SolarWinds 供应链攻击凸显网络安全必须升级为董事会级优先事项

2020年12月曝光的SolarWinds黑客事件，深刻揭示了当组织缺乏健全的网络安全策略时，软件和系统供应链是多么容易遭到入侵。

根据CISA（美国网络安全和基础设施安全局）的官方声明，一名高级持续性威胁（APT）行为体自2020年3月起开始瞄准美国政府机构、关键基础设施和私营部门实体，展现了极强的耐心、作业安全性和精湛的攻击技艺。CISA警告称，从受感染环境中清除该行为体将极其复杂且充满挑战。详细的感染向量和缓解措施请参阅CISA官方声明此处。

这些细节与embedded.com和EE Times的见解不谋而合，再次强调了物联网安全的关键作用，以及半导体行业安全专业人员的专业价值。

令人震惊的是，即使政府对安全极度重视，仍可能因第三方系统缺乏适当防护而暴露漏洞。笔者曾担任英国政府承包商，亲历了严格的安全培训与意识要求——绝不将笔记本电脑留在锁闭的车内，必须随身携带或置于视线范围内。这些实践生动诠释了容易被忽视的人为安全要素。

归根结底，SolarWinds事件暴露了一个根本性的政策鸿沟：网络安全仅应是硬软件设计师的责任，还是必须嵌入企业治理的最高层级？

知名企业财务顾问Woodside Capital Partners发布了题为《给CEO、董事、董事会成员及私募股权公司的七大教训》的报告，由董事总经理Nishant Jadhav撰写。报告指出，SolarWinds供应链攻击凸显了高管层和董事会层面迫切需要深化网络安全认知。在高级持续性威胁能隐匿潜伏的时代，保护声誉和企业价值从未如此关键。

报告强调，董事会成员必须能用通俗易懂的语言确认：其组织拥有强有力的网络安全保障。以下是七大核心教训：

教训一：自上而下确立“安全优先”而非“合规优先”思维

安全优先意味着高管团队和董事会深刻理解公司面临的特定风险，以及公司给客户和合作伙伴带来的风险。合规优先仅满足监管清单，提供固定的短期安全网。网络威胁演变迅速，董事会每季度对公司威胁态势的签署确认至关重要。

教训二：CISO必须纳入核心高管领导团队

卓有成效的CISO（首席信息安全官）视野超越IT范畴，统筹考量每一个潜在威胁向量——包括面向客户角色的无意数据泄露、部署新技术引发的风险。将CISO纳入高管层级问责，可确保安全建议落地执行，风险敞口持续量化。

教训三：用KPI衡量CISO在持续防护与补救上的表现

不应在发生违规后解雇CISO，而应考核其配置适当安全预算、提升全员网络安全意识、以及针对SolarWinds类外部威胁建模响应的能力。KPI应同时反映运营正常运行时间和业务缓解、从攻击中恢复的能力。

教训四：可信合作伙伴不等于安全保证

SolarWinds案例证明，没有任何合作伙伴能免疫风险。为新产品开发实施气隙隔离环境，可降低受信供应商渗透风险。

教训五：牺牲安全不能成为利润杠杆

Woodside Capital提出“网络安全等级”作为估值指标，反映技术投入、培训、持续防护策略和快速补救能力。更高的网络安全等级与更高的公司估值相关。私募股权公司应优先考量网络安全等级而非短期盈利。

教训六：董事会层面重新审视网络保险

许多保单覆盖数据泄露的财务损失，但可能排除供应链攻击或国家支持的威胁。CISO应推动董事会争取覆盖这些场景、且涵盖攻击后漫长后续期的保险。

教训七：持续的声誉保护

违规随时可能发生，冲击业务绩效。企业必须通过持续投入、教育和透明补救，证明网络安全是核心差异化优势。建立网络安全保障并向客户合作伙伴传达，方能长期保护声誉。

Woodside Capital报告还列出了提供全面网络安全保障解决方案的成长型公司，涵盖风险管理到网络保险。完整报告可在此获取。