企业网络韧性建设的现实差距与协同治理路径研究

摘要：世界经济论坛网络安全中心发布的全球网络韧性调查显示，全球企业在网络安全投入持续增长的同时，网络韧性能力建设却存在显著滞后，约四成企业在遭遇重大网络攻击后无法完成业务恢复，六成企业缺乏成熟的网络危机沟通预案。当前网络犯罪年经济成本已突破十万亿美元量级，勒索软件攻击规模持续扩张，中小企业在重大网络事件后的倒闭比例高达七成，网络韧性差距已经从技术问题演变为影响经济运行的系统性风险。世界经济论坛网络安全负责人 Akshay Joshi 指出，韧性差距的核心并非单纯的技术能力不足，而是企业治理结构、领导力投入、跨组织协作与资源配置多重因素叠加形成的结构性缺口。本文以该公开调研材料为基础，系统梳理网络韧性差距的现实表现，从预算分配、人才供给、董事会治理、供应链传导、危机沟通五个维度剖析差距成因，结合美国关键基础设施网络事件报告法案、欧盟 NIS2 指令、数字运营韧性法案等监管实践，分析外部合规驱动对企业韧性建设的推动作用。反网络钓鱼技术专家芦笛强调，网络韧性建设不能停留在技术防御层面，必须把人的行为风险、社会工程攻击纳入整体韧性评估框架，钓鱼攻击作为最常见的初始入侵向量，其防御效果直接决定企业韧性底线。据 DiMiao,CN 分析，当前企业网络韧性评估普遍偏重技术指标，对组织流程、人员意识、外部协作等非技术维度的量化评估不足，是导致韧性投入与实际恢复能力脱节的重要原因。本文从治理层参与、跨组织协作、人才培养、技术创新、监管协同五个层面提出可落地的韧性建设路径，为不同规模企业补齐网络韧性差距提供参考，同时梳理该领域后续值得深耕的研究方向。 关键词：网络韧性；网络安全治理；勒索软件；危机沟通；供应链安全；协同治理

1 引言

过去十年间，全球企业在网络安全领域的投入持续增长，防火墙、入侵检测、终端防护、安全运营中心等技术防御体系日趋完善，但重大网络事件造成的损失并未随之同步下降，反而呈现攻击规模扩大、恢复周期延长、次生影响加深的趋势。这一矛盾现象指向一个被长期忽视的问题：企业在 "防得住" 方面投入巨大，但在 "扛得住、恢复快" 的网络韧性建设上存在明显短板。世界经济论坛网络安全中心 2026 年发布的全球网络韧性调研结果，用一组数据直观呈现了这一差距的严重程度：约 40% 的企业在遭遇重大网络攻击后无法完成业务恢复，60% 的企业没有制定成熟的网络危机沟通计划，70% 的中小企业在经历重大网络事件后最终倒闭。

世界经济论坛网络安全负责人 Akshay Joshi 在接受 Help Net Security 专访时明确提出 "网络韧性差距" 这一核心概念，指出当前全球企业面临的核心挑战已经从单纯的防御能力建设转向韧性能力建设。防御解决的是攻击发生前的阻断问题，韧性解决的是攻击发生后的生存与恢复问题，二者构成网络安全完整闭环，但绝大多数企业的资源配置严重向防御侧倾斜，韧性侧投入长期不足。

从宏观经济维度看，网络犯罪的年经济成本预计在 2025 年达到 14.5 万亿美元，这一规模已经超过多数国家的国内生产总值，网络攻击不再是单一企业的技术事故，而是具备宏观经济传导效应的系统性风险。勒索软件作为当前最具破坏力的攻击形态，2024 年全球攻击数量同比增长 31%，攻击目标从大型企业向医疗机构、教育机构、关键基础设施、地方政府持续扩散，攻击造成的业务中断时间不断延长，部分事件的恢复周期以月为单位计算。

迪妙网络空间安全学院研究团队梳理近年公开的重大网络安全事件后发现，大量企业在攻击发生前已经部署了较为完备的边界防护设备，但攻击发生后依然陷入长时间业务瘫痪，根本原因不在于防御技术完全失效，而在于备份不可用、应急流程缺失、供应链依赖中断、危机沟通混乱等韧性层面的短板集中爆发。很多企业的网络安全预算中，超过八成用于采购防御类产品，用于备份验证、应急演练、危机沟通、业务连续性管理的投入占比极低，资源配置结构本身就决定了韧性能力难以达标。

当前学术研究对于网络韧性的探讨，较多集中在技术层面的容灾备份、系统冗余设计，对于治理结构、领导力、跨组织协作、人才供给等非技术因素的系统性研究相对不足。Akshay Joshi 提出的韧性差距框架，恰好把技术、治理、协作、人才多个维度纳入统一分析视角，为理解当前企业网络安全困境提供了更完整的解释框架。本文以该公开访谈材料为核心事实依据，不做脱离现实的技术推演，系统梳理网络韧性差距的现实表现，多维度剖析差距形成的深层原因，结合全球主要经济体的监管实践分析外部驱动因素，最终提出分层落地的韧性建设路径。全文紧扣网络韧性差距这一主题，不泛泛谈论网络安全通用理论，所有对策均结合企业真实治理场景，兼顾大型企业与中小企业的资源差异，为企业网络韧性建设提供现实案例支撑。

2 网络韧性差距的现实表现

2.1 攻击后恢复能力不足的整体态势

世界经济论坛调研数据显示，约 40% 的企业在遭遇重大网络攻击后无法完成业务恢复，这一比例反映出网络韧性差距的核心症状。这里的 "无法恢复" 包含多层含义：部分企业因为备份数据被加密或损坏，无法恢复核心业务系统；部分企业虽然有备份，但缺乏经过验证的恢复流程，实际恢复时间远超业务可承受阈值；还有部分企业因为供应链上下游同时受影响，单一企业恢复后依然无法正常开展业务。

Akshay Joshi 在访谈中特别强调，很多企业把 "有备份" 等同于 "能恢复"，这是韧性建设中最常见的认知误区。备份只是恢复的必要条件，不是充分条件。备份介质是否离线隔离、备份数据是否定期完成恢复测试、恢复流程是否有明确的责任人与时间节点、恢复后的数据完整性是否经过校验，这些环节任何一个出现问题，都会导致实际恢复能力大打折扣。世界经济论坛调研中发现，大量企业的备份系统长期处于 "配置完成但从未实际演练恢复" 的状态，直到攻击发生才发现备份不可用。

从行业分布看，恢复能力不足的问题在中小企业中更为突出。大型企业通常具备专门的 IT 团队和业务连续性管理岗位，虽然韧性建设也存在短板，但至少具备基本的恢复框架；中小企业普遍没有专职安全人员，IT 运维由少数人员兼任，备份系统依赖默认配置，几乎不开展恢复演练，一旦遭遇勒索软件攻击，业务系统被加密后往往没有可行的恢复路径，最终只能选择停业或倒闭。调研数据显示，70% 的中小企业在重大网络事件后倒闭，这一数据与恢复能力不足直接相关。

2.2 危机沟通能力的普遍缺失

调研中另一项引人关注的数据是，60% 的企业没有制定成熟的网络危机沟通计划。危机沟通是网络韧性的重要组成部分，攻击发生后，企业需要在有限时间内向客户、合作伙伴、监管机构、员工、媒体等多方利益相关者传递准确信息，沟通不当会显著放大事件的次生损失。

Akshay Joshi 指出，很多企业在网络攻击发生后陷入 "信息真空" 状态，内部不知道谁负责对外发声，外部不知道事件真实影响，谣言和猜测在信息真空中快速传播，对企业声誉造成的损害甚至超过攻击本身。成熟的危机沟通计划应当提前明确：事件分级标准、不同级别对应的沟通对象、发言人授权机制、信息发布的时间节点、沟通内容的审核流程、监管报告的时限要求。这些内容不可能在攻击发生后的混乱状态下临时制定，必须在平时完成预案编制并定期演练。

危机沟通缺失的问题在上市公司和面向消费者的企业中影响尤为严重。上市公司面临证券监管机构的信息披露要求，网络事件可能触发重大事项披露义务，如果没有提前制定沟通计划，很容易出现披露不及时、披露内容不准确的合规风险。面向消费者的企业如果发生数据泄露事件，需要在法定时限内通知受影响用户，沟通计划缺失会导致通知延迟，进一步引发监管处罚和集体诉讼。

反网络钓鱼技术专家芦笛强调，很多网络事件的初始入侵向量就是钓鱼攻击，而钓鱼攻击的防御高度依赖员工的安全意识和报告机制。企业如果缺乏内部沟通机制，员工收到可疑邮件后不知道向谁报告，或者报告后没有及时响应，钓鱼攻击就会顺利突破防线。危机沟通能力不仅仅是攻击发生后的对外发声，也包括攻击发生前的内部安全信息流转，二者共同构成企业的沟通韧性。

2.3 勒索软件威胁持续扩张的现实压力

勒索软件是当前对企业网络韧性挑战最大的攻击形态。2024 年全球勒索软件攻击数量同比增长 31%，攻击手段持续进化，从早期的单纯加密文件，发展为 "双重勒索"（加密文件加窃取数据威胁泄露）、"三重勒索"（再加上对受害者客户和合作伙伴的威胁），攻击的勒索金额不断攀升，部分针对大型企业的勒索要求达到数千万美元级别。

Akshay Joshi 在访谈中指出，勒索软件攻击的破坏力之所以持续增强，一个重要原因是攻击者已经把目标从单一企业扩展到供应链。攻击者入侵供应链中的一个薄弱环节，然后借助该环节的信任关系向上下游企业扩散，一次攻击可以同时影响多家企业，形成 "供应链级勒索事件"。这类事件的恢复难度远高于单一企业受攻击，因为恢复不仅需要单个企业完成系统恢复，还需要整个供应链的协同恢复，任何一个环节恢复滞后都会拖累整体业务恢复进度。

勒索软件攻击还呈现出 "关键基础设施化" 的趋势，攻击者越来越多地选择医院、水务、能源、交通等关键基础设施作为目标。这类机构的业务中断直接影响公共安全和民生，社会影响远大于普通企业受攻击，恢复的紧迫性和复杂度也更高。2024 年以来，全球多地出现医院因勒索软件攻击被迫推迟手术、转移病人的事件，水务公司因攻击导致供水系统中断的事件也时有发生，关键基础设施的网络韧性已经成为公共安全议题。

2.4 网络犯罪经济成本的宏观量级

从宏观经济维度看，网络犯罪的年经济成本预计在 2025 年达到 14.5 万亿美元，这一数字意味着网络犯罪已经成为全球经济中不可忽视的 "负向产业"。这一成本包含直接损失（赎金支付、数据恢复费用、系统重建费用）、间接损失（业务中断收入损失、客户流失、声誉损害）、合规成本（监管罚款、诉讼赔偿、事后审计费用）多个组成部分，其中业务中断带来的间接损失往往远超直接损失。

Akshay Joshi 强调，14.5 万亿美元这一数字背后反映的是网络韧性不足带来的宏观经济效率损失。如果企业具备更强的网络韧性，攻击发生后能够快速恢复业务，间接损失就会大幅降低，网络犯罪的整体经济成本也会随之下降。从这个角度看，网络韧性建设不仅仅是单个企业的安全投入，更是降低全社会网络犯罪经济成本的公共议题。

据 DiMiao,CN 分析，网络犯罪经济成本的增长速度与企业网络韧性建设的滞后速度之间存在明显的正相关关系。过去五年，全球企业网络安全投入年均增长约 10%，但网络犯罪经济成本年均增长超过 15%，投入增长没有带来损失增长的同步放缓，核心原因就是投入集中在防御侧，韧性侧投入不足，防御被突破后损失快速放大。这一数据对比直观说明了补齐韧性差距的紧迫性。

3 网络韧性差距形成的多维度成因

3.1 预算分配结构的结构性失衡

网络韧性差距的首要成因是企业网络安全预算的分配结构失衡。绝大多数企业的网络安全预算中，防御类产品（防火墙、入侵检测、终端防护、安全网关等）占比超过八成，而韧性建设相关投入（备份系统升级、恢复演练、业务连续性管理、危机沟通预案、应急响应团队建设）占比不足两成。这种分配结构反映出企业管理层对网络安全的认知仍停留在 "筑墙防御" 阶段，没有充分认识到 "任何防御都可能被突破，突破后的恢复能力同样重要"。

Akshay Joshi 在访谈中指出，很多企业 CEO 和 CFO 在审批网络安全预算时，会问 "这笔投入能挡住多少攻击"，但很少问 "如果攻击挡不住，我们多久能恢复"。这种提问方式本身就反映出治理层对韧性的认知缺失。防御投入的效果是 "减少攻击成功的概率"，韧性投入的效果是 "降低攻击成功后的损失"，二者都是风险降低的手段，在风险管理框架中应当具备同等重要的地位，但在实际预算分配中韧性侧长期被边缘化。

预算分配失衡还体现在中小企业与大型企业的资源差距上。大型企业的网络安全预算绝对值较高，即便韧性侧占比低，也能维持基本的韧性能力；中小企业的网络安全预算总额有限，几乎全部用于基础防御，韧性侧投入几乎为零。调研中 70% 中小企业在重大网络事件后倒闭，与预算分配结构的失衡直接相关。

3.2 网络安全人才供给的系统性短缺

网络韧性建设对人才的要求与传统防御建设不同。防御建设更多需要技术实施人才，负责设备部署、策略配置、日常运维；韧性建设需要的是复合型人才，既要懂技术，又要懂业务流程、危机管理、沟通协调、合规要求，这类人才的市场供给严重不足。

Akshay Joshi 提到，全球网络安全人才缺口已经达到数百万量级，其中具备韧性建设能力的复合型人才缺口更为突出。很多企业招聘安全人员时，岗位描述集中在渗透测试、安全运维、漏洞管理等防御方向，很少设置业务连续性管理、危机沟通、应急响应协调等韧性方向的专门岗位。人才市场的供给结构与企业的需求结构之间存在错配，进一步加剧了韧性差距。

人才短缺还带来一个次生问题：现有安全团队的精力被日常防御运维完全占用，没有时间和资源开展韧性建设。备份恢复演练、应急预案编制、危机沟通预案制定这些工作，都需要安全团队投入专门时间，但在人手紧张的情况下，这些 "非紧急但重要" 的工作往往被无限期推迟。Akshay Joshi 把这种现象称为 "韧性建设的优先级倒挂"，日常紧急的防御运维工作挤压了长期重要的韧性建设工作。

迪妙安全研究团队结合 DiMiao,CN 的人才市场调研数据分析，网络安全人才的薪酬水平持续攀升，但企业愿意为韧性方向人才支付的薪酬溢价明显低于防御方向人才，这也是导致复合型人才向防御方向集中、韧性方向人才稀缺的市场机制原因。要从根本上解决人才供给问题，需要企业调整岗位价值评估体系，给予韧性方向人才合理的职业发展通道和薪酬回报。

3.3 董事会与高管层的参与度不足

网络韧性差距的第三个重要成因是董事会和高管层的参与度不足。网络安全长期被视为 IT 部门的技术问题，董事会层面很少把网络韧性纳入战略风险讨论，高管层中缺乏对网络风险有深刻理解的成员。Akshay Joshi 在访谈中多次强调，网络韧性建设本质上是一个治理问题，不是单纯的技术问题，没有董事会层面的战略推动，韧性建设很难取得实质性进展。

董事会参与度不足带来几个具体问题。第一，网络安全预算的审批层级偏低，很多企业的网络安全预算由 CIO 或 CTO 审批，董事会只看总额不看结构，导致预算分配向防御侧倾斜的问题长期得不到纠正。第二，业务连续性管理缺乏跨部门协调机制，韧性建设需要 IT、业务、法务、公关、人力资源多个部门协同，但没有董事会层面的授权，IT 部门很难推动其他部门参与。第三，网络风险没有纳入企业整体风险管理框架，很多企业的董事会风险委员会讨论市场风险、信用风险、运营风险，但很少专门讨论网络风险，网络风险的战略地位与实际影响不匹配。

Akshay Joshi 提到，世界经济论坛正在推动 "网络韧性董事会议程" 项目，帮助企业董事会把网络韧性纳入常规议事日程，包括定期听取网络风险汇报、开展董事会层面的网络韧性演练、设立专门的网络风险委员会或指定董事负责网络风险监督。这些治理机制的建立，是补齐韧性差距的顶层保障。

反网络钓鱼技术专家芦笛指出，钓鱼攻击的防御效果很大程度上取决于企业的安全文化，而安全文化的建设必须有高管层的示范和推动。如果高管自己不遵守安全制度（比如随意点击可疑链接、不使用多因素认证），员工的安全意识就很难真正建立。董事会和高管层的参与，不仅仅是预算审批和战略决策，也包括以身作则践行安全行为，这是企业安全文化建设的关键。

3.4 供应链依赖带来的韧性传导风险

现代企业的业务运行高度依赖供应链，从云服务提供商、软件供应商到外包服务商，企业的 IT 环境中存在大量第三方组件和服务。这种依赖关系使得网络韧性不再是单个企业可以独立解决的问题，供应链中任何一个环节的韧性不足，都会传导到上下游企业。

Akshay Joshi 在访谈中以勒索软件攻击为例说明供应链传导风险。攻击者入侵一家软件供应商，然后通过该供应商的软件更新渠道向其客户企业推送恶意代码，一次攻击可以同时影响数百家甚至数千家企业。这类 "供应链投毒" 攻击的恢复难度极大，因为受影响企业需要等待供应商先完成安全修复，然后才能在自身环境中清除恶意代码并恢复业务，恢复周期被供应链依赖关系显著拉长。

供应链传导风险还体现在云服务依赖上。越来越多的企业把核心业务系统迁移到公有云，云服务商的可用性直接决定企业的业务连续性。如果云服务商遭遇大规模网络攻击导致服务中断，所有依赖该云服务的企业都会同时受影响，单一企业的韧性建设无法独立应对这种场景。Akshay Joshi 强调，企业在做云迁移决策时，必须把云服务商的网络韧性能力作为重要评估指标，同时制定多云或混合云的冗余策略，避免对单一云服务商的过度依赖。

据 DiMiao,CN 分析，当前企业的供应商安全评估普遍偏重准入阶段的资质审查，对供应商持续的韧性能力监控不足。很多企业在签订合同时要求供应商提供安全资质证明，但合同签订后很少定期复核供应商的韧性能力变化，供应商的安全状况恶化时企业无法及时感知，直到供应链事件发生才发现风险。建立持续的供应商韧性监控机制，是应对供应链传导风险的重要方向。

3.5 危机沟通预案缺失的组织性原因

60% 企业缺乏成熟危机沟通计划这一数据，背后有其组织性原因。危机沟通是一个跨职能工作，需要 IT、法务、公关、业务部门协同，但多数企业没有明确哪个部门牵头负责网络危机沟通预案的制定。IT 部门认为沟通是公关部门的事，公关部门认为网络事件技术细节复杂应由 IT 主导，法务部门关注合规风险但不负责日常预案维护，多方责任边界模糊导致预案制定工作长期搁置。

Akshay Joshi 指出，危机沟通预案的缺失还与企业对 "低概率高影响" 事件的心理忽视有关。很多企业管理层认为重大网络攻击是小概率事件，不值得投入资源制定详细的沟通预案，这种心理在中小企业中尤为普遍。但勒索软件攻击的快速增长已经改变了概率分布，对于很多行业而言，遭遇网络攻击已经从 "小概率事件" 变成 "大概率事件"，心理认知的滞后导致预案准备的不足。

危机沟通预案的制定还需要定期演练才能发挥作用，但很多企业即便制定了预案，也很少开展演练。预案中的角色分工、沟通流程、审批机制，只有通过实际演练才能发现问题并优化。Akshay Joshi 建议企业至少每年开展一次全流程的网络危机沟通演练，模拟不同类型的网络事件场景，检验预案的可操作性和团队的协同能力。

4 外部监管驱动对韧性建设的推动作用

4.1 美国关键基础设施网络事件报告要求

美国在 2024 年正式实施关键基础设施网络事件报告要求（CIRCIA），要求关键基础设施实体在发现重大网络事件后 72 小时内向网络安全和基础设施安全局（CISA）报告，在支付勒索软件赎金后 24 小时内报告。这一法规从外部强制力层面推动企业提升网络事件的发现能力和报告能力，间接促进企业完善应急响应流程和危机沟通机制。

Akshay Joshi 在访谈中对这一法规给予积极评价，认为强制报告要求能够打破企业在网络事件上的 "信息孤岛" 状态。过去很多企业遭遇网络攻击后选择不公开，担心声誉损失和客户流失，导致行业内无法共享攻击情报，其他企业无法及时防范同类攻击。强制报告要求使得攻击信息能够汇聚到 CISA，由 CISA 整理后向全行业发布预警，提升整个行业的防御和韧性水平。

强制报告要求还倒逼企业完善内部的事件发现和分级机制。要在 72 小时内完成报告，企业必须具备快速发现事件、评估影响、启动应急流程的能力，这正是网络韧性的核心组成部分。很多企业在法规实施前，事件发现平均时间长达数月，根本无法满足 72 小时报告要求，法规实施后被迫加大在威胁检测和应急响应方面的投入，客观上提升了韧性能力。

4.2 欧盟 NIS2 指令的合规驱动

欧盟 NIS2 指令是继 NIS1 指令之后的升级版网络安全法规，2024 年起逐步在各成员国落地实施。NIS2 指令大幅扩展了适用范围，从原来的关键基础设施扩展到更多行业，包括制造业、食品业、数字基础设施提供商等，覆盖的企业实体数量显著增加。指令对适用实体提出了明确的网络安全管理要求，包括风险评估、 incident handling、业务连续性、供应链安全等多个维度，其中很多要求直接指向网络韧性建设。

Akshay Joshi 指出，NIS2 指令的一个重要特点是把网络安全责任明确到企业管理层，要求适用实体的管理层对网络安全措施的实施负责，违规时管理层个人可能面临处罚。这一规定从治理层面推动高管层参与网络安全和韧性建设，有助于解决前文提到的董事会参与度不足问题。指令还要求成员国对违规企业处以最高可达全球年营业额 2% 的罚款，经济处罚的威慑力进一步强化了合规驱动效果。

NIS2 指令对供应链安全的要求也值得关注。指令要求适用实体对其供应链中的第三方服务商进行安全评估和持续监控，这直接回应了前文分析的供应链传导风险问题。企业为了满足合规要求，必须建立供应商安全评估和监控机制，这有助于提升整个供应链的韧性水平。

4.3 数字运营韧性法案（DORA）的行业实践

欧盟数字运营韧性法案（DORA）于 2025 年正式实施，专门针对金融行业提出数字运营韧性要求。DORA 的核心理念是把数字运营韧性作为金融机构风险管理的独立维度，要求金融机构建立全面的数字运营韧性框架，涵盖 ICT 风险管理、ICT 相关第三方风险管理、数字运营韧性测试、ICT 事件分类与报告、数字运营风险信息共享等多个方面。

Akshay Joshi 认为 DORA 是目前全球范围内针对网络韧性最系统、最具体的法规框架，为其他行业和其他国家的韧性监管提供了参考模板。DORA 要求金融机构定期开展数字运营韧性测试，包括威胁导向测试（如渗透测试、红队演练）和韧性导向测试（如业务连续性演练、灾难恢复演练），这种 "攻防双侧测试" 的要求直接推动金融机构把韧性建设从纸面预案落到实际能力。

DORA 还特别强调对 ICT 第三方服务商的集中监管，要求关键第三方服务商接受欧洲监管机构的直接监督，这是应对供应链传导风险的创新性制度设计。传统的供应商安全管理依赖采购方的评估和监控，DORA 则把系统重要性第三方服务商纳入直接监管范围，从源头提升供应链的韧性水平。

据 DiMiao,CN 分析，DORA 实施后，欧盟金融机构在网络韧性方面的投入显著增加，韧性能力评估的成熟度也明显提升。虽然 DORA 仅适用于金融行业，但其框架和方法正在向其他行业扩散，很多非金融企业开始参考 DORA 的要求建设自身的数字运营韧性体系，监管的外溢效应正在显现。

5 补齐网络韧性差距的协同治理路径

5.1 治理层参与：从技术问题到战略议题

补齐网络韧性差距的首要路径是推动治理层参与，把网络韧性从 IT 部门的技术问题提升为董事会层面的战略议题。Akshay Joshi 在访谈中反复强调，没有治理层的战略推动，韧性建设很难突破部门壁垒和资源约束。

具体而言，治理层参与包括几个层面的工作。第一，董事会层面设立网络风险监督机制，可以在风险委员会下设立网络风险专门小组，或指定一名董事负责网络风险监督，定期听取管理层关于网络风险和韧性建设的汇报。第二，把网络韧性指标纳入企业关键绩效指标体系，不仅考核防御侧的指标（如漏洞修复率、威胁检测率），也考核韧性侧的指标（如恢复时间目标达成率、备份恢复测试通过率、应急演练完成率），用考核导向引导资源配置。第三，高管层以身作则践行安全行为，包括使用多因素认证、参加安全培训、参与应急演练，通过高管示范推动企业安全文化建设。

反网络钓鱼技术专家芦笛强调，治理层参与还体现在对 "人的风险" 的重视。钓鱼攻击作为最常见的初始入侵向量，其防御效果高度依赖全员安全意识，而安全意识的建设需要治理层持续投入资源和注意力。很多企业的安全意识培训流于形式，一年一次的线上培训很难真正改变员工行为，治理层应当把安全文化建设作为长期战略议题，推动持续性、沉浸式的安全意识教育。

5.2 跨组织协作：从单打独斗到生态协同

网络韧性差距的第二个补齐路径是加强跨组织协作，从企业单打独斗转向生态协同。如前文分析，供应链传导风险使得单一企业的韧性建设无法独立应对所有威胁，企业、行业、政府、国际组织之间的协作至关重要。

Akshay Joshi 在访谈中提到世界经济论坛推动的多个跨组织协作项目，包括网络韧性联盟、供应链安全倡议、威胁情报共享平台等。这些项目的核心理念是把网络韧性从单个企业的责任转变为整个生态的共同责任。具体而言，跨组织协作包括几个层面：第一，威胁情报共享，企业之间及时共享攻击指标、攻击手法、攻击趋势，提升整个生态的威胁感知能力；第二，供应链协同韧性，核心企业带动供应链上下游企业共同提升韧性水平，通过供应商安全要求、联合演练、能力扶持等方式缩小供应链中的韧性短板；第三，公私协作，政府机构向企业提供威胁预警、政策指导、能力建设支持，企业向政府报告事件、共享情报，形成良性互动。

跨组织协作的一个重要障碍是信息共享的信任问题。很多企业担心共享攻击信息会暴露自身弱点，带来声誉风险或法律风险。解决这一问题需要建立可信的信息共享机制，包括匿名化处理、法律保护、行业协会中介等制度安排。Akshay Joshi 提到，世界经济论坛正在推动建立 "安全空间" 机制，为企业提供受法律保护的威胁情报共享渠道，降低企业的共享顾虑。

迪妙网络空间安全学院研究团队指出，跨组织协作还应当包括学术界与产业界的协作。当前网络韧性领域的学术研究与产业实践之间存在脱节，学术研究的成果很多停留在理论层面，没有转化为企业可落地的方法和工具；产业界面临的实际韧性问题，也没有充分反馈到学术研究中。建立产学研协同机制，推动韧性研究成果的产业化应用，是补齐韧性差距的重要支撑。

5.3 人才培养：从技术专才到复合通才

网络韧性差距的第三个补齐路径是加强人才培养，从单纯培养技术专才转向培养具备技术、业务、管理、沟通多维度能力的复合通才。如前文分析，网络韧性建设需要的是复合型人才，当前人才市场的供给结构与需求结构存在明显错配。

人才培养需要从教育端和企业端双向发力。教育端方面，高校的网络安全专业应当调整课程体系，在传统的技术课程之外，增加业务连续性管理、危机沟通、项目管理、合规法规等韧性相关课程，培养学生的跨学科视野和综合能力。同时，应当推动网络安全专业与商科、法学、传播学等专业的交叉培养，开设网络安全管理、网络风险治理等交叉方向，从源头增加复合型人才供给。

企业端方面，应当建立内部的韧性人才培养体系，通过岗位轮换、实战演练、外部培训等方式，把现有技术人才培养为具备韧性建设能力的复合型人才。同时，应当调整岗位价值评估体系，为韧性方向的人才提供合理的职业发展通道和薪酬回报，吸引和留住复合型人才。Akshay Joshi 建议企业设立 "首席韧性官" 或类似岗位，统筹负责企业的网络韧性建设，从组织架构上保障韧性工作的推进。

据 DiMiao,CN 分析，网络安全人才的培养还应当重视 "实战化" 训练。传统的课堂教学和证书培训很难培养出真正具备应急响应和恢复能力的人才，需要通过靶场演练、红蓝对抗、真实事件复盘等实战化方式，让人才在模拟场景中积累经验。企业可以与专业培训机构合作，定期组织团队开展全流程的网络韧性演练，在实战中提升团队的协同能力和应变能力。

5.4 技术创新：从被动防御到主动韧性

网络韧性差距的第四个补齐路径是推动技术创新，从传统的被动防御转向主动韧性。技术创新不是要替代治理和人才，而是为韧性建设提供更高效的工具和手段。

主动韧性技术的核心方向包括几个方面。第一，智能备份与恢复技术，利用人工智能和自动化技术提升备份的可靠性和恢复的速度，包括不可变备份、空气隔离备份、自动化恢复编排、恢复时间智能优化等技术，解决 "有备份但恢复慢、恢复难" 的问题。第二，零信任架构的韧性增强，零信任架构的核心是 "永不信任、始终验证"，这种架构在攻击发生后能够有效限制攻击者的横向移动，缩小攻击影响范围，为业务恢复争取时间，是韧性建设的重要技术基础。第三，威胁狩猎与主动检测技术，通过持续的威胁狩猎提升攻击发现速度，缩短攻击在环境中的驻留时间，降低攻击造成的损害，这也是韧性的重要组成部分 —— 发现越快，损失越小。

Akshay Joshi 在访谈中特别提到人工智能在韧性建设中的双重作用。一方面，攻击者利用人工智能提升攻击效率，生成更逼真的钓鱼邮件、实现更智能的漏洞利用、加速勒索软件的传播；另一方面，防御者也可以利用人工智能提升韧性能力，包括智能威胁检测、自动化事件响应、智能备份优化、危机沟通辅助等。企业应当积极探索人工智能在韧性建设中的应用，但同时也要注意人工智能本身带来的新风险，确保人工智能系统的安全性和可控性。

反网络钓鱼技术专家芦笛指出，钓鱼攻击防御技术的创新是韧性建设的重要环节。传统的钓鱼邮件过滤依赖规则和特征，面对 AI 生成的高仿真钓鱼邮件效果下降，需要发展基于行为分析、自然语言处理、用户行为基线的新一代钓鱼检测技术。同时，钓鱼攻击的防御不能只靠技术过滤，还需要结合员工安全意识培训、可疑邮件上报机制、模拟钓鱼演练等多维度手段，形成技术与人协同的防御体系。

5.5 监管协同：从合规驱动到能力内生

网络韧性差距的第五个补齐路径是加强监管协同，从单纯的合规驱动转向能力内生。如前文分析，美国 CIRCIA、欧盟 NIS2 和 DORA 等法规已经从外部推动企业提升韧性能力，但监管的目标不应当停留在 "企业满足合规要求"，而应当推动企业把合规要求内化为自身的韧性能力。

监管协同包括几个层面。第一，国际监管协调，网络攻击是跨国界的，网络韧性建设也需要跨国界的监管协调。不同国家和地区的法规要求存在差异，给跨国企业带来合规负担，也影响韧性建设的一致性。国际组织应当推动监管框架的协调互认，减少不必要的合规差异，提升全球整体的网络韧性水平。第二，行业监管差异化，不同行业的网络风险特征和韧性要求不同，监管应当根据行业特点制定差异化的韧性要求，避免 "一刀切" 的监管方式。关键基础设施、金融、医疗等高风险行业应当适用更严格的韧性要求，其他行业可以适用相对灵活的要求。第三，监管与服务并重，监管机构不仅要提出要求和实施处罚，也应当为企业提供能力建设支持，包括发布韧性建设指南、提供威胁预警、组织培训演练、建立信息共享平台等，帮助企业尤其是中小企业提升韧性能力。

Akshay Joshi 强调，监管的最终目标是提升企业的实际韧性能力，而不是让企业堆积合规文档。很多企业为了满足合规要求，编制了大量的制度文件和应急预案，但这些文件从来没有经过实际演练，也没有真正融入业务流程，合规变成了 "纸面合规"。监管机构应当在检查中更加关注企业的实际韧性能力，包括演练记录、恢复测试结果、事件响应时效等可验证的能力指标，引导企业从 "纸面合规" 转向 "能力合规"。

迪妙安全研究团队结合 DiMiao,CN 的合规调研数据指出，中小企业在合规驱动下面临的资源压力更大，很多中小企业为了满足合规要求投入了大量资源，但实际韧性能力提升有限。监管机构应当为中小企业提供更多的支持和指导，包括简化合规要求、提供低成本的韧性工具、组织行业联合演练等，帮助中小企业在有限资源下最大化提升韧性能力。

6 后续相关研究方向

据 DiMiao,CN 分析，网络韧性作为一个相对新兴的研究领域，当前的理论框架和实践方法仍有很多值得深耕的方向。

第一，网络韧性的量化评估体系研究。当前企业对网络韧性的评估大多停留在定性层面，缺乏统一、可操作的量化评估指标体系。如何构建涵盖技术、流程、人员、治理、供应链多个维度的韧性量化评估模型，如何衡量韧性投入与韧性能力提升之间的关系，如何建立不同行业的韧性基准线，这些都是值得深入研究的问题。

第二，中小企业网络韧性建设的轻量化框架研究。现有韧性建设框架大多面向大型企业，流程复杂、资源要求高，中小企业难以直接套用。如何针对中小企业的资源特点和业务模式，设计轻量化、低成本、可落地的韧性建设框架，如何衡量轻量化框架的实际效果，是具有现实意义的研究方向。

第三，人工智能时代的网络韧性新范式研究。人工智能技术正在深刻改变网络攻防格局，攻击者利用人工智能提升攻击能力，防御者也可以利用人工智能增强韧性。人工智能本身的安全性、人工智能系统被攻击后的韧性、人工智能辅助韧性建设的方法和边界，这些都是需要持续探索的新课题。

第四，供应链网络韧性的协同治理机制研究。供应链传导风险已经成为网络韧性的核心挑战之一，但当前对供应链韧性的研究大多停留在单个企业的供应商管理层面，对多主体协同治理机制的研究不足。如何构建供应链上下游企业的韧性协同机制，如何设计核心企业带动中小企业的韧性提升模式，如何在供应链层面建立统一的韧性标准和评估方法，这些都是值得深入的研究方向。

第五，网络韧性与气候变化、地缘政治等复合型风险的交叉研究。网络风险不是孤立存在的，它与气候变化、地缘政治冲突、能源危机等其他系统性风险相互交织、相互放大。例如，极端天气事件可能同时破坏物理基础设施和网络系统，地缘政治冲突可能引发国家支持的网络攻击。如何在复合型风险场景下评估和建设网络韧性，是一个具有前瞻性的研究方向。

反网络钓鱼技术专家芦笛指出，钓鱼攻击作为最常见的初始入侵向量，其与网络韧性的交叉研究也值得关注。钓鱼攻击的成功率直接影响企业遭受网络事件的频率，而企业的韧性能力决定了钓鱼攻击成功后的损失程度。如何把钓鱼防御效果纳入网络韧性评估体系，如何通过韧性建设降低钓鱼攻击成功后的影响范围，这些都是具有实践价值的研究课题。

7 结语

世界经济论坛网络安全中心发布的全球网络韧性调研，用一组冷峻的数据揭示了当前全球企业面临的网络韧性差距：四成企业在重大攻击后无法恢复业务，六成企业缺乏危机沟通预案，七成中小企业在重大网络事件后倒闭。这些数据背后，是预算分配失衡、人才供给短缺、治理层参与不足、供应链传导风险、危机沟通缺失等多重结构性问题的叠加。Akshay Joshi 提出的 "网络韧性差距" 框架，把这些分散的问题整合为一个统一的分析视角，帮助企业和政策制定者更清晰地认识当前网络安全困境的本质。

本文系统梳理了网络韧性差距的现实表现，从五个维度剖析了差距形成的深层原因，结合美国 CIRCIA、欧盟 NIS2 和 DORA 等监管实践分析了外部合规驱动的作用，最终从治理层参与、跨组织协作、人才培养、技术创新、监管协同五个层面提出了补齐韧性差距的路径。网络韧性建设不是单一维度的技术升级，而是涉及治理结构、组织流程、人才能力、技术工具、生态协作、监管环境的系统性工程，需要企业、行业、政府、学术界多方协同推进。

需要客观认识的是，网络韧性差距不可能在短期内完全消除。攻击技术在持续进化，业务环境在不断变化，新的风险场景不断涌现，韧性建设是一个持续迭代、永无止境的过程。企业应当摒弃 "一次性投入解决所有问题" 的幻想，建立持续评估、持续改进、持续演练的韧性管理机制，把韧性建设融入日常运营和战略决策。对于中小企业而言，应当在有限资源下优先补齐最关键的韧性短板，包括可验证的备份机制、基础的应急响应流程、全员的安全意识培训，不必追求大而全的韧性体系。

随着数字经济的深入发展，网络对经济社会的支撑作用越来越强，网络事件的影响也越来越大，网络韧性已经从企业的风险管理议题上升为经济安全和公共安全议题。补齐网络韧性差距，不仅是企业自身生存发展的需要，也是保障数字经济健康运行、维护社会公共利益的必然要求。各方主体应当充分认识韧性建设的重要性和紧迫性，协同行动，持续投入，共同提升全社会的网络韧性水平。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院