薄弱的网络防御正在暴露关键基础设施的风险 - 企业如何主动防范精明的攻击者以保护我们所有人

直接针对关键基础设施的攻击经常受到关注，但更大的危险往往隐藏在不太引人注目的地方：维持这些系统运行的企业的糟糕网络安全实践。根据 Cybernews 商业数字指数，高达 84% 的企业在网络安全实践方面获得"D"级或更差的评分，其中 43% 属于"F"类别。只有 6% 的公司在这方面获得了"A"级。更令人担忧的是，作为关键基础设施核心的行业 - 如能源、金融和医疗保健 - 都是最薄弱的环节之一。

企业网络安全失败与国家安全风险密不可分。美国关键基础设施的strength依赖于坚实的数字防御，当企业未能保护其网络安全时，就会使整个国家容易受到潜在的破坏性攻击。

风险与准备之间的不匹配

世界经济论坛最新报告揭示了一个令人担忧的脱节现象。三分之二的组织指望 AI 在今年塑造网络安全，但只有 37% 的组织制定了流程来检查其 AI 工具在使用前是否安全。这就像完全信任一个高科技设备却不阅读使用手册 - 这种做法具有风险性，可能会引发麻烦。当企业在努力做准备时，网络犯罪分子却在利用 AI 策划针对企业的攻击行动。例如，企业高管正面临着由 AI 机器人创建的高度针对性钓鱼攻击的激增。

任何类型的网络攻击都变得越来越难以抵御。以金融和保险行业为例。这些行业管理着敏感数据，是我们经济的关键，但该行业中 63% 的公司获得"D"级，24% 完全不及格。难怪去年，美国最大的抵押贷款机构之一 LoanDepot 遭受了重大勒索软件攻击，被迫使部分系统离线。

由于薄弱的网络安全措施，勒索软件仍然是一个主要问题。Crowdstrike 发现，从 2022 年到 2023 年，云环境入侵增加了 75%，云意识事件上升了 110%，云不可知事件增加了 60%。尽管技术不断进步，电子邮件仍然是网络犯罪分子攻击公司的主要方法之一。Hornetsecurity 报告称，2024 年近 37% 的电子邮件被标记为"不受欢迎"，比上年略有增加。这表明企业仍在努力通过主动措施解决基本漏洞。

企业与国家安全的关联

薄弱的网络安全不仅仅是企业问题 - 这是一个国家安全风险。2021 年 Colonial Pipeline 攻击事件扰乱了能源供应，暴露了关键行业的脆弱性。日益加剧的地缘政治紧张局势，尤其是与中国的关系，放大了这些风险。最近归因于国家支持的行为者的入侵利用了过时的电信设备和其他遗留系统，揭示了技术更新的懈怠如何危及国家安全。

例如，去年对美国和国际电信公司的黑客攻击暴露了高级官员使用的电话线路，并泄露了监控请求系统的数据，威胁到国家安全。这些公司薄弱的网络安全带来长期成本风险，允许国家支持的行为者访问敏感信息、影响政治决策和干扰情报工作。

认识到漏洞不是孤立存在的至关重要。无论是电信、能源还是金融领域发生的事情，都可能产生多米诺骨牌效应，影响整体国家安全。现在，比以往任何时候都更需要与 IT 和 DevOps 团队合作来消除任何漏洞，优先考虑及时更新，以领先于不断演变的网络威胁。

降低风险

为了应对这些不断增长的网络威胁，企业需要加强其安全措施。在以下关键领域采取行动可以产生重大影响：

如果尚未实施，部署基于 AI 的网络安全工具，持续监控可疑活动，包括 AI 驱动的钓鱼企图。这些工具可以自动检测新出现的威胁，分析模式并实时响应，最大限度地减少勒索软件等网络攻击造成的潜在损害。

建立全面的系统来评估 AI 工具部署前的安全性。这应包括严格的 AI 安全审计，测试对抗性攻击、数据污染或模型反转等漏洞。公司还应实施 AI 工具的安全开发生命周期实践，进行定期渗透测试，并确保符合 ISO/IEC 27001 或 NIST AI 风险管理框架等既定框架。

随着基于云的攻击增加，特别是勒索软件和数据泄露激增，公司应采用先进的云安全措施。这包括强大的加密、持续漏洞扫描以及集成 AI 来预测和防止云环境中的未来漏洞。

请注意，遗留系统是黑客最喜欢的目标。及时更新系统和应用补丁可以帮助在攻击者利用漏洞之前关闭它们。

合作是关键

没有公司能够独自面对当今的网络威胁。私营企业和政府机构之间的合作不仅有帮助 - 而且是必要的。实时共享威胁情报使组织能够更快地响应并领先于新出现的风险。公私合作伙伴关系还可以通过为较小的公司提供资金和先进安全工具等资源来创造公平竞争环境，这些资源他们可能无法负担。

前述世界经济论坛的报告明确指出：资源约束造成网络恢复能力的差距。通过合作，企业和政府可以弥合这些差距，建立更强大、更安全的数字环境 - 这种环境更有能力预防日益复杂的网络攻击。

主动安全的商业案例

一些企业可能会认为实施更严格的网络安全措施成本太高。然而，不采取行动的代价可能更高。根据 IBM 的数据，数据泄露的平均成本在 2024 年上升到 488 万美元，高于 2023 年的 445 万美元，增长了 10% - 这是自 2020 年疫情以来的最高增幅。

已经采取措施加强系统安全的企业受益于更快的事件响应时间，并赢得了希望保护数据安全的客户和合作伙伴的更大信任。例如，Mastercard 开发了一个实时欺诈检测系统，使用机器学习 (ML) 分析全球交易。通过即时可疑活动警报，它减少了欺诈，提升了客户信任度，并改善了客户和商户的安全性。

这些公司还节省了成本。IBM 报告称，现在三分之二的组织正在将安全 AI 和自动化集成到其安全运营中心。当广泛应用于预防工作流程时 - 如攻击面管理 (ASM) 和姿态管理 - 这些组织与未在预防策略中使用 AI 的组织相比，平均减少了 220 万美元的泄露成本。

对企业领导者的行动呼吁

美国的关键基础设施的强度取决于其最薄弱的环节 - 而现在，这个环节就是企业网络安全。薄弱的私营部门防御对国家安全、经济和公共安全构成严重风险。为防止灾难性后果，企业和政府都需要采取果断行动。

幸运的是，进展正在进行中。前总统拜登的网络安全行政令要求与联邦政府合作的公司满足更严格的网络安全标准。这一举措鼓励企业领导者、投资者和政策制定者实施更强有力的保障措施，投资于弹性基础设施，并促进行业范围的合作。通过采取这些步骤，最薄弱的环节可以成为抵御网络威胁的强大防线。

忽视的代价太高。如果企业 - 无论是否是政府合作伙伴 - 不采取行动，每个人依赖的系统可能会面临更严重和破坏性的中断。