企業網路安全的真實成本

資訊科技數位 » recursos » 企業網路安全的真實成本

談論網路安全的真正成本，不再僅限於防毒軟體授權或在出現問題時聘請IT專家。如今，企業在嚴重安全事件中承擔的風險遠遠超過任何合理的防護投入，保險公司、顧問公司和公共機構的數據都清楚地表明了這一點。

網路攻擊的數量和複雜程度都在急劇上升，但許多公司仍然缺乏足夠的保護措施，預算緊張，應對措施零散，並且抱持著「這種事不會發生在我身上」的僥倖心理。然而，一旦發生這類事件，就會付出慘痛的代價。從大型工業和能源集團到本地中小企業，企業承擔的風險與實際用於風險緩解的資金之間的不匹配問題日益凸顯。

網路安全事件的直接成本：令人震驚的數字

在大規模分析網路保險索賠案例後，我們發現資料外洩和資訊外洩是最常見的事件類型，而且最終造成的經濟損失也最大。這些事件的受影響範圍從少數個人到影響超過百萬客戶的事件不等，其涉及通知、危機管理、法律代理、罰款和聲譽損害等諸多方面。

一項基於近90個國家、歷時十年、涵蓋4.650起保險索賠的全球研究顯示，網路攻擊的平均成本約為每次2,4萬美元。如果問題涉及大規模資料洩露，影響則更為巨大：資料外洩的平均成本約為3,9萬美元，其中包括技術、法律、營運和聲譽損失等成本。

此外，「重大事件」的影響巨大：僅有4%的事件損失超過10萬美元，但這一小部分事件卻占到總損失的約91%。在極端情況下，一些索賠金額甚至高達331億美元，這充分說明了針對高風險組織的精心策劃的攻擊可能造成的毀滅性後果。

重複出現的一個因素是缺乏足夠的安全措施。分析的損失中，約有四分之一源於防護措施不力：系統未打補丁、存取控制薄弱、供應商監管不力，或缺乏能夠快速恢復營運的回應和復原計畫。

損失的主要原因：第三方、人為錯誤和勒索軟體

透過分析許多此類事件的源頭，可以發現，資料外洩造成的損失很大一部分都與供應商和第三方有關。大約一半的此類事件源於影響儲存或處理客戶及員工資料的合作夥伴的故障或攻擊。這就要求對整個供應鏈進行全面且定期的網路安全審查，而不僅僅是在企業內部。

人為錯誤仍然是造成資料外洩的常見原因。約24%的資料外洩損失與員工或合作夥伴的粗心大意或不良操作有關：例如點擊釣魚郵件中的連結、回覆詐欺訊息、將敏感文件發送給錯誤的收件人，或在未採取足夠預防措施的情況下共享憑證。完善的入職培訓計畫能夠大幅降低這些風險。

同時，勒索軟體攻擊持續呈上升趨勢。這類惡意軟體會加密或鎖定係統和數據，並索取贖金以換取恢復存取權限。在許多情況下，勒索軟體也會與資料竊取和外洩結合，以加大施壓。這種模式已經變得非常複雜，以至於出現了提供勒索軟體即服務（RaaS）的運營商，他們向其他犯罪分子提供工具包、基礎設施和支持，以換取一定比例的贖金。

在這種情況下，制定一個設計完善、經過測試且與時俱進的業務連續性和恢復計劃至關重要：強大且獨立的備份、隔離受損系統的明確程序、協調的內部和外部溝通，以及最重要的是，定期演練，以避免公司遭受攻擊時倉促應對。

網路安全風險與預算之間的差距

儘管攻擊者不斷改進其工具和方法，但網路安全防護方面的投入卻往往跟不上步伐。在西班牙等市場，近期估計顯示， 2028年，網路犯罪造成的損失可能飆升達148%，達到約69.000億歐元。然而，網路安全預算的年增長率僅略低於6%，這導致風險規模與實際防禦程度之間日益令人擔憂的差距。

這種情況在戰略性產業尤為嚴峻，因為這些產業的活動中斷不僅會造成經濟損失，還會影響國家的安全、供應和基本服務。去年，製造業約佔記錄在案的攻擊事件的四分之一，其次是能源和供應業，以及交通運輸業，後者也遭受了相當比例的攻擊事件。

像英國一家大型汽車公司遭受的網路攻擊這樣的高調案例（被認為是該國損失最慘重的案例之一）清楚地表明，一次網路攻擊就可能癱瘓生產、擾亂供應鏈、損害聲譽，並導致數百萬美元的賠償訴訟。

儘管前景如此，許多組織的網路安全成熟度仍然較低。近期報告顯示，只有約2%的公司部署了全面的網路彈性策略——即整體性的方法，不僅力求預防攻擊，還能抵禦攻擊並以可控的方式快速恢復。

好消息是，絕大多數主管現在都意識到需要加強網路安全領域的投入。超過四分之三的公司預計短期內將增加網路安全預算，其中相當一部分公司計劃實現兩位數的成長，因為他們意識到，繼續推遲這些投資只會增加未來的成本。

數位化、互聯互通和新的攻擊面

數位化轉型徹底改變了緊急服務、物流、基礎設施維護和國防等眾多產業的運作方式。連網的行動裝置和筆記型電腦能夠提供即時資訊、優化路線、協調團隊並減少停機時間。然而，這種互聯互通也擴大了攻擊者的活動範圍。數位化轉型需要採取特定措施來避免風險倍增。

在遠端或現場環境中，由於IT團隊的直接監管有限甚至缺失，風險倍增：未經授權存取企業系統、包含敏感資料的設備遺失或被盜、連接到不安全的無線網路以及使用不受控制的應用程式。所有這些都為看似輕微的安全漏洞升級為嚴重問題創造了絕佳條件。

這些行業使用的加固型設備（便攜式筆記型電腦和平板電腦）旨在極端條件下運行，並提供先進的連接功能，無論是 4G LTE 還是 5G，即使在偏遠地區也能正常工作。然而，如果沒有適當的安全策略，增強連線性就等於自取滅亡：更多的安全漏洞意味著更多的設備需要修補，以及更多的身分需要管理。

為了降低這些風險，採用多層、以終端為中心的保護方法是合理的：從韌體層級增強安全功能的硬體、配置了預設安全原則的作業系統、強大的身份控制（例如多因素身份驗證）、全碟和通訊加密，以及能夠即時偵測可疑活動的監控工具。

基於此，建議增加額外的安全措施，例如係統地使用安全 VPN進行遠端存取、嚴格管理軟體和韌體更新的策略（避免留下已知漏洞的漏洞），以及考慮現場工作特定情況的事件回應計畫。

衡量網路風險並確定投資優先級

對許多公司而言，最大的挑戰之一是如何從基於直覺或普遍恐懼的決策轉向採用量化方法進行網路風險管理。大多數主管都認同，衡量網路風險對於決定資金分配方向、專案優先順序以及哪些控制措施在降低風險敞口方面最具成本效益至關重要。

然而，只有少數組織表示其資源分配真正與最高風險領域相符。最常見的障礙包括：對威脅的真實程度不確定、缺乏可靠數據、難以將這些資訊轉化為業務人員易於理解的指標，以及對現有量化模型缺乏信任。

儘管如此，針對不同類型事件的財務影響評估正日益普及。例如，這些解決方案有助於估算關鍵系統長時間中斷可能造成的損失，或根據行業、適用法規和公司應對能力，大規模客戶資料外洩可能造成的影響。

除了大型企業之外，即使是中小企業也能從更簡單的量化方法中受益，即使只是為了將潛在損失的大致數字與當前的防護支出進行比較。這種比較往往能揭示真相，並凸顯出與嚴重安全事件的成本相比，網路安全投資實際上有多麼經濟實惠。

在這種情況下，與保險公司和專業經紀人密切合作至關重要。分享有關服務提供者、技術架構和業務流程的信息，有助於更好地調整保單限額、承保範圍和除外責任，從而降低理賠時出現意外情況的可能性。

實際支出狀況：以西班牙中小企業為例

如果我們考察中小企業層面，就會發現它們在網路安全方面的投入通常非常低。最近一項基於對一千多家西班牙中小企業訪談的調查顯示，近一半的中小企業每年在網路安全方面的支出不足500歐元，考慮到它們面臨的風險，這顯然遠遠不夠。

在下一部分，約18%的中小企業表示每年投入500至2.000歐元，而只有一小部分企業投入超過2.000歐元。投資的主要障礙之一是普遍認為實施成本過高，這種看法往往更源於對相關知識的缺乏了解，而非實際成本過高。

其他障礙更源於文化或認知層面：四分之一的中小企業認為沒有必要在現有措施之外再做任何改進（儘管這些措施通常僅限於安裝基本的防毒軟體）。此外，許多企業也認為網路安全管理過於複雜，或缺乏合格的專業人員，這導致許多公司即使擁有幾乎可以滿足任何預算的託管解決方案和服務，也仍然不願涉足網路安全領域。

此外，約有一半的公司認為歐洲的數位化法規弊大於利，迫使它們遵守一些以現有資源難以滿足的要求。然而，矛盾的是，許多這類企業也承認，對數位化和雲端服務的投資已經開始產生經濟效益和營運效率的提升。

事實上，十分之四的中小企業表示已經從數位轉型中獲得了積極的回報，而且相當一部分企業認為網路安全能夠對其盈利產生積極影響。問題通常不在於缺乏價值證據，而是難以將這種價值轉化為具體且可持續的預算決策。

人工智慧、生產力和新的安全挑戰

網路安全真實成本的另一個相關方面是人工智慧工具的採用。在中小企業領域，超過三分之一的企業表示已經在使用基於人工智慧的解決方案，其中生成式助理在文件管理、文字處理、數據分析以及行銷、銷售或客戶服務支援方面發揮著重要作用。

已經開始使用這些技術的企業，其主要動機是提高生產力和效率：減少人工操作、加快內容生成、利用聊天機器人改善客戶服務，或透過自動化分析輔助決策。其中相當一部分公司計劃在未來幾個月內增加對人工智慧的投資。

然而，對於尚未邁出這一步的中小企業而言，主要障礙通常並非財務成本，只有極少數企業將其視為首要問題。更重要的因素是缺乏在日常業務中明確的應用案例，或對現有解決方案缺乏了解。這意味著許多企業錯失了利用人工智慧工具提升競爭力並同時加強安全性的機會。

值得注意的是，人工智慧本身也已成為攻擊者手中的武器。自動產生的網路釣魚資訊、語音和視訊深度偽造，以及更複雜的社會工程攻擊，都提高了區分詐欺行為和合法通訊的難度。這使得企業面臨更大的壓力，必須加強其人工智慧安全計畫和技術控制。

在此背景下，將人工智慧應用於改善流程和威脅偵測，並制定明確的負責任使用這些工具的政策，可以決定是在不損失安全性的前提下提高效率，還是無意中在組織中引入新的漏洞。

網路風險政策的角色及其局限性

網路風險保險已成為風險管理生態系統的重要組成部分。一般來說，這類保險涵蓋與資料外洩、業務中斷、勒索軟體攻擊以及其他與數位系統和資產相關的事件相關的索賠。

理賠分析顯示，在大多數資料外洩事件中，如果事件符合合約條款，約94%的損失可由保單承保。然而，如果問題根源在於被保險機構本身，則有效承保比例會降至約83%。

在造成保險範圍衝突的原因中，有三點尤為突出：在截止日期之後提出索賠、未能激活某些要求被保險人採取特定行動的條款，以及公司在未事先獲得保險公司同意的情況下做出的決定，這在某些情況下可能會使部分擔保失效。

為避免此類情況發生，企業必須充分了解其保單的具體承保範圍、除外責任以及發生事故時的自身義務。與經紀人和保險公司儘早保持順暢的溝通，提供有關關鍵供應商、敏感資產和已知漏洞的信息，可確保保險單真正契合企業的風險敞口。

此外，將該政策納入更廣泛的網路韌性策略，可以避免人們誤以為保險可以解決一切問題。財務保障有助於減輕損失，但它既不能阻止攻擊，也不能取代健全的流程、訓練有素的人員和適當的技術。

新的網路安全法及其合規成本

在歐洲，透過新的《網路安全法》將NIS2指令轉化為國內法，提高了數千家公司的義務標準，尤其是那些在對經濟和社會至關重要的行業中運作的公司。據估計，西班牙將有近6.000家機構需要適應這項法規並承擔相關的實施成本。

該法律區分了必要實體和重要實體。必要實體主要指那些規模和收入超過特定門檻，且身處高度關鍵產業（能源、交通、銀行、醫療保健、水資源管理、數位基礎設施、第三方資訊通訊技術服務、航太或核工業）的公司，以及提供可信任服務、網域名稱和公共通訊網路等的機構。所有其他符合該法律適用範圍但未達到必要實體要求的組織均被視為重要實體。

適應成本因起點不同而差異顯著。對於幾乎需要從零開始建立網路安全基礎設施的大型組織而言，平均預計投資約為 180.000 萬歐元。而那些已經實施了約 27% 必要措施的組織，其適應成本可能約為 131.000 萬歐元。

對於關鍵實體而言，相關數字更是飆升：那些初始實施水準極低的企業可能需要超過2萬歐元的投資，而那些已經滿足約一半要求的企業則需要約1,19萬歐元。已在先前框架（NIS1）下監管的企業，適應新要求所需的額外成本則低得多，約為100.000萬歐元。

如果所有這些努力結合起來，政府估計整個受影響的生產部門可能需要投資約2.250億歐元來適應新法律。這是一個相當大的數字，但必須結合戰略部門在缺乏統一最低安全保障的情況下發生一系列嚴重事故所造成的經濟和社會影響來解讀。

必要措施：從風險管理到製裁

《網路安全法》並非泛泛而談，而是強制要求適用範圍內的公司採取一系列全面的措施，涵蓋風險管理到員工培訓等各個方面。關鍵要求包括制定健全的安全策略、定期進行風險分析、有系統地進行漏洞管理以及建立清晰的事件回應流程。

報告還強調了頻繁可靠的備份、災難復原機制和危機管理協議的重要性，以防止安全事件導致營運癱瘓數天甚至數週。供應鏈安全再次成為關注焦點，迫使各組織監控其供應商和技術合作夥伴的安全狀況。

另一個重要領域是事件解決和報告。公司必須具備相應的服務能力，以便在發現問題時迅速做出回應，減輕其影響，盡快恢復正常秩序，並在規定的時間內以清晰明確的訊息通知相關部門和受影響的個人。

該法規還要求任命一名資訊安全官，作為內部聯絡人和與監管機構溝通的橋樑。它強調了對管理人員和員工進行持續網路安全培訓的重要性，並指出如果人們無法識別和管理風險，僅靠技術是不夠的。

為確保合規，相關部門計劃對關鍵實體建立認證機制，對重要實體進行指導性自我評估，並賦予監管機構廣泛的權力，使其能夠開展審計、索取資訊和實施制裁。在最嚴重的情況下，罰款最高可達10萬歐元。此外，相關部門也正在考慮採取暫停認證或暫時限制高階官員職務等措施，直到已發現的缺陷得到糾正。

當您將加強網路安全所需的投資與嚴重事件可能造成的經濟、法律和聲譽影響進行比較時，就會清楚地發現，視而不見的代價要高得多。了解網路安全的真正成本意味著認識到，保護系統、資料和流程並非無關緊要的支出，而是業務模式的核心組成部分；企業越早認識到這一點，在下一次攻擊發生時，因不作為而付出的代價就越小。