NCSC呼吁企业立即强化网络韧性：在不确定时代，安全运营必须先于“确定性”

NCSC提醒企业：不要等待确定性，网络韧性必须立即行动

英国国家网络安全中心（NCSC）近日在 Infosecurity Europe 上发出一项带有明显管理意味的提醒：在技术快速变化、地缘政治持续紧张、攻击面不断扩大的背景下，企业不能再以“等更明确的威胁信号出现后再调整”为安全策略。NCSC 运营负责人 Paul Chichester 表示，当前环境中充满变量，组织面临的挑战比以往任何时候都更复杂，安全团队需要在不确定性中推进韧性建设，而不是被动等待稳定局面到来。

这番表态并非针对某一次具体攻击事件，而是对整个企业威胁环境的判断。其重要性在于：当威胁变化速度超过组织治理、资产可视化和响应协同的速度时，传统“边发现边修补”的安全模式会迅速失效。对CISO、CIO、IT主管和SOC团队来说，这意味着网络安全目标必须从“尽量阻止所有攻击”转向“确保关键业务在攻击发生时仍可持续运行”。

发生了什么：NCSC将“韧性”提升为当下优先级

NCSC 的核心观点集中在四个方面：

1. 降低攻击面：如果对手无法接触目标平台，前沿AI或其他攻击工具的价值会大幅下降。 2. 治理遗留系统与影子IT：企业内部长期存在的老旧系统、未登记资产和临时部署环境，会让防御者失去控制。 3. 强化身份与访问控制：NCSC 明确指出，身份已经成为未来安全体系的根基，零信任和访问管理不再是可选项。 4. 在事件发生前准备好响应：桌面推演、事件响应演练和董事会层面的危机准备，会显著影响企业在真实事故中的处置速度与质量。

这些建议听起来基础，但恰恰说明问题所在：在复杂环境中，真正决定损失上限的，往往不是是否拥有某款高级工具，而是最基本的资产治理、身份控制和组织协同是否到位。

技术与风险分析：威胁不是单点事件，而是复合压力

从攻击方式看，NCSC 所描述的风险并不局限于某类恶意软件或某个漏洞，而是一个复合型威胁组合：

• 身份盗用与凭证滥用：随着企业工作负载转移到云端和SaaS平台，攻击者越来越倾向于通过钓鱼、会话劫持、OAuth滥用和弱访问控制进入业务环境。
• 遗留系统暴露面：老旧终端、未打补丁的服务器、未纳入统一管理的边缘设备，仍然是横向移动和权限提升的高风险入口。
• 供应链与第三方扩散：当企业IT更依赖托管服务、外包支持和软件供应链时，单点失守更容易演化为跨组织风险。
• AI加速攻击节奏：NCSC 提到前沿AI正在改变攻防关系。对防守方而言，这意味着自动化侦察、内容伪造、钓鱼规模化和辅助代码生成的门槛进一步下降。
• 地缘政治驱动的网络行动：NCSC 同时将网络行为与国家行为联系起来，提示企业必须把网络风险纳入更广义的业务连续性和地缘政治风险评估。

受影响资产也呈现出明显的“全栈化”特征：从终端、身份系统、云环境，到数据中心、业务应用，再到董事会层面的决策链条。换言之，攻击者不一定追求一次“炸穿”核心系统，而是更可能通过身份、配置和流程缺陷逐步逼近关键资产。

企业影响分析：运营、财务、合规与品牌风险同步上升

对于企业而言，这类信号的价值不在于“又多了一条安全建议”，而在于它直接反映了业务风险模型的变化。

运营风险方面，企业如果对资产、身份和变更流程缺乏统一治理，一次看似局部的入侵就可能导致认证中断、关键系统降级、远程办公失效或供应链协同暂停。对于制造、金融、医疗、物流和公共服务机构，这种中断往往比数据泄露更先造成经营损失。

财务风险方面，韧性不足通常意味着更高的事件处置成本：取证、恢复、业务补救、法务支持、客户赔付、监管应对以及潜在的业务流失都会叠加。若企业还依赖大量遗留系统，恢复时间和修复成本会进一步上升。

合规风险方面，随着英国即将推进《Cyber Security and Resilience Bill》以及更广泛的关键基础设施监管趋势，组织若无法证明其基础控制成熟度，将在审计、监管通报和第三方风险评估中处于不利位置。

品牌与信任风险方面，安全事件已经不再只是IT事故，而是客户、合作伙伴和投资人判断管理能力的重要依据。对于依赖数字服务交付的企业，韧性不足意味着信任成本会迅速转化为商业成本。

行业趋势：从“防入侵”转向“可持续运行”

NCSC 的这番提醒，实际上反映了网络安全行业的一个长期趋势：防御目标正在从单纯的预防控制，转向以韧性、可恢复性和组织协作为核心的安全运营体系。

这一趋势背后有几个结构性变化：

• 超连接环境成为常态：云、SaaS、远程接入、API集成和第三方服务让企业系统彼此高度耦合，攻击面自然扩大。
• AI正在重塑防守边界：不仅是攻击者在使用AI，防守方同样需要借助自动化、分析增强和威胁情报来缩短检测与响应时间。
• 复杂度高于单点漏洞：越来越多的事故并非源于单一漏洞，而是配置错误、权限过宽、身份治理不当和流程缺失的组合结果。
• 公共与私营部门协作增强：NCSC 强调政府无法单独解决问题，反映出安全治理正向跨部门、跨供应链、跨行业协同演进。

因此，这更像是一个行业级转向，而非一次孤立提醒。企业如果仍将安全预算主要投向边界防护，而忽视身份治理、资产可见性和演练机制，可能会在下一轮复合型攻击中付出更高代价。

防御与应对建议：把韧性纳入治理，而不是停留在口号

对企业而言，NCSC 的建议可以转化为一组可执行的工作项：

• #### 企业层面
• 建立完整资产清单，覆盖云、终端、身份、应用与第三方接入点。
• 清理影子IT和未经批准的SaaS使用。
• 将关键业务流程映射到技术依赖关系，识别单点故障。

• #### 身份与访问安全
• 强制实施 MFA，优先覆盖管理员、远程访问和高权限账户。
• 推进零信任架构，限制默认信任与横向移动空间。
• 定期审查权限、会话和特权账户活动。

• #### 技术层面
• 用 SIEM / XDR / EDR 提升跨域可视性。
• 将威胁情报与日志分析结合，优先关注身份异常、配置漂移和高风险访问。
• 强化漏洞管理与补丁节奏，特别是遗留系统与边缘设备。

• #### 管理层面
• 定期开展事件响应桌面演练，纳入法务、合规、沟通和业务负责人。
• 将供应商与第三方纳入安全治理与业务连续性规划。
• 在董事会层面明确“可恢复性”指标，而不仅是“未被入侵”指标。

SecurityPost Insight

NCSC 这次发出的信号本质上不是“安全团队又要加班了”，而是企业数字治理逻辑正在变化：当攻击者能够利用AI、身份薄弱点、供应链互联和地缘政治不确定性持续施压时，企业真正需要的是一套可以承受混乱、并在混乱中恢复的安全体系。对管理层来说，这意味着网络安全不能再被视为一组孤立控制项，而应作为业务韧性的核心组成部分。

未来值得关注的趋势有三条：第一，身份将继续成为攻击和防御的中心战场；第二，企业对事件演练和恢复能力的要求会明显提高；第三，监管将越来越关注组织是否“能够证明自己有韧性”，而不仅是“承诺自己很安全”。对CISO而言，现在最重要的不是等待下一次危机的确切形态，而是确保企业已经具备在不确定环境中持续运行的能力。