随着数字化进程的不断深入，企业对IT基础设施可用性的依赖度也开始呈现指数级增长，但事实上，许多人并不了解其影响的真实程度。
最近发生的针对《洛杉矶时报》的网络攻击事件就是一个突出的例子，据悉，这次攻击导致《洛杉矶时报》、《芝加哥论坛报》、《巴尔的摩太阳报》、以及论坛出版公司(Tribune Publishing)旗下的其他报纸延迟发行。此外，在2018年5月，针对荷兰发动的一系列分布式拒绝服务(DDoS)攻击事件，也导致该国三大金融机构的网上银行业务受到严重影响被暂时关闭。
由于暗网的存在，网络犯罪分子可以更为轻松地获取到可用工具，犯罪行为也变得更容易实现，同时，合法电子商务和非法贸易之间的界限也逐渐模糊不清。2018年2月，荷兰警方逮捕了一名18岁的男子，因其涉嫌对几家荷兰企业(包括技术网站Tweakers和互联网服务提供商Tweak)发动了DDoS攻击。调查显示，该男子是通过暗网中的一个市场租用了Mirai变种物联网僵尸网络，以此来证明“一名青少年只需点击几下按键就可以让所有银行瞬间崩溃”——不幸的是，事实证明，他确实做到了!
社会环境变化催化更严重的网络威胁
事实上，如今的社会环境已经变得更为脆弱。世界经济论坛(WEF)表示，发达经济体的商业领袖认为，网络攻击对于他们来说已经成为排名第一的威胁，甚至要比恐怖袭击(排名第二)、资产泡沫(第三名)、新一轮金融危机(第四名)或无法适应气候变化(第五名)更为严重。
得出这种结论其实并不奇怪，因为随着企业对技术的日益依赖，与网络犯罪相关的商业风险也开始随之增长。此外，智能设备的不断普及也为网络犯罪分子通过大规模僵尸网络发动攻击开辟了一系列新的攻击入口。据报道，截至2025年，全球智能设备的数量预计将超过750亿台，超过全球人口总和的10倍。与此同时，地缘政治的竞争也催发了一系列由国家支持的网络间谍组织所发动的更大更复杂的网络攻击活动。特别是，大型组织需要考虑各种网络威胁——包括业务中断、盗窃和勒索、声誉受损、经济间谍活动以及关键基础设施和服务的渗透活动等。不断变化的威胁形势与高度复杂的对手等因素混合在一起，使得网络风险变得越来越难以管理。
网络安全资源不足
企业对于网络攻击风险的认识正在不断增长，此外，越来越多的组织也正在努力进行网络风险管理。然而，正如世界经济论坛(WEF)所强调的那样，与网络威胁的庞大规模相比，网络安全仍然资源不足。
据估计，网络犯罪分子每年的收入为1.5万亿美元——相当于俄罗斯国内生产总值的惊人数据，是2017年自然灾害所导致的约3000亿美元成本的五倍。一些研究预测，单个云提供商崩溃就可能造成500亿至1200亿美元的经济损失——相当于飓风桑迪(100-200亿美元)和卡特里娜(1,134亿美元)所带来的“金融大屠杀”。
网络问题造成企业价值缩水
网络攻击可能会对企业造成严重破坏，显而易见的金融和法律影响都还只是表象和前奏。2017年9月，Equifax公司泄露了超过1.45亿美国公民的个人隐私信息，成为美国历史上最大规模和影响的数据安全事件，也由此导致Equifax公司的股票下跌超过31%，公司资本市值蒸发50亿美元。此外，在雅虎公司披露两起大规模泄露事件后，Verizon将其收购要约削减了3.5亿美元，约为原价的7%。可以说此次泄漏事件几乎断送了这笔交易，最终，雅虎公司不得不支付3500万美元罚款来解决美国证券交易委员会(SEC)提出的“欺诈指控”，以及支付另外8000万美元用于解决愤怒股东们发起的诉讼，同时还向美国和以色列的约2亿名用户提供两年的免费信用监控服务。
到了2018年11月30日，万豪国际集团发布声明称，其旗下喜达屋酒店的一个客房预订数据库被黑客入侵，5亿用户信息或已外泄。据悉，这些客人中约有3.27亿人的信息包括如下信息的组合：姓名、邮寄地址、电话号码、电子邮件地址、护照号码、SPG俱乐部账户信息、出生日期、性别、到达与离开信息、预订日期和通信偏好。消息公布后，万豪国际美股一度大跌逾5%。此外，万豪还承诺支付受害客户损失，但是按照每张护照110美元的标准来算，它将不得不支付360亿美元，这笔数字已经相当于该公司的整个市值。
新风险蠢蠢欲动
其他因素也会影响网络犯罪的后果。例如，企业的杠杆率(指权益资本与资产负债表中总资产的比率，是衡量公司负债风险的一个指标，从侧面反映出公司的还款能力)比几年前更高。自2010年以来，标准普尔(记录上市公司的一个股票指数)1500指数公司的债务权益比率几乎翻了一番。因此，根据世界经济论坛的说法，它们的稳定性甚至也会受到网络犯罪骗局的威胁。
为了应对这种威胁，监管框架正在全球范围内收紧——目前所见的包括欧盟《通用数据保护条例(GDPR)》和美国的新SEC指令等。当局希望所有组织都能准好应对威胁的准备工作，以最大限度地降低风险，并在发生网络攻击事件后提高透明度。
企业需要关注其对网络事件的适应能力，尤其是要强调预防和响应。研究表明，只有约一半(52%)的组织配置了首席信息安全官(CISO)一职，且只有44%的组织表示他们的公司董事会正在积极参与其公司的整体安全战略。在如今这个数字时代，这种比例显然已经远远不能满足安全需求，需要重新进行思考和规划。
由于几乎每个企业都在以各种不同的方式进行数字化，所以只是单纯的认为如今的网络攻击主要威胁科技企业就太过天真了!事实上，网络犯罪分子正在将目光投向各个行业，其中许多行业都是前数字时代(pre-digital)的“滞留者”，例如酒店、航空公司和银行等都是网络犯罪分子锁定的焦点。
所以说，现代企业的创新和发展必须与网络风险和IT稳定性相平衡。企业领导者比以往任何时候都必须制定战略计划，为新兴机遇铺平道路，同时还要概述他们的公司如何确保业务连续性，并应对全球数字格局中复杂的网络威胁场景。
【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
