美国关键基础设施的薄弱环节：企业网络安全

网络攻击对关键基础设施的直接打击固然令人担忧，但更大的危险往往潜伏于更隐蔽之处：保障这些系统运行的企业薄弱的网络安全措施。Cybernews商业数字指数显示，高达84%的企业网络安全实践评级为“D”级或更低，其中43%甚至不及格。仅有6%的企业获得了“A”级评价。更令人不安的是，能源、金融和医疗等关键基础设施核心行业的企业，恰恰是安全防线中最薄弱的环节。

企业网络安全故障与国家安全风险密不可分。美国关键基础设施的强度依赖于强大的数字防御体系。当企业未能有效保护其网络时，整个国家都将面临潜在的灾难性攻击风险。

世界经济论坛最新报告揭示了一个令人担忧的脱节现象。三分之二的组织依赖人工智能来塑造今年的网络安全战略，但只有37%的组织制定了在使用人工智能工具之前检查其安全性的流程。这就好比盲目信任高科技产品而不阅读说明书——风险极高，无异于自寻麻烦。企业还在积极准备阶段，而网络犯罪分子却已经利用人工智能策划针对它们的攻击行动。例如，企业高管正面临着由人工智能机器人生成的、高度精准的网络钓鱼攻击的激增。

各种类型的网络攻击都越来越难以防御。以金融和保险行业为例，这些行业管理着敏感数据，对经济至关重要，然而，这些行业中63%的企业评级为“D”，24%的企业彻底不及格。去年，美国最大的抵押贷款机构之一LoanDepot遭遇重大勒索软件攻击，被迫下线部分系统，这不足为奇。

由于网络安全措施薄弱，勒索软件仍然是一个主要问题。Crowdstrike发现，从2022年到2023年，云环境入侵激增了75%，云相关事件增加了110%，云无关事件增加了60%。尽管技术不断进步，电子邮件仍然是网络犯罪分子攻击企业的主要手段之一。Hornetsecurity报告显示，2024年近37%的电子邮件被标记为“垃圾邮件”，比上一年略有增加。这表明企业仍在努力通过积极措施解决根本漏洞。

薄弱的网络安全不仅仅是企业问题，更是国家安全风险。2021年Colonial Pipeline管道公司遭遇的攻击扰乱了能源供应，暴露了关键行业的漏洞。与中国的日益紧张的地缘政治局势加剧了这些风险。最近归因于国家支持行为者的入侵利用了过时的电信设备和其他遗留系统，揭示了技术更新方面的懈怠如何危及国家安全。

例如，去年对美国和国际电信公司的黑客攻击暴露了高级官员使用的电话线路，并泄露了用于监控请求的系统数据，威胁着国家安全。这些公司薄弱的网络安全措施会导致长期成本，使国家支持的行为者能够访问敏感信息，影响政治决策并扰乱情报工作。

必须认识到，漏洞并非孤立存在。在一个行业（无论是电信、能源还是金融）中发生的事情，都可能产生多米诺骨牌效应，对国家安全产生广泛影响。现在，比以往任何时候都更需要与IT和DevOps团队合作，弥补任何差距，优先进行及时更新，以领先于不断变化的网络威胁。

为了应对日益增长的网络威胁，企业需要加强其安全措施。在以下关键领域采取行动可以产生重大影响：

• 实施基于人工智能的网络安全工具，持续监控可疑活动，包括人工智能驱动的网络钓鱼企图。这些工具可以自动化新兴威胁的检测，分析模式并实时响应，最大限度地减少勒索软件等网络攻击造成的潜在损害。
• 建立一个全面的系统，在部署之前评估人工智能工具的安全性。这应包括严格的人工智能安全审计，以测试漏洞，例如对对抗性攻击、数据投毒或模型反转的敏感性。公司还应为人工智能工具实施安全开发生命周期实践，进行定期渗透测试，并确保符合ISO/IEC 27001或NIST人工智能风险管理框架等既定框架。
• 随着基于云的攻击的增加，特别是随着勒索软件和数据泄露的激增，公司应采取先进的云安全措施。这包括强大的加密、持续的漏洞扫描以及人工智能的集成，以预测和防止云环境中未来的漏洞。
• 遗留系统是黑客最喜欢的目标。及时更新系统并应用补丁可以帮助在攻击者利用漏洞之前关闭漏洞。

没有一家公司能够独自应对当今的网络威胁。私营企业和政府机构之间的合作不仅仅是有益的，更是势在必行的。实时共享威胁情报使组织能够更快地响应并领先于新兴风险。公私伙伴关系还可以通过为小型企业提供资金和先进安全工具等资源来创造公平的竞争环境，而这些资源他们可能无法负担。

上述世界经济论坛的报告明确指出：资源限制造成了网络弹性方面的差距。通过合作，企业和政府可以弥补这些差距，建立一个更强大、更安全的数字环境——一个能够更好地预防日益复杂的网络攻击的环境。

一些企业可能会认为实施更严格的网络安全措施成本过高。然而，不作为的代价可能会更高。根据IBM的数据，2024年数据泄露的平均成本上升至488万美元，高于2023年的445万美元，增长了10%——这是自2020年疫情以来最高的增长。

已经采取措施构建更安全系统的企业受益于更快的事件响应时间以及来自希望保护其数据的客户和合作伙伴的更大信任。例如，万事达卡开发了一个实时欺诈检测系统，该系统使用机器学习 (ML) 全球分析交易。它减少了欺诈，增强了客户信任，并通过即时可疑活动警报提高了客户和商家的安全性。

此类公司还可以节省成本。IBM报告称，三分之二的组织现在正在将其安全人工智能和自动化集成到其安全运营中心。当广泛应用于预防工作流程（例如攻击面管理 (ASM) 和态势管理）时，这些组织与在其预防策略中不使用人工智能的组织相比，平均减少了220万美元的漏洞成本。

美国的关键基础设施的强度取决于其最薄弱的环节——而现在，这个环节是企业网络安全。私营部门薄弱的防御能力对国家安全、经济和公共安全构成严重风险。为了防止灾难性后果，企业和政府都需要采取果断行动。

幸运的是，进展正在进行中。前总统拜登关于网络安全的行政命令要求与联邦政府合作的公司满足更严格的网络安全标准。这项倡议鼓励企业领导者、投资者和政策制定者加强安全措施，投资于弹性基础设施并促进行业合作。通过采取这些步骤，最薄弱的环节可以成为抵御网络威胁的强大防线。

利害关系重大，不容忽视。如果企业（无论是否为政府合作伙伴）不采取行动，每个人都依赖的系统可能会面临更严重和更具破坏性的中断。

Vincentas Baubonis 领导 Cybernews 团队。