轻网络风险敞口，并更好地遵守法规。
在法国，政策制定者正引领全球趋势，考虑强制使用网络风险评级。
在数字时代，网络安全风险无处不在。企业和政府面临持续的网络威胁，从国家支持的网络间谍活动到犯罪团伙发起的勒索软件攻击。这些威胁的影响可能是毁灭性的，可能导致经济动荡并威胁公共安全。
为此，全球各地的政策制定者正在研究如何通过监管加强经济体的网络安全态势，无论是通过《数字运营韧性法案》（DORA，该法案近期已获欧洲议会通过，其还要求金融集团对其所使用的科技供应商的安全负责），或是NIS2（《网络与信息安全指令》），该指令提供了法律措施，以提升欧盟整体网络安全水平。
企业认识到监管的必要性
鉴于日益严峻的威胁形势，企业越来越支持通过监管来应对和减轻风险。世界经济论坛《2023年全球网络安全展望》显示，网络高管now更倾向于认为网络安全法规是减少行业内网络风险的有效工具。
众多领先机构也已转向采用网络风险评级，以帮助其了解并减轻网络风险敞口，并更好地遵守法规。网络风险评级基于网络安全、数据保护和事件响应能力等多种因素，对机构的网络安全态势进行客观衡量。这些评级有助于机构识别其供应链和网络安全防御中的薄弱环节，并确定补救工作的优先顺序。
政策制定者也开始认识到网络风险评级在各市场中的效用，以及其如何能成为有效的政策工具，以支持日益增多的网络监管要求，并提升经济体内的网络韧性。
网络风险评级作为一种监管工具
在法国，政策制定者正引领全球趋势，考虑强制使用网络风险评级。《法国网络安全评分法》于2022年3月3日颁布，要求面向公众的数字平台获得网络安全认证。该法将于2023年10月1日生效。
这项开创性法案将强制要求在法国境内运营的500家最大零售商网站进行网络安全评分。计划将此要求扩展至10,000家战略性企业，例如电网和医疗保健机构。
通过监管应对第三方风险
欧盟新出台的大部分网络监管旨在管理数字供应链和第三方服务提供商。
例如，DORA旨在确保金融体系中的所有参与者都具备必要的保障措施，以减轻网络攻击及其他风险。该法规将要求企业确保其能够抵御各类与信息通信技术相关的中断和威胁。与经济中的许多其他领域一样，金融行业高度依赖大大小小的第三方科技供应商。
近期，这一问题在以下事件中凸显：美国商品期货交易委员会（CFTC）推迟了其每周发布的交易者持仓承诺（CoT）报告的发布，该报告涵盖截至2023年2月17日当周的数据，原因是第三方服务提供商ION Cleared Derivatives遭遇网络攻击。据期货行业协会的数据显示，此次攻击影响了一个规模庞大的市场，2022年12月时仍有超过1万亿美元的股票、大宗商品和利率期货未平仓。
通过引入强制性的网络风险评级要求，法国将主动管理对网络风险的认知方式，并推动整个供应链实现更高水平的数字韧性。
强制推行欧盟范围内的网络风险评级
该法律应成为欧盟及全球政策制定者的行动号召，促使其考虑采取类似措施，以提升网络安全和数字韧性。
银行和信用卡公司等放贷机构利用信用评分来评估向消费者放贷的潜在风险，并减少因坏账造成的损失。
同样，网络风险评级可以为监管机构和市场提供对机构网络安全态势的客观衡量，有助于为监管决策提供依据，降低网络事件风险，并有效遵守相关法规，例如欧盟的DORA。
SecurityScorecard认为，欧盟应考虑在所有成员国范围内强制推行类似于法国模式的网络风险评级体系。这将为欧盟各机构创造公平的竞争环境，并确保数字生态系统中的所有参与者都认真对待网络安全。该要求可能会以不同形式出现在各类以网络为重点的监管要求中，且未必总以法律形式体现，也可能通过指导意见、监管解释，或确实以认证形式实现。DORA监管机构正在制定信息通信技术风险管理工具的通用技术标准草案，其中可能包括网络风险评级。
这并非一刀切的解决方案，但朝着确保网络风险评级成为必备而非可选项的方向推进，将提升网络依赖水平，并支持欧盟的数字发展目标。
