把控日趨復(fù)雜的互聯(lián)性：網(wǎng)絡(luò)安全風(fēng)險(xiǎn)趨勢(shì)

安聯(lián)全球企業(yè)及特殊風(fēng)險(xiǎn)（AGCS）

7 年前，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)在安聯(lián)風(fēng)險(xiǎn)指數(shù)的排名還低位游走在第15 位，而近年來(lái)，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)幾乎年年排名居首或接近榜首。該指數(shù)是一項(xiàng)年度調(diào)研，統(tǒng)計(jì)來(lái)自100個(gè)國(guó)家超過(guò)2700 名風(fēng)險(xiǎn)專(zhuān)家對(duì)企業(yè)未來(lái)12個(gè)月及以后面臨的首要風(fēng)險(xiǎn)的預(yù)測(cè)判斷。網(wǎng)絡(luò)安全方面索賠的明顯增加，不僅源于網(wǎng)絡(luò)保險(xiǎn)市場(chǎng)發(fā)展的推動(dòng)，還受到包括數(shù)據(jù)泄露、分布式拒絕服務(wù)攻擊、網(wǎng)絡(luò)釣魚(yú)活動(dòng)以及勒索軟件增多等事件的影響。人為錯(cuò)誤和技術(shù)故障也是主要因素之一。

與此同時(shí)，當(dāng)今企業(yè)及保險(xiǎn)人還面臨快速演變的風(fēng)險(xiǎn)環(huán)境，新冠疫情的暴發(fā)又進(jìn)一步加劇了這種態(tài)勢(shì)。雖然新冠疫情的暴發(fā)并不是網(wǎng)絡(luò)安全相關(guān)索賠增長(zhǎng)的直接原因，但由于遠(yuǎn)程工作變多、家庭辦公的網(wǎng)絡(luò)安全保障措施可能不夠健全，在疫情大流行期間，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)一直在上升，特別是勒索軟件和商業(yè)電子郵件詐騙類(lèi)事件。雖然AGCS已開(kāi)始觀(guān)察到一些索賠可間接歸因于新冠疫情導(dǎo)致的商業(yè)格局轉(zhuǎn)變，但要斷定這是一個(gè)更廣泛的趨勢(shì)還為時(shí)過(guò)早。

然而，不管出于外部網(wǎng)絡(luò)攻擊、人為錯(cuò)誤還是技術(shù)故障，所造成的營(yíng)業(yè)中斷損失是網(wǎng)絡(luò)安全索賠發(fā)生的主要原因，賠案金額占到所統(tǒng)計(jì)的賠案總金額的60%左右，緊隨其后的是處理數(shù)據(jù)泄露產(chǎn)生的損失所需的支出。盡管近年來(lái)企業(yè)在網(wǎng)絡(luò)風(fēng)險(xiǎn)意識(shí)方面取得了巨大的進(jìn)步，但仍有許多公司往往在事故發(fā)生之后才意識(shí)到自己的數(shù)字資產(chǎn)有多么重要。本研究重點(diǎn)介紹了目前主要的網(wǎng)絡(luò)風(fēng)險(xiǎn)趨勢(shì)，以及企業(yè)如何更好地避免或降低此類(lèi)風(fēng)險(xiǎn)事件的影響。

一、后疫情時(shí)代的安全措施松懈加劇了網(wǎng)絡(luò)風(fēng)險(xiǎn)

新冠疫情的暴發(fā)導(dǎo)致了歷史上最大規(guī)模的居家辦公，這也給了犯罪分子利用漏洞的新機(jī)會(huì)。為了應(yīng)對(duì)疫情突發(fā)事件，許多企業(yè)通常在很短的時(shí)間內(nèi)就擴(kuò)大了遠(yuǎn)程工作部署，為盡可能多的員工提供訪(fǎng)問(wèn)公司軟件和系統(tǒng)的權(quán)限便利，不得不降低甚至?xí)和?zhí)行IT安全標(biāo)準(zhǔn)，迫使網(wǎng)絡(luò)安全承受前所未有的新壓力。根據(jù)網(wǎng)絡(luò)安全公司Arceo 的研究，受訪(fǎng)的250 家企業(yè)（年?duì)I收在2.5 億美元至20億美元之間）的首席信息安全官幾乎一致認(rèn)為，遠(yuǎn)程工作時(shí)的安全措施不可能像在辦公室時(shí)那樣嚴(yán)格。

安全措施松懈的潛在后果就是網(wǎng)絡(luò)犯罪分子和黑客更容易滲透到原先受到有效保護(hù)的企業(yè)系統(tǒng)中，造成數(shù)據(jù)泄露、網(wǎng)絡(luò)勒索入侵和IT 系統(tǒng)故障。受訪(fǎng)的首席信息安全官們表示，居家辦公期間，云使用、個(gè)人設(shè)備使用以及未經(jīng)審查的應(yīng)用程序及平臺(tái)是當(dāng)前面臨的最大威脅。同時(shí)，50%到90%的數(shù)據(jù)泄露是由員工自身的工作失誤，抑或是被網(wǎng)絡(luò)釣魚(yú)或社交工程詐騙導(dǎo)致的。

國(guó)際刑警組織（INTERPOL）的數(shù)據(jù)顯示，在2020 年，惡意軟件和勒索軟件事故已經(jīng)增加三分之一以上，同時(shí)網(wǎng)絡(luò)釣魚(yú)、詐騙和欺詐行為也增加了50%。急于采用新的云系統(tǒng)和遠(yuǎn)程訪(fǎng)問(wèn)解決方案也會(huì)造成數(shù)據(jù)泄露案件增加。在四個(gè)月的時(shí)間內(nèi)，國(guó)際刑警組織的一個(gè)私營(yíng)部門(mén)合作伙伴監(jiān)測(cè)到了約907000 封垃圾郵件、737 起惡意軟件事件以及48000個(gè)惡意URL——皆與新冠病毒主題有關(guān)。

特定行業(yè)也報(bào)告了相關(guān)事件的增加。在美國(guó)，由于數(shù)以百萬(wàn)計(jì)的員工居家辦公，其中包括那些負(fù)責(zé)維護(hù)關(guān)鍵基礎(chǔ)設(shè)施的工作人員，這導(dǎo)致疫情期間針對(duì)電網(wǎng)的網(wǎng)絡(luò)攻擊激增35%。這種攻擊可能引發(fā)的最壞后果是停電或重要設(shè)備的損壞。2020 年5 月，英國(guó)的電網(wǎng)數(shù)據(jù)系統(tǒng)遭到黑客攻擊，不過(guò)電力供應(yīng)并未受到影響。2020 年3 月，歐洲電網(wǎng)運(yùn)營(yíng)商協(xié)會(huì)ENTSO-E遭到攻擊，其內(nèi)部辦公系統(tǒng)受到影響。有報(bào)告稱(chēng)，自疫情大流行開(kāi)始以來(lái)，針對(duì)海洋和海上能源領(lǐng)域的網(wǎng)絡(luò)攻擊增加了400%。

迄今為止，AGCS 僅看到少量與新冠疫情有關(guān)的網(wǎng)絡(luò)索賠，但隨著犯罪分子繼續(xù)加大活動(dòng)力度且開(kāi)發(fā)出更成熟的技術(shù)，網(wǎng)絡(luò)犯罪導(dǎo)致的索賠可能在不久的將來(lái)進(jìn)一步加大。

隨著遠(yuǎn)程工作興起和經(jīng)濟(jì)衰退下的商業(yè)環(huán)境轉(zhuǎn)變，再加上網(wǎng)絡(luò)釣魚(yú)、勒索軟件攻擊和不安全的遠(yuǎn)程網(wǎng)絡(luò)訪(fǎng)問(wèn)帶來(lái)的損失成本，商業(yè)電子郵件詐騙事件或?qū)⒗^續(xù)增加。以新冠病毒為主題的網(wǎng)絡(luò)詐騙和旨在利用公眾對(duì)疫情大流行的關(guān)注的網(wǎng)絡(luò)釣魚(yú)活動(dòng)將繼續(xù)作惡。

疫情大流行對(duì)企業(yè)的數(shù)字化發(fā)展、遠(yuǎn)程辦公以及更多依賴(lài)在線(xiàn)銷(xiāo)售等都將產(chǎn)生長(zhǎng)期影響，企業(yè)為應(yīng)對(duì)新冠疫情采取的這些措施也意味著網(wǎng)絡(luò)安全風(fēng)險(xiǎn)將以不同的形態(tài)和形式演變。

二、營(yíng)業(yè)中斷和數(shù)字供應(yīng)鏈更加脆弱

由于對(duì)技術(shù)的日益依賴(lài)，供應(yīng)鏈中的網(wǎng)絡(luò)風(fēng)險(xiǎn)也越來(lái)越大，數(shù)字化中斷已成為網(wǎng)絡(luò)安全損失中不容忽視的因素。

網(wǎng)絡(luò)安全事件發(fā)生后的營(yíng)業(yè)中斷（BI）已成為企業(yè)的主要關(guān)注點(diǎn)。AGCS通過(guò)分析網(wǎng)絡(luò)安全賠案，發(fā)現(xiàn)在大多數(shù)情況下，營(yíng)業(yè)中斷是造成企業(yè)經(jīng)濟(jì)損失的主要原因。無(wú)論是勒索軟件、人為錯(cuò)誤還是技術(shù)故障，關(guān)鍵系統(tǒng)或數(shù)據(jù)的丟失都會(huì)讓一家企業(yè)在當(dāng)今數(shù)字化經(jīng)濟(jì)中陷入困境。

新冠疫情暴發(fā)前進(jìn)行的“安聯(lián)風(fēng)險(xiǎn)指數(shù)2020”調(diào)研顯示，網(wǎng)絡(luò)安全和營(yíng)業(yè)中斷現(xiàn)已成為企業(yè)面臨的最首要的兩類(lèi)風(fēng)險(xiǎn)，而且它們之間的關(guān)聯(lián)性越來(lái)越高。在包括銀行和航空公司在內(nèi)的多個(gè)行業(yè)發(fā)生大規(guī)模中斷事件后，這種觀(guān)點(diǎn)更是深入人心。與此同時(shí)，勒索軟件攻擊，如2017 年NotPetya 惡意軟件和Ryuk 勒索事件，已經(jīng)給制造業(yè)、服務(wù)業(yè)以及公共部門(mén)組織造成了嚴(yán)重的破壞。

數(shù)據(jù)或“商業(yè)情報(bào)”的丟失正在成為主要的損失原因。長(zhǎng)時(shí)間無(wú)法訪(fǎng)問(wèn)數(shù)據(jù)可能會(huì)對(duì)企業(yè)收入產(chǎn)生重大影響，例如，一家公司無(wú)法接收訂單。值得關(guān)注的大型營(yíng)業(yè)中斷賠案之一就是2019 年歐洲媒體公司遭遇的火災(zāi)事件，該起案件中索賠金額的很大一部分與數(shù)據(jù)失效和為恢復(fù)數(shù)據(jù)所產(chǎn)生的成本有關(guān)。

數(shù)字供應(yīng)鏈為提供服務(wù)及貨物都帶來(lái)了巨大好處。技術(shù)化的共享平臺(tái)使數(shù)據(jù)能夠在各方之間交互，使行政事務(wù)和訂單自動(dòng)化，并按需運(yùn)輸產(chǎn)品。但是，此類(lèi)平臺(tái)可能會(huì)產(chǎn)生連鎖反應(yīng)，使得營(yíng)業(yè)中斷遍及整個(gè)部門(mén)。如果平臺(tái)由于技術(shù)故障或網(wǎng)絡(luò)事件而無(wú)法使用，則可能給所有依賴(lài)并共享同一系統(tǒng)的公司帶來(lái)巨大的營(yíng)業(yè)中斷損失。2019年6 月，谷歌部分云服務(wù)發(fā)生的故障給包括YouTube、Uber 和Snapchat 在內(nèi)的多家大型在線(xiàn)服務(wù)提供商造成了數(shù)小時(shí)營(yíng)業(yè)中斷的災(zāi)難性后果。2017年，亞馬遜網(wǎng)絡(luò)服務(wù)在北美地區(qū)發(fā)生4 個(gè)小時(shí)的故障，給標(biāo)準(zhǔn)普爾500強(qiáng)企業(yè)造成了約1.5億美元的損失。

就在五年前，AGCS 等保險(xiǎn)公司的網(wǎng)絡(luò)安全保險(xiǎn)理賠團(tuán)隊(duì)還主要關(guān)注數(shù)據(jù)泄露以及由此產(chǎn)生的第一方損害和對(duì)第三方承擔(dān)的責(zé)任。但隨著企業(yè)對(duì)技術(shù)的日益依賴(lài)，對(duì)第一方和營(yíng)業(yè)中斷保障的關(guān)注越來(lái)越多，理賠部門(mén)需要逐漸具備跨學(xué)科的職業(yè)能力（包括但不限于業(yè)務(wù)持續(xù)性、法務(wù)、會(huì)計(jì)等專(zhuān)業(yè)知識(shí)）。

三、勒索軟件是如今最突出的網(wǎng)絡(luò)犯罪威脅

勒索軟件攻擊正日益成為網(wǎng)絡(luò)安全損失的最大原因之一。事實(shí)上，歐盟的執(zhí)法機(jī)構(gòu)EUROPOL正將其視為最突出的網(wǎng)絡(luò)犯罪威脅。

已然高發(fā)的頻率，加之越來(lái)越大的破壞性，勒索軟件攻擊以其復(fù)雜的攻擊手段和巨額勒索要求正更多瞄準(zhǔn)大型企業(yè)。五年前，典型的勒索軟件贖金約數(shù)萬(wàn)美元，如今這一數(shù)字可以達(dá)到數(shù)百萬(wàn)美元。網(wǎng)絡(luò)攻擊的后果可能使企業(yè)陷入癱瘓，特別是那些依靠數(shù)據(jù)提供產(chǎn)品和服務(wù)的企業(yè)。同時(shí)對(duì)供應(yīng)鏈中的其他環(huán)節(jié)，如關(guān)鍵基礎(chǔ)設(shè)施，也會(huì)造成重大損失。

根據(jù)安全軟件供應(yīng)商Emsisoft 的估計(jì)，2019年全球有近50萬(wàn)次勒索軟件入侵報(bào)告，僅在勒索贖金方面就給企業(yè)組織造成了至少63億美元的損失。據(jù)估計(jì)，處理此類(lèi)事件的總成本遠(yuǎn)遠(yuǎn)超過(guò)1000 億美元。贖金只是其中一部分，勒索軟件導(dǎo)致的營(yíng)業(yè)中斷經(jīng)濟(jì)損失才是最嚴(yán)重的。隨著停機(jī)時(shí)間越來(lái)越長(zhǎng)，恢復(fù)系統(tǒng)和數(shù)據(jù)的相關(guān)成本會(huì)非常高昂。一項(xiàng)關(guān)于歐洲網(wǎng)絡(luò)安全保險(xiǎn)損失的最新分析顯示，修復(fù)支出的成本與索要的贖金相近；而營(yíng)業(yè)中斷損失的占比是前二者的4到5倍。

在某些情況下，勒索軟件僅僅是真實(shí)目的下的煙幕彈，例如以個(gè)人數(shù)據(jù)竊取為目的的案件。在2020 年1 月至6 月期間，ID Ransomware 網(wǎng)站收到的100001 份上傳信息是與勒索軟件團(tuán)伙攻擊企業(yè)和公共部門(mén)組織有關(guān)的，其中11642 個(gè)（約11%）實(shí)際上是與公開(kāi)竊取數(shù)據(jù)的團(tuán)伙相關(guān)聯(lián)，且真實(shí)數(shù)字可能更高。

攻擊方式上也已經(jīng)超越了前幾年常見(jiàn)的散兵游勇式的大批量網(wǎng)絡(luò)釣魚(yú)攻擊，資金雄厚的有組織的網(wǎng)絡(luò)犯罪團(tuán)伙對(duì)大公司發(fā)起更加復(fù)雜和有針對(duì)性的攻擊，以期索取高額贖金。

近年來(lái)，網(wǎng)絡(luò)保險(xiǎn)索賠的主要案例有諸如Ryuk 惡意軟件等事件，以及2019 年針對(duì)全球鋁生產(chǎn)商N(yùn)orsk Hydro的攻擊，其員工一度不得不依靠筆和紙辦公。Ryuk 于2018 年8月首次見(jiàn)諸報(bào)端，發(fā)動(dòng)多次對(duì)全球大公司、醫(yī)院和地方政府的網(wǎng)絡(luò)襲擊。此類(lèi)攻擊計(jì)劃周密，黑客花時(shí)間識(shí)別和瞄準(zhǔn)關(guān)鍵網(wǎng)絡(luò)系統(tǒng)，力求最大限度地提高攻擊的影響層面和贖金數(shù)額。

考慮到受疫情影響居家辦公人數(shù)上升，而家庭網(wǎng)絡(luò)安全保障措施可能不如工作場(chǎng)所，可以預(yù)計(jì)到未來(lái)會(huì)出現(xiàn)更多的惡意軟件和勒索軟件攻擊，新冠疫情大流行的背景也加劇了這種威脅。自2020年初以來(lái)，各地所報(bào)告的惡意軟件和勒索軟件事件已經(jīng)增加了三分之一以上。

“網(wǎng)絡(luò)黑客商業(yè)化”也導(dǎo)致了更多安全事件發(fā)生。越來(lái)越多的網(wǎng)絡(luò)犯罪分子采取“特許經(jīng)營(yíng)”模式，將惡意軟件賣(mài)給其他攻擊者，然后針對(duì)企業(yè)要求支付贖金。這使得高端黑客工具能夠更加廣泛地利用網(wǎng)絡(luò)漏洞犯罪。

四、商業(yè)電子郵件詐騙攻擊激增

一段時(shí)間以來(lái)，商業(yè)電子郵件詐騙（BEC），或稱(chēng)網(wǎng)絡(luò)欺詐攻擊的頻率一直在增加，且由于經(jīng)濟(jì)衰退和新冠疫情暴發(fā)推動(dòng)的商業(yè)環(huán)境轉(zhuǎn)變，這種情況仍會(huì)持續(xù)激增。更多的人居家工作意味著會(huì)滋生新的犯罪活動(dòng)機(jī)會(huì)。根據(jù)FBI 的數(shù)據(jù)，在疫情大流行之前，BEC事件自2016年以來(lái)已經(jīng)在全球范圍內(nèi)造成了至少260億美元的損失。2018年5月至2019年7月，全球BEC事件數(shù)量翻了一番，平均經(jīng)濟(jì)損失約27萬(wàn)美元。

BEC 攻擊通常涉及社交工程和釣魚(yú)式電子郵件，以欺騙員工或公司的高級(jí)管理人員，使其透露登錄憑證或進(jìn)行欺詐性交易。隨著時(shí)間的推移，BEC 攻擊已經(jīng)變得越來(lái)越復(fù)雜，犯罪分子現(xiàn)在多使用欺詐性電子郵件和偽造賬戶(hù)來(lái)模仿高級(jí)管理人員、供應(yīng)商或客戶(hù)，以獲得對(duì)公司IT系統(tǒng)的訪(fǎng)問(wèn)權(quán)限。在過(guò)去，BEC 攻擊的重點(diǎn)是欺詐性的資金轉(zhuǎn)移，但如今它們也被用來(lái)竊取有價(jià)值的數(shù)據(jù)或進(jìn)行賬戶(hù)接管的攻擊。

五、特大數(shù)據(jù)泄露的代價(jià)更大

隨著IT 系統(tǒng)和網(wǎng)絡(luò)世界變得越來(lái)越復(fù)雜，以及云計(jì)算和第三方服務(wù)的增長(zhǎng)，大型數(shù)據(jù)泄露事件的應(yīng)對(duì)成本正在上升。監(jiān)管問(wèn)責(zé)是推高成本的關(guān)鍵因素，同時(shí)第三方責(zé)任和潛在的集體訴訟風(fēng)險(xiǎn)的增加也是驅(qū)動(dòng)因素。

尤其是所謂的特大數(shù)據(jù)泄露事件（涉及超過(guò)100萬(wàn)條記錄），發(fā)生頻率和付出的代價(jià)也更大。2019年7月，Capital One遭遇了銀行業(yè)史上規(guī)模重大的一次泄露事件，美國(guó)約有1億客戶(hù)受到影響，超過(guò)全國(guó)人口的30%。美國(guó)銀行監(jiān)管機(jī)構(gòu)也對(duì)其罰款8000萬(wàn)美元。然而此次事件還不是近年來(lái)最大的一次。

據(jù)報(bào)道，2018 年萬(wàn)豪酒店集團(tuán)和信用評(píng)級(jí)機(jī)構(gòu)Equifax 在2017 年發(fā)生的數(shù)據(jù)泄露事件，分別涉及超過(guò)3 億和1.4 億客戶(hù)的個(gè)人數(shù)據(jù)。兩家公司都面臨著多個(gè)司法管轄區(qū)的訴訟和監(jiān)管行動(dòng)。英國(guó)數(shù)據(jù)保護(hù)監(jiān)管機(jī)構(gòu)宣布計(jì)劃對(duì)萬(wàn)豪酒店集團(tuán)的數(shù)據(jù)泄露事件罰款1億英鎊（約1.3億美元）。此外，英國(guó)航空2019年7月宣布，其因2018年數(shù)據(jù)泄露事件（50 萬(wàn)名客戶(hù)受到影響）被處以1.83億英鎊（約2.4 億美元）罰金。然而，在考慮到新冠疫情造成的經(jīng)濟(jì)沖擊后，英國(guó)航空最終只支付了2000 萬(wàn)英鎊（約2600 萬(wàn)美元），但這仍是英國(guó)信息專(zhuān)員辦公室（ICO）開(kāi)出的最大罰單。

盡管如此，根據(jù)Ponemon研究所的數(shù)據(jù)，現(xiàn)在一個(gè)特大泄露事件的平均成本為5000萬(wàn)美元，比2019年增加了近20%。對(duì)于超過(guò)5000萬(wàn)條記錄的數(shù)據(jù)泄露，成本估計(jì)為3.92億美元，較2019年略有上升。

六、國(guó)內(nèi)外監(jiān)管力度趨嚴(yán)

數(shù)據(jù)保護(hù)和隱私監(jiān)管的范疇和地域范圍都在不斷擴(kuò)大，這對(duì)收集和使用個(gè)人數(shù)據(jù)的組織提出了更嚴(yán)格的要求，對(duì)消費(fèi)者權(quán)益的保護(hù)力度和對(duì)違規(guī)行為的處罰力度都得以提高。

在美國(guó)，數(shù)據(jù)泄露后企業(yè)須履行通知義務(wù)早已成為網(wǎng)絡(luò)保險(xiǎn)損失及購(gòu)買(mǎi)網(wǎng)絡(luò)保險(xiǎn)的重要推動(dòng)因素。2002年，美國(guó)加利福尼亞州出臺(tái)了第一部這樣的法律，而阿拉巴馬州則在2018年成為第50個(gè)制定數(shù)據(jù)泄露通知法案的州。近年來(lái)，其他國(guó)家和地區(qū)也紛紛效仿，澳大利亞和加拿大在2018年出臺(tái)了數(shù)據(jù)泄露通知法，而其他一些國(guó)家的步子則走得更遠(yuǎn)。

2018 年5 月生效的歐洲《通用數(shù)據(jù)保護(hù)條例》（GDPR）改變了游戲規(guī)則。這項(xiàng)法律遠(yuǎn)遠(yuǎn)超出了向監(jiān)管機(jī)構(gòu)和個(gè)人通報(bào)數(shù)據(jù)泄露的義務(wù)標(biāo)準(zhǔn)，并大大提高了消費(fèi)者權(quán)益的保護(hù)力度。它規(guī)定企業(yè)在使用數(shù)據(jù)之前需獲得同意，解釋如何使用數(shù)據(jù)，并在收到要求時(shí)刪除數(shù)據(jù)。此后，其他司法管轄區(qū)皆效仿GDPR并起草了類(lèi)似的法律，以美國(guó)加利福尼亞州和巴西最為典型，亞洲、拉丁美洲和中東的一些國(guó)家也在朝著類(lèi)似的方向發(fā)展。

這些都意味著企業(yè)需要更多考慮其在國(guó)內(nèi)外面臨的監(jiān)管風(fēng)險(xiǎn)。例如，GDPR 可適用于處理歐盟公民數(shù)據(jù)的美國(guó)公司，而《加州消費(fèi)者隱私法》將適用于持有當(dāng)?shù)毓駭?shù)據(jù)的歐洲公司。

GDPR催生了更多保險(xiǎn)索賠的報(bào)案。如果從監(jiān)管處罰的角度觀(guān)察，根據(jù)Pinsent Masons律師事務(wù)所的數(shù)據(jù)，在2019年3月至2020 年5 月期間，歐洲數(shù)據(jù)保護(hù)當(dāng)局（DPA）共開(kāi)出190張GDPR罰單，金額近5億美元。

歐盟法院于2020 年7 月對(duì)Schrems II 案件作出的判決也使情況更加復(fù)雜。這表明，依據(jù)歐盟—美國(guó)隱私保護(hù)框架（Privacy Shield Framework，又稱(chēng)“隱私盾”）從歐盟向美國(guó)傳輸個(gè)人數(shù)據(jù)已不再合法有效。作為回應(yīng)，美國(guó)商務(wù)部和歐盟委員會(huì)已經(jīng)開(kāi)始有關(guān)討論，以期建立一個(gè)符合判決要求的隱私保護(hù)措施強(qiáng)化框架。

上述所有都體現(xiàn)了對(duì)數(shù)據(jù)泄露責(zé)任的強(qiáng)化以及對(duì)數(shù)據(jù)收集和使用的規(guī)范，這對(duì)現(xiàn)代企業(yè)的存續(xù)發(fā)展有著重要影響，可期的是監(jiān)管法規(guī)未來(lái)將得到更加嚴(yán)格的執(zhí)行。

七、集團(tuán)訴訟呈發(fā)展態(tài)勢(shì)

如今，許多大型數(shù)據(jù)泄露事件都會(huì)引發(fā)監(jiān)管處罰，同時(shí)可能遭受來(lái)自消費(fèi)者、商業(yè)伙伴和投資者的起訴。一旦發(fā)生這樣的情況，法律費(fèi)用會(huì)大幅增加事件總成本。

美國(guó)的數(shù)據(jù)泄露訴訟呈上升態(tài)勢(shì)，一些大型違規(guī)事件引發(fā)了消費(fèi)者或投資者的集體訴訟。2019年7月，Equifax就其2017年的特大違規(guī)事件和起訴方達(dá)成了7億美元的和解。美國(guó)法院一直在應(yīng)對(duì)“法律地位”問(wèn)題的爭(zhēng)議，即索賠人是否有權(quán)起訴，但趨勢(shì)似乎有利于原告。監(jiān)管法規(guī)的變化也有助于主張數(shù)據(jù)泄露的賠償。例如，《加州消費(fèi)者隱私法》為消費(fèi)者提供了起訴企業(yè)的相關(guān)法律依據(jù)，并開(kāi)創(chuàng)了美國(guó)歷史上為數(shù)據(jù)泄露設(shè)定法定損害賠償?shù)南群印?/p>

除美國(guó)以外的一些國(guó)家已經(jīng)擴(kuò)大了集體訴訟的權(quán)利。例如，在歐洲，《通用數(shù)據(jù)保護(hù)條例》（GDPR）使數(shù)據(jù)或隱私泄露的受害者更容易尋求法律救助。此外，原告代理公司和訴訟投資人正積極尋求在歐洲和其他地區(qū)提起數(shù)據(jù)泄露的集體訴訟。

八、公司并購(gòu)也會(huì)帶來(lái)網(wǎng)絡(luò)風(fēng)險(xiǎn)

在一些大型數(shù)據(jù)泄露事件發(fā)生后，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)已經(jīng)成為并購(gòu)中的熱門(mén)話(huà)題。例如，2018年萬(wàn)豪酒店集團(tuán)的數(shù)據(jù)泄露事件，導(dǎo)致其面臨監(jiān)管機(jī)構(gòu)近1億英鎊（約1.3億美元）的罰款，該事件的起因是其2016年收購(gòu)的喜達(dá)屋酒店集團(tuán)在2014年發(fā)生過(guò)數(shù)據(jù)泄露。

即使是保護(hù)措施完善的公司，如果他們收購(gòu)了一家網(wǎng)絡(luò)安全薄弱或存在漏洞的公司，也會(huì)遭遇風(fēng)險(xiǎn)。由此帶來(lái)的結(jié)果是收購(gòu)方仍可能要對(duì)并購(gòu)前發(fā)生的事件承擔(dān)損害賠償責(zé)任。

歸根結(jié)底，潛在的網(wǎng)絡(luò)漏洞和風(fēng)險(xiǎn)暴露需要成為企業(yè)在并購(gòu)中更為優(yōu)先考慮的事項(xiàng)，許多公司在這方面并沒(méi)有進(jìn)行足夠的盡職調(diào)查。同時(shí)，交易完成后，很多企業(yè)也沒(méi)能快速處理被并購(gòu)方網(wǎng)絡(luò)安全系統(tǒng)中的薄弱環(huán)節(jié)。

九、國(guó)家政治因素也增加了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

對(duì)企業(yè)而言，國(guó)家政府卷入網(wǎng)絡(luò)攻擊成為一項(xiàng)日益增長(zhǎng)的風(fēng)險(xiǎn)，這些攻擊以企業(yè)的知識(shí)產(chǎn)權(quán)為目標(biāo)，或意圖對(duì)企業(yè)自身造成營(yíng)業(yè)中斷或物質(zhì)損失。大型事件，諸如選舉和新冠疫情等，則為網(wǎng)絡(luò)攻擊提供了“良機(jī)”。谷歌表示，他們?cè)?020年的每個(gè)季度都不得不阻止超過(guò)11000次以政府資助做掩護(hù)的潛在網(wǎng)絡(luò)攻擊，包括網(wǎng)絡(luò)釣魚(yú)活動(dòng)及不太常見(jiàn)的分布式拒絕服務(wù)攻擊。

近年來(lái)，港口、碼頭、油氣設(shè)施等重要基礎(chǔ)設(shè)施也頻繁遭到網(wǎng)絡(luò)和勒索活動(dòng)的攻擊。

隨著國(guó)家的介入為黑客提供更多的資金，先進(jìn)的網(wǎng)絡(luò)攻擊技術(shù)和惡意軟件也可能會(huì)流入網(wǎng)絡(luò)犯罪分子手中。正如NotPetya惡意軟件攻擊事件，即使企業(yè)原不是直接的攻擊目標(biāo)，國(guó)家支持的網(wǎng)絡(luò)攻擊也會(huì)造成附帶損害。

十、風(fēng)險(xiǎn)防范：預(yù)備、落實(shí)、預(yù)防

籌備和培訓(xùn)是最有效的降低風(fēng)險(xiǎn)的方法，可以大大減少網(wǎng)絡(luò)事件發(fā)生的可能性或損害后果。對(duì)于很多人為錯(cuò)誤導(dǎo)致的事件，可以通過(guò)培訓(xùn)來(lái)減輕風(fēng)險(xiǎn)，這尤其適用于網(wǎng)絡(luò)釣魚(yú)和電子郵件欺詐等最常見(jiàn)的網(wǎng)絡(luò)攻擊形式。

培訓(xùn)還能有效減輕勒索軟件的攻擊，當(dāng)然維護(hù)安全備份也是必不可少的。業(yè)務(wù)恢復(fù)和持續(xù)性計(jì)劃也是降低網(wǎng)絡(luò)事件影響的關(guān)鍵，但應(yīng)對(duì)計(jì)劃進(jìn)行測(cè)試、實(shí)踐和定期審查。

企業(yè)應(yīng)考慮借此機(jī)會(huì)與保險(xiǎn)公司和經(jīng)紀(jì)人配合，組織內(nèi)外部關(guān)鍵人員進(jìn)行模擬演練。這樣不僅可以建立信任，也能降低危機(jī)事后之痛。

要成功減輕網(wǎng)絡(luò)事件的影響，還需要對(duì)企業(yè)整體的IT系統(tǒng)和流程進(jìn)行良好的監(jiān)督和了解。整體管控機(jī)制有利于更快掌握局面。明確的職責(zé)分工和溝通，調(diào)動(dòng)所有部門(mén)一致執(zhí)行總體規(guī)劃，將使應(yīng)對(duì)措施更加有效。

疫情大流行后的格局為企業(yè)帶來(lái)了新的挑戰(zhàn)。隨著家庭辦公的普及，針對(duì)網(wǎng)絡(luò)接入點(diǎn)和潛在勒索軟件攻擊風(fēng)險(xiǎn)部署安全措施至關(guān)重要。同時(shí)，因?yàn)榫W(wǎng)絡(luò)中斷對(duì)于營(yíng)業(yè)收入會(huì)產(chǎn)生重大影響，也要同時(shí)定期監(jiān)測(cè)并確保有充足的網(wǎng)絡(luò)容量。當(dāng)許多員工進(jìn)行視頻會(huì)議時(shí)，企業(yè)還應(yīng)該注意帶寬的可用程度。

購(gòu)買(mǎi)網(wǎng)絡(luò)安全保險(xiǎn)是公司提高其網(wǎng)絡(luò)恢復(fù)能力的最后防線(xiàn)之一。如果其他所有措施都不夠充分，保險(xiǎn)在幫助公司恢復(fù)重建方面可發(fā)揮至關(guān)重要的作用，但它不能代替戰(zhàn)略性的風(fēng)險(xiǎn)管理機(jī)制。培養(yǎng)員工風(fēng)險(xiǎn)防范意識(shí)，以及對(duì)系統(tǒng)進(jìn)行更新和持續(xù)監(jiān)控，毫無(wú)疑問(wèn)應(yīng)該在任何企業(yè)的網(wǎng)絡(luò)安全工作清單中排在首位。