电力生态系统中的网络弹性：董事会和网络安全官员的剧本

塑造网络安全和数字信任的未来电力生态系统中的网络弹性：董事会和网络安全官员的剧本与埃森哲和电力行业社区合作2020 年 6 月 2 电力生态系统中的网络弹性世界经济论坛 91-93 route de la Capite CH-1223 Cologny/Geneva 瑞士电话：41 (0)22 869 1212传真：41 (0)22 786 2744电子邮件：contact@weforum.org www.weforum.org© 2020 世界经济论坛。版权所有。本出版物的任何部分均不得以任何形式或由任何手段，包括影印和记录，或通过任何信息存储和检索系统。 电力生态系统中的网络弹性3内容 4 电力生态系统中的网络弹性前言Rosa Kariger， Iberdrola 全球首席信息安全官网络弹性系统联合主席：电力工作组世界经济论坛行业解决方案主管 Georges DeMoura塑造网络安全和数字信任未来的平台Kristen Panerali，世界经济论坛电力行业负责人塑造能源和材料未来的平台从一开始，电力行业就一直在彻底解决安全风险，以保护关键基础设施并确保电力供应的连续性和质量。公司已投资于弹性电网设计，并实施了事件和危机管理程序以及业务连续性计划，以应对物理攻击和大风暴等天气事件。但随着自动化和数字化程度的提高，电力公司面临着新的网络安全风险，这些风险正在考验电力基础设施的弹性。在这种新的背景下，企业领导者和监管机构努力确定减轻这些风险的最佳对策，并且必须采用协作和风险知情的方法来适应和确保有弹性的生态系统。为了反思电力行业在正确理解和应对网络安全风险方面面临的独特挑战，涵盖信息技术 (IT) 和运营技术 (OT) 环境，世界经济论坛汇集了 50 多名资深人士高管来自公用事业、技术制造商、政府实体和学术机构，旨在提高整个电力生态系统的网络弹性。与这个非常投入的目标社区合作是一种荣幸。我希望行业中的其他公司能够从共享的见解和开发的工具中发现价值，并将被迫与其他生态系统代理积极合作，以增强其公司内部以及整个电力生态系统的网络弹性。在整个生态系统中保持网络弹性是所有组织面临的挑战，也是电力等关键基础设施部门的重中之重。此外，COVID-19 危机正在对我们的社会产生巨大影响，并迫使每个人都严重依赖互联网及其数字经济。网络弹性系统：电力是一项公私合作计划，旨在增强整个电力生态系统的网络弹性。它是世界上首席信息安全官 (CISO)、专家和政策制定者可以在可信、中立的环境中召开会议并专注于提高电力生态系统中的全球网络弹性的地方。我们希望这份协作努力的成果能够帮助领导者战略性地管理信息风险，努力在整个组织内建立共享网络风险所有权的文化，并采取更具战略性的网络弹性方法。有效的网络弹性需要联合、协调的多学科努力，以超越合规性，实现有凝聚力的业务和数字化支持。 电力生态系统中的网络弹性5COVID-19 危机和网络安全世界经济论坛对公司的 COVID-19 风险展望调查发现，公司的第三大担忧是新的工作模式可能会增加网络攻击：“随着 COVID-19 危机加速了对技术支持的经济流程的依赖，它也在加剧 [... ] 网络风险”。1贵公司最担心的十大风险经济 社会 科技 地缘政治 环境全球经济长期衰退经济66.3%破产潮（大公司和中小企业）和一波破产潮行业整合52.7%工作模式持续转变导致的网络攻击和数据欺诈50.1%某些国家的行业或部门未能适当恢复50.1%全球供应链长期中断48.4%加强对人员和货物跨境流动的限制42.9%又一次全球爆发 COVID-19 或其他传染病35.4%新兴市场或发展中经济体的经济崩溃34.6%主要经济体的财政状况减弱33.4%全球通胀急剧上升32.6% 6 电力生态系统中的网络弹性风险偏好整合网络弹性负责人主体指挥执行摘要企业需要从业务角度考虑网络弹性，查看对其运营风险的网络因素业务，因为他们越来越依赖互联网和数字渠道，但也采用弹性心态来管理他们将如何应对任何重大网络事件并从中恢复。作为世界经济论坛网络弹性系统的一部分：电力项目，一个由电力行业生态系统的高级网络安全主管组成的社区定义了一种有效的方法来支持战略领导者实施最佳实践网络风险治理。该小组努力的结果是这份报告，电力生态系统中的网络弹性：董事会和网络安全官员。作为世界经济论坛的伙伴2017 年发布的公司董事会网络弹性指南和 2019 年发布的电力行业特定指南，本报告提供了最新和可实现的建议网络感知电力行业公司的董事会立即开始对这一重要且不断增长的业务风险采取行动。该倡议确定了需要在最高战略层面采取紧迫行动的七个实施类别：1.监督企业网络风险和弹性2.组织治理3.风险管理4.系统性网络弹性5.弹性计划6.审查组织和董事会绩效7.社区协作和相互依存领导者需要注意的是，这些实施类别不是按重要性顺序列出的；相反，它们都支持电力公司内部的网络弹性。事实上，“社区协作和相互依存”这一类别尤其重要，因为共同风险需要共同努力以确保网络弹性。 网络治理实施手册网络弹性的 10 项一般董事会原则 网络弹性的 7 个行业特定原则网络弹性的责任风险评估和报告弹性计划 社区审查 有效性网络弹性治理弹性设计超越合规整个生态系统的网络弹性计划系统风险评估和优先级企业对网络弹性的责任生态系统范围内的协作最佳实践指标董事会原则实施类别监督企业网络风险和弹性 弹性计划系统性网络弹性风险管理组织治理审查组织和董事会绩效社区协作和相互依存 电力生态系统中的网络弹性7本报告针对两种不同的受众（董事会董事和负责网络弹性的公司官员）并提供一种寻找共同语言以鼓励合作的方法。此外，它提出了三个需要考虑的领域：网络弹性之旅董事会董事和负责网络弹性的公司官员之间的桥梁侧重于转换和传达网络风险，将它们纳入企业风险登记册，并使这些风险与业务战略目标保持一致——与保持运营弹性作为最终目标。首先，本报告构建了公司网络弹性的旅程。从网络风险监督到组织绩效评估的七个类别定义了公司从反应性转变为积极主动的网络弹性态势。对董事的建议董事会的只有董事会才能灌输文化转变并激励必须发生的组织转变，以确保网络弹性。董事会行动部分提供了董事应采取的明确和可实现的步骤立即采取行动，以提高其公司的网络弹性。本节还承认董事会在将网络弹性嵌入更广泛的行业生态系统中所发挥的重要作用。对负责网络弹性的公司官员的建议本报告为负责网络弹性的公司官员（和其他高级网络安全主管）提供工具，以有效的方式传达最相关和最重要的信息，以支持和指导董事会做出与网络弹性相关的更好的风险知情决策.它还强调了确保网络弹性所需的战略技术合作机会。此处概述的技术和战略职能之间的合作方法将鼓励公司的网络弹性，并以此支持整个电力生态系统的弹性。负责网络弹性的公司官员和经理大多数中型和大型组织都认为需要建立一个角色，其主要职责是确保企业的整体网络弹性。论坛 2017 年和 2019 年对董事会的指导建议确定“一名负责报告组织管理网络弹性的能力和实施网络弹性目标的进展”。2首席信息安全官 (CISO) 通常是组织内负责监督组织的网络弹性计划的个人，该计划旨在保护数字基础设施和资产免受网络威胁并确保业务运营的连续性。 （然而，这个标题并不总是对董事会承担网络弹性的最终责任；因此，本报告使用更通用的参考来指代对网络弹性负责的官员。）高级管理人员通常是领导和监督公司整体网络弹性战略以及向董事会报告网络风险并向董事会提供建议的高级管理人员。 8 电力生态系统中的网络弹性网络弹性之旅网络弹性是网络风险管理的一个维度，描述了系统和组织制定和执行长期战略以抵御网络事件并从中恢复的能力。3 具有弹性要求最高领导层的人承认主动风险管理的重要性，并更多地关注组织吸收和从风险中恢复的能力会破坏基本服务的网络攻击。网络弹性技术的实施需要跨越七个定义类别的持续过程，并承认生态系统范围内的协作对于这一旅程的成功至关重要。相反地说明了实现网络弹性的旅程。监督企业网络风险和弹性鉴于网络威胁的普遍性和快速变化的性质，许多组织已经迫不及待地开始了这一旅程。毕竟，电力行业对弹性规划并不陌生关于人身安全和自然事件的威胁。然而，很少有公司采用整体方法来实现网络弹性，这需要领导力最高级别，以确保它仍然是每个业务部门的重点。为确保整个电力生态系统的网络弹性而采取必要措施的公司越来越少，审查组织和董事会绩效弹力计划系统性网络弹性组织治理风险管理了解生态系统带来的和对生态系统构成的更广泛的相互依存关系和风险，并与生态系统中的其他参与者以协调的方式解决这些问题。网络弹性之旅是跨实施类别的持续过程，内部和外部生态系统之间的协作。社区协作和相互依存 电力生态系统中的网络弹性9对董事会董事的建议董事会可以激发文化转变并激发必须进行的组织转变，以确保网络弹性。网络弹性系统：电力社区通过与各自的公司领导人协商，制定了以下建议，以便董事会应立即采取明确、可实现的步骤，以改善其组织的网络弹性计划的治理。类别 1 – 对企业网络风险和弹性进行有效监督董事会最终负责监督网络风险和企业网络弹性。董事会应采取以下行动，以有效履行这一职责：–将主要监督活动分配给董事会的常设委员会（例如风险委员会或新成立的委员会）。–为整个董事会建立关于网络安全风险问题和网络弹性的继续教育计划，以及针对新董事的网络弹性定向计划，该计划会定期更新来自内部和外部资源的信息。–建立由负责网络风险和弹性的官员定期报告网络弹性的节奏，并定义所有业务部门负责人定期报告中包含的指标，以确保业务所有权并与业务目标保持一致。董事会需要首席信息安全官将复杂的技术和工程概念翻译成相对简单的语言，正如其他专业风险领域所需要的那样。加州大学伯克利分校长期网络安全中心4类别 2 – 创建正确的组织治理在有效的公司结构中，董事会要求管理层实施全面的网络安全治理，管理 IT 和 OT——以及它们在物联网 (IoT) 中的融合——以及物理安全和数字化转型，确保组织内的互操作性并推动整个生态系统的一致性。董事会应采取以下行动以确保有效的治理模式：–将网络弹性责任分配给一名高级公司官员，该高级官员将报告组织管理网络弹性的能力和实施网络弹性目标的进展情况，并负责治理和监督跨 IT 和 OT 环境的网络安全策略。–确保该官员具有适当级别的权力、与董事会的接触、对标的物的指挥、经验和资源来履行这些职责。–为网络弹性报告创建一个常规的董事会议程项目。–确保所有企业都指定一个有权将网络弹性整合到资产和流程设计中的个人。–通过设计在整个组织的流程和系统中建立明确的偏好并鼓励网络弹性，并要求管理层记录进度。董事会成员应就他们希望收到的网络安全相关信息的格式、频率和详细程度与管理层设定明确的期望......这应该从使用公司内部的网络安全专业知识开始......全国公司董事协会（美国）5 10 电力生态系统中的网络弹性类别 3 – 评估和优先考虑网络风险管理董事会确保其网络弹性态势和努力超越合规性全面的风险管理方法，并得到充足的资金和资源的支持。董事会将网络风险纳入其企业风险管理方法。此外，它要求管理层负责了解组织在内部的相互依存关系。生态系统，报告由数字化、新兴技术和更广泛的生态系统（尤其是供应链）带来的系统性网络风险，并相应地规划和优先考虑网络弹性工作。为了适当地评估和优先考虑网络风险，董事会应采取以下行动：–定义并寻求与网络弹性相关的企业和业务风险承受能力的量化。6–审查预算和资源分配，以确保网络风险和公司对网络风险的偏好得到充分整合纳入企业范围的治理和风险管理框架活动。–要求识别公司“皇冠上的珠宝”（最重要的资产和流程）7超出现有关键基础设施保护法规指定的范围，并确保/要求对支持系统和供应商进行强大的网络弹性评估和监督。[网络安全] 还应纳入向董事会提交的广泛问题中，包括讨论新业务计划和产品供应、并购、新市场进入、新技术部署、重大资本投资决策（如设施扩建）或 IT 系统升级等。作为企业资产已经越来越多地成为数字资产，几乎所有的重大商业决策之前董事会将拥有网络安全组件。在许