发现报告 - 网络安全

一、当前网络安全的整体发展背景

近年来网络威胁的复杂度和规模都在快速攀升：2024年网络犯罪即服务（CaaS）模式兴起，把勒索软件即服务（RaaS）、钓鱼即服务（PhaaS）这类现成攻击工具开放给普通攻击者，哪怕没有技术背景的人也能发起复杂攻击，再加上AI技术被网络犯罪分子广泛应用，进一步拉高了攻击的效率和破坏力【1】。据估算到2027年全球网络犯罪成本可能飙升至230亿美元，各行业的网络事件也在持续增长，有分析显示2023-2024年全行业安全漏洞增幅达到589%，仅2023年网络事件带来的成本就已经达到8万亿美元【4】。

二、不同领域的网络安全现状

行业投入情况：网络安全目前已经占到欧盟IT总投资的9%，绝大多数组织都计划持续增加相关预算来应对威胁和合规要求【1】。医疗行业里，超6成医院的网络安全投入仅占年度信息化投入的0-5%，只有不到1成的医院相关投入占比超过20% 【12】。
高风险领域：医疗行业因为电子健康记录等数字化转型推进，已经成为网络攻击的高优先级目标，2021-2022年卫生和公共服务部门的勒索软件事件就增长了42%，2016年以来影响卫生系统的网络事件发生频率直接翻了一倍【4】；电力、基础设施这类关键领域因为业务属性特殊，本身属于核心重要资产，也格外容易成为网络攻击的针对对象【13】。专业服务行业是对网络风险准备度最低的领域，有41%的相关企业没有做好应对网络风险的准备，其次是科技、媒体和电信企业（40%）以及私募股权行业（36%）【8】。

三、主流的网络安全防护实践

目前不少成熟机构已经搭建了多维度的防护体系：

基础体系层面：不少企业已经拿到ISO/IEC 27001认证、符合TISAX信息安全评估标准，部署了防火墙、反病毒软件、扩展检测和响应系统、身份访问控制、多因素认证等技术工具，还会定期开展攻防测试、桌面演习来验证防护有效性【3】【10】。
人员管理层面：会给员工提供持续的网络安全培训，同步最新的风险应对方法，还会通过匿名反馈通道、合规调查等方式及时发现潜在风险点【3】。
风险兜底层面：部分企业配置了覆盖网络安全调查、危机管理、通知流程等相关成本的网络安全保险，同时也会定期评审第三方服务商的控制措施报告，避免供应链侧的安全漏洞【10】【5】。

四、AI与网络安全的融合趋势

AI正在同时改变攻击和防御两端的格局：一方面AI技术放大了网络攻击的规模和复杂度，倒逼机构不断迭代安全策略、引入AI防御能力【6】；另一方面AI网络安全赛道的市场规模也在快速扩张，数据显示2025年AI网络安全相关市场规模为25920，2026年将增长到51347，2027年有望达到85997 【9】。不少大模型也开始在网络安全相关任务中落地应用，比如GLM-5.2在相关测试中F1值达到39%，表现处于行业第一梯队【11】。

不过需要注意的是，目前没有任何安全方案能提供绝对的安全保障，哪怕投入再多防护资源，依然存在遭遇未被发现的网络事件的可能性，相关风险始终需要持续跟进应对【2】【5】。