核心发现

  • 网络安全公司VikingCloud的一项调查显示，过去一年中，近半数（48%）网络安全负责人未向高管层或董事会报告“重大”网络安全事件。
  • VikingCloud在近期报告中指出，主要原因包括：担心领导层和董事会采取惩罚性而非建设性回应（40%），以及担心事件公开或引发监管后果导致财务或声誉受损（44%）。
  • VikingCloud“网络安全布道者”Jon Marler在采访中表示：“如果你身处领导岗位，需要查明公司是否发生此类情况。我不是说要‘兴师问罪’，而是要从培养问责文化、建立不因害怕失业而不敢披露的机制角度出发，尤其是在当前IT和技术领域求职艰难的时期。”

深入分析

目前尚不清楚受访企业是否因未报告违规行为而违反任何网络安全法律。美国日益复杂的网络安全事件通报要求中，包括美国证券交易委员会（SEC）的规定，要求上市公司在做出实质性认定后四天内披露“重大”事件。

Hunton Andrews Kurth律师事务所合伙人Scott Kimpel在邮件中表示：“虽然调查有趣，但过于笼统，难以得出确切结论。许多事件响应计划仅在极有限情况下才要求上报董事会或高管层。”他指出，研究仅限于少数行业，且未定义“重大网络安全事件”等关键术语。“我们不知道受访公司是否上市，也不清楚其总资产、收入或其他指标衡量的相对规模。”尽管如此，他认为该研究提醒企业应根据自身情况制定事件响应计划，“适当考虑适用法律标准、主流市场实践和利益相关者的信息需求”。

网络安全公司BreachRx首席执行官Andy Lunsford表示，VikingCloud的发现与其公司在监管文件和行政行为研究中的结果一致。他在邮件声明中称：“选择不报告重大网络事件看似能避免审查，但实际会适得其反。即使短期缓解，最终后果会更严重，公司和整个高管团队将面临更大责任，包括个人责任。”

调查结果发布之际，网络攻击持续激增，给企业带来财务、监管和法律风险。VikingCloud在报告中表示：“强大的网络安全防御需要建立公司安全文化，为报告所有事件提供安全空间。网络及更广泛的高管层有责任制定清晰的报告规程，并建立持续学习和改进的文化。”

美国联邦调查局互联网犯罪投诉中心2024年收到859,532起疑似网络犯罪投诉，披露损失超过160亿美元，较上年增长33%，该数据来自今年早些时候发布的报告。VikingCloud称，过去一年网络安全事件在频率和严重性上均有所升级，人工智能是主要驱动因素。

超过半数（51%）受访者将生成式或代理式AI驱动的钓鱼活动列为新型网络攻击技术中的首要担忧，而去年这一比例为22%。研究指出：“这表明更多领导团队认识到AI驱动攻击方法的危险，尤其是随着代理式AI普及，使恶意行为者比单纯生成式AI更危险、更高效、更顽固。”

此外，民族国家黑客（受外国政府支持或指使的网络犯罪分子）如今影响范围更广，各种规模和行业的企业都可能受到“通过软件供应链波及”的攻击。超过四分之三的受访者认为，近期或拟议削减美国联邦网络安全项目（如网络安全和基础设施安全局及国家安全局）可能增加其所在组织的网络安全风险。

该研究基于对200名网络安全领导者（总监及以上级别）的调查，受访者来自美国、英国和爱尔兰。当被问及受访组织中是否有上市公司受SEC要求报告“重大”网络安全事件时，VikingCloud发言人表示，公司“在人口统计问题中未细化到该程度”。发言人补充：“我们询问了行业（医疗、零售、酒店、餐饮服务、旅游）、地点（美国、英国、爱尔兰）、是否多地点运营（86%为多地点）以及职位级别（43%为高管层）。”