近日，在一份關(guān)于金融穩(wěn)定的報(bào)告中，國(guó)際貨幣基金組織（IMF）用了一章（共三章）的篇幅描述了網(wǎng)絡(luò)攻擊對(duì)金融環(huán)境的影響，并警告稱，全球金融穩(wěn)定正受到日益頻繁和復(fù)雜的網(wǎng)絡(luò)攻擊的威脅。同時(shí)，極端損失的風(fēng)險(xiǎn)也在增加。以下為報(bào)告摘錄：

背景介紹

在過(guò)去的二十年中，特別是自2020年以來(lái)，與網(wǎng)絡(luò)相關(guān)的事件變得越來(lái)越頻繁，尤其是具有惡意意圖的網(wǎng)絡(luò)事件數(shù)量（例如網(wǎng)絡(luò)勒索或惡意數(shù)據(jù)泄露）與COVID-19大流行之前相比幾乎翻了一番（見(jiàn)圖1）。

【圖1：2004–23全球網(wǎng)絡(luò)事件數(shù)量走勢(shì)】

網(wǎng)絡(luò)事件會(huì)給企業(yè)帶來(lái)巨大的成本。自2020年以來(lái)，上報(bào)的網(wǎng)絡(luò)事件直接損失總額已達(dá)近280億美元（按實(shí)際價(jià)值計(jì)算），數(shù)十億條記錄被盜或泄露（見(jiàn)圖2）。然而，這些事件的總直接和間接成本很可能還要高得多，估計(jì)占全球GDP的1%至10%。

（*直接損失包括用于賠償損害、罰款和處罰、敲詐勒索的金額，或業(yè)務(wù)中斷造成的業(yè)務(wù)收入損失。間接損失包括聲譽(yù)受損、未來(lái)業(yè)務(wù)下滑、網(wǎng)絡(luò)安全投資增加和生產(chǎn)力下降等成本。）

【圖2：總損失金額和受影響記錄數(shù)量】

金融行業(yè)正高度暴露于網(wǎng)絡(luò)風(fēng)險(xiǎn)之下。過(guò)去二十年間，在上報(bào)的網(wǎng)絡(luò)安全事件中有近五分之一關(guān)乎金融部門，其中，銀行是最常見(jiàn)的目標(biāo)，其次是保險(xiǎn)公司和資產(chǎn)管理公司（見(jiàn)圖3）。金融公司報(bào)告了重大的直接損失，自2004年以來(lái)總計(jì)損失近120億美元，其中2020年-2023年間就損失了25億美元（見(jiàn)圖4）。

【圖3：2004-23年全球網(wǎng)絡(luò)事件數(shù)目，按行業(yè)劃分】

【圖4：2004-23年全球網(wǎng)絡(luò)事故造成的損失，按行業(yè)劃分】

IMF警告稱:

盡管迄今為止網(wǎng)絡(luò)事件還不是系統(tǒng)性的，但主要金融機(jī)構(gòu)發(fā)生的嚴(yán)重事件可能會(huì)導(dǎo)致信心喪失、關(guān)鍵服務(wù)中斷，以及技術(shù)和金融的相互關(guān)聯(lián)性，從而對(duì)宏觀金融穩(wěn)定構(gòu)成嚴(yán)重威脅。

網(wǎng)絡(luò)風(fēng)險(xiǎn)影響宏觀金融穩(wěn)定的方式

首先，網(wǎng)絡(luò)事件（如數(shù)據(jù)泄露）可能會(huì)導(dǎo)致公眾對(duì)目標(biāo)機(jī)構(gòu)的生存能力喪失信心，繼而通過(guò)存款提取或銀行擠兌等方式提高流動(dòng)性風(fēng)險(xiǎn)。這種流動(dòng)性風(fēng)險(xiǎn)可能導(dǎo)致償付能力問(wèn)題，并可能溢出到金融體系的相關(guān)方。

其次，如果網(wǎng)絡(luò)事件影響到一個(gè)難以替代的關(guān)鍵機(jī)構(gòu)或金融市場(chǎng)基礎(chǔ)設(shè)施，金融穩(wěn)定的風(fēng)險(xiǎn)可能很快就會(huì)成為現(xiàn)實(shí)。例如，對(duì)參與支付系統(tǒng)的主要銀行的勒索軟件攻擊、關(guān)鍵云服務(wù)提供商的故障、對(duì)央行的黑客攻擊或金融系統(tǒng)關(guān)鍵樞紐（如電子交易系統(tǒng)或清算所）的破壞，都可能迅速破壞金融穩(wěn)定。

第三，通過(guò)技術(shù)關(guān)聯(lián)（如多家公司使用相同的軟件）或金融關(guān)聯(lián)（如銀行間市場(chǎng)和結(jié)算系統(tǒng)或共同資產(chǎn)持有）的機(jī)構(gòu)互聯(lián)性可以將網(wǎng)絡(luò)事件的影響傳播到整個(gè)金融體系。因此，重大網(wǎng)絡(luò)事件可能會(huì)對(duì)宏觀經(jīng)濟(jì)結(jié)果產(chǎn)生不利影響，例如支付系統(tǒng)中斷等后果。

【圖5：網(wǎng)絡(luò)安全與宏觀金融穩(wěn)定的傳導(dǎo)渠道】

此外，非金融機(jī)構(gòu)的網(wǎng)絡(luò)事件也可能破壞金融穩(wěn)定。例如，對(duì)關(guān)鍵基礎(chǔ)設(shè)施（如電網(wǎng)）的網(wǎng)絡(luò)攻擊可能會(huì)使金融機(jī)構(gòu)難以正常運(yùn)作，其影響會(huì)蔓延至宏觀經(jīng)濟(jì)。系統(tǒng)性非金融機(jī)構(gòu)發(fā)生的嚴(yán)重網(wǎng)絡(luò)事件也可能增加金融機(jī)構(gòu)的信貸或流動(dòng)性風(fēng)險(xiǎn)。公共機(jī)構(gòu)的網(wǎng)絡(luò)事件同樣可能擾亂政府運(yùn)作。例如，攻擊可能會(huì)破壞政府債務(wù)的管理，通過(guò)主權(quán)風(fēng)險(xiǎn)溢價(jià)的上升直接或間接地對(duì)金融部門產(chǎn)生不利影響。

金融服務(wù)領(lǐng)域的新興技術(shù)和創(chuàng)新同樣可能加劇網(wǎng)絡(luò)風(fēng)險(xiǎn)。盡管人工智能（AI）的進(jìn)步可以幫助提高對(duì)風(fēng)險(xiǎn)和欺詐的檢測(cè)，但它同樣會(huì)被惡意行為者濫用。最值得注意的是，攻擊者正通過(guò)生成式人工智能（GenAI）生成更復(fù)雜的網(wǎng)絡(luò)釣魚或深度偽造信息，來(lái)實(shí)施身份盜竊或欺詐。例如，在2024年1月，騙子利用深度偽造技術(shù)創(chuàng)建了一個(gè)群視頻通話，欺騙了一家跨國(guó)公司的員工轉(zhuǎn)移了2億港元（2600萬(wàn)美元）。此外，AI還使公司面臨數(shù)據(jù)集泄露的風(fēng)險(xiǎn)，例如用于訓(xùn)練AI算法的數(shù)據(jù)或第三方AI提供商分析的數(shù)據(jù)。展望未來(lái)，量子計(jì)算的出現(xiàn)及其快速破解金融系統(tǒng)中使用的加密算法的潛力也可能擴(kuò)大網(wǎng)絡(luò)攻擊造成的損失。

網(wǎng)絡(luò)事件的經(jīng)濟(jì)影響

到目前為止，公司報(bào)告的網(wǎng)絡(luò)事件的直接損失通常不大。根據(jù)現(xiàn)有數(shù)據(jù)，網(wǎng)絡(luò)安全事故給公司造成的直接損失中位數(shù)約為40萬(wàn)美元，其中四分之三的損失低于280萬(wàn)美元（見(jiàn)圖6）。盡管惡意事件造成的損失是非惡意事件的5倍多（約為50萬(wàn)美元），但損失的絕對(duì)值總體上也不大。例如，大多數(shù)網(wǎng)絡(luò)勒索（如勒索軟件攻擊或惡意數(shù)據(jù)泄露）造成的損失為1200萬(wàn)美元。然而，這種分布是嚴(yán)重傾斜的，一些事件造成了數(shù)億美元的損失。這種極端的損失可能導(dǎo)致公司的流動(dòng)性問(wèn)題，甚至危及其償付能力。

【圖6：2012–23年間企業(yè)直接損失，各事故類型劃分】

網(wǎng)絡(luò)事件造成極端損失的風(fēng)險(xiǎn)仍在不斷增加。調(diào)查結(jié)果顯示，自2017年以來(lái)，一個(gè)國(guó)家在給定年份的最大損失中位數(shù)達(dá)到1.41億美元，相當(dāng)于公司平均營(yíng)業(yè)收入的50%左右。分析還表明，每10年一次網(wǎng)絡(luò)事件預(yù)計(jì)會(huì)導(dǎo)致25億美元的損失，約為公司平均營(yíng)業(yè)收入的800%。潛在地威脅到受影響公司的流動(dòng)性和償付能力。就金融公司而言，一年中估計(jì)的最大損失是相似的——平均每年約為1.52億美元，每10年高達(dá)22億美元（見(jiàn)圖7）。

【圖7：金融行業(yè)年度最大損失的估計(jì)分布】

上報(bào)的公司直接損失可能無(wú)法完全反映網(wǎng)絡(luò)事件的全部經(jīng)濟(jì)成本。公司通常不會(huì)報(bào)告網(wǎng)絡(luò)事件造成的間接損失——比如業(yè)務(wù)損失、聲譽(yù)損害或網(wǎng)絡(luò)安全投資——因?yàn)檫@些損失可能難以捕捉，或者隨著時(shí)間的推移才能逐漸顯現(xiàn)。然而，網(wǎng)絡(luò)事件造成的總體損失（即直接+間接損失）可以使用股價(jià)對(duì)網(wǎng)絡(luò)事件的反應(yīng)來(lái)估計(jì)，因?yàn)楣善笔袌?chǎng)是前瞻性的，反映了市場(chǎng)參與者對(duì)公司價(jià)值的評(píng)估。

分析表明，在控制市場(chǎng)走勢(shì)和其他相關(guān)因素的情況下，股票價(jià)格對(duì)網(wǎng)絡(luò)事件的平均反應(yīng)并不強(qiáng)烈，然而，股價(jià)似乎確實(shí)會(huì)對(duì)網(wǎng)絡(luò)攻擊做出反應(yīng)。平均而言，公司的股票回報(bào)率下降了0.1個(gè)百分點(diǎn)到0.2個(gè)百分點(diǎn)，盡管這種影響在統(tǒng)計(jì)上并不強(qiáng)。小公司的損失是最大的，也是最顯著的（從0.3%到近0.6%不等），這表明小公司阻止和處理網(wǎng)絡(luò)攻擊潛在損失的能力較差。總的來(lái)說(shuō)，這些股票市場(chǎng)反應(yīng)公司市值損失高達(dá)9000萬(wàn)美元，這遠(yuǎn)遠(yuǎn)大于公司報(bào)告的直接損失。

網(wǎng)絡(luò)事件的驅(qū)動(dòng)因素

了解導(dǎo)致網(wǎng)絡(luò)事件發(fā)生的因素對(duì)于制定健全的網(wǎng)絡(luò)安全政策和戰(zhàn)略至關(guān)重要。網(wǎng)絡(luò)事件是由公司對(duì)網(wǎng)絡(luò)事件的總體暴露程度和防止網(wǎng)絡(luò)事件的能力決定的。例如，與數(shù)字足跡有限的小公司相比，擁有廣泛數(shù)字足跡且嚴(yán)重依賴IT技術(shù)的盈利大公司更可能成為網(wǎng)絡(luò)攻擊的目標(biāo)。與此同時(shí)，這些公司也可能有更大的能力投資于網(wǎng)絡(luò)安全，增強(qiáng)彈性，使它們不那么容易受到網(wǎng)絡(luò)事件的影響。此外，處于地緣政治緊張局勢(shì)國(guó)家的公司也更可能成為網(wǎng)絡(luò)攻擊的受害者。相比之下，擁有成熟網(wǎng)絡(luò)治理能力的公司，以及在擁有強(qiáng)大網(wǎng)絡(luò)法律的國(guó)家運(yùn)營(yíng)的公司更有可能防止網(wǎng)絡(luò)事件。

分析表明，數(shù)字化和地緣政治緊張局勢(shì)顯著提高了網(wǎng)絡(luò)事件的風(fēng)險(xiǎn)。例如，從聯(lián)合國(guó)電信基礎(chǔ)設(shè)施指數(shù)的第10個(gè)百分位數(shù)（馬達(dá)加斯加或馬拉維的水平）上升到第90個(gè)百分位數(shù)（西班牙的水平），網(wǎng)絡(luò)事件的可能性就會(huì)從0.5%上升到2%以上。地緣政治緊張局勢(shì)加劇的國(guó)家遭遇網(wǎng)絡(luò)事件的風(fēng)險(xiǎn)也同樣會(huì)增加。較大的公司和那些擁有較高無(wú)形資產(chǎn)份額的公司——通常是IT公司——也面臨著更高的網(wǎng)絡(luò)攻擊概率。相比之下，網(wǎng)絡(luò)立法更發(fā)達(dá)國(guó)家的公司不太可能成為網(wǎng)絡(luò)事件的目標(biāo)。

在COVID-19大流行期間轉(zhuǎn)向遠(yuǎn)程辦公的公司更有可能發(fā)生網(wǎng)絡(luò)事件。數(shù)據(jù)顯示，在大流行之前僅適度依賴遠(yuǎn)程辦公，但在大流行期間轉(zhuǎn)向遠(yuǎn)程辦公的公司，遭遇的網(wǎng)絡(luò)事件增加更多（見(jiàn)下圖）。

【圖8：COVID-19大流行前后網(wǎng)絡(luò)事件的概率(按部門遠(yuǎn)程工作能力劃分)】

金融領(lǐng)域的網(wǎng)絡(luò)威脅形勢(shì)

金融體系尤其易受網(wǎng)絡(luò)風(fēng)險(xiǎn)的影響。金融公司處理大量客戶數(shù)據(jù)和交易，這可能使它們淪為尋求金錢收益或破壞經(jīng)濟(jì)活動(dòng)的網(wǎng)絡(luò)犯罪分子的首選目標(biāo)。如上所述，在上報(bào)的網(wǎng)絡(luò)安全事件中有近五分之一關(guān)乎金融部門，其中，銀行是最常見(jiàn)的目標(biāo)。這一脆弱性凸顯了管理和減輕網(wǎng)絡(luò)風(fēng)險(xiǎn)對(duì)維護(hù)全球金融穩(wěn)定的至關(guān)重要性。

以下三個(gè)關(guān)鍵特征放大了金融機(jī)構(gòu)的脆弱性：

• 首先，在考慮諸如支付服務(wù)和托管銀行等關(guān)鍵服務(wù)時(shí)，銀行的市場(chǎng)集中度在國(guó)家和全球?qū)用娑己芨?。一般?lái)說(shuō)，銀行的支付網(wǎng)絡(luò)是金融系統(tǒng)基礎(chǔ)設(shè)施的關(guān)鍵部分。網(wǎng)絡(luò)事件可能會(huì)破壞這些網(wǎng)絡(luò)，嚴(yán)重影響經(jīng)濟(jì)活動(dòng)。除了銀行之外，金融市場(chǎng)基礎(chǔ)設(shè)施——包括支付和證券結(jié)算系統(tǒng)、中央證券存管機(jī)構(gòu)和交易存儲(chǔ)庫(kù)——通常具有市場(chǎng)集中度高、可替代性低的特點(diǎn)，這使得對(duì)金融市場(chǎng)基礎(chǔ)設(shè)施的成功網(wǎng)絡(luò)攻擊成為金融體系的主要漏洞。
• 其次，由于規(guī)模經(jīng)濟(jì)和網(wǎng)絡(luò)效應(yīng)，金融公司的運(yùn)營(yíng)越來(lái)越依賴于普通的第三方IT提供商。這包括采用通用軟件解決方案，獲取類似的硬件組件，以及遷移到一組選定的全球云計(jì)算或關(guān)鍵服務(wù)提供商。數(shù)據(jù)顯示，超過(guò)50%的全球主要銀行的IT供應(yīng)商向兩家或更多的全球主要銀行提供產(chǎn)品和服務(wù)，這意味著存在廣泛的重疊。盡管第三方IT提供商可以使金融機(jī)構(gòu)受益，例如提高運(yùn)營(yíng)彈性，但它們也存在風(fēng)險(xiǎn)。如果管理不當(dāng)，提供第三方服務(wù)的高度重疊可能會(huì)使金融體系面臨常見(jiàn)沖擊，在發(fā)生網(wǎng)絡(luò)事件時(shí)中斷關(guān)鍵服務(wù)，并對(duì)金融機(jī)構(gòu)和金融穩(wěn)定構(gòu)成重大風(fēng)險(xiǎn)。例如，IT部門的網(wǎng)絡(luò)事件經(jīng)常會(huì)蔓延到其他部門的公司。
• 第三，金融機(jī)構(gòu)之間的高度互聯(lián)互通可能加劇傳染，并導(dǎo)致更有可能發(fā)生具有系統(tǒng)性影響的網(wǎng)絡(luò)事件。例如，網(wǎng)絡(luò)事件中斷了單個(gè)金融公司的支付處理，可能會(huì)對(duì)其他公司的流動(dòng)性和運(yùn)營(yíng)造成連鎖反應(yīng)。同樣地，金融機(jī)構(gòu)發(fā)生的嚴(yán)重網(wǎng)絡(luò)事件可能會(huì)在更廣泛的范圍內(nèi)破壞對(duì)金融體系的信任，在極端情況下，還會(huì)導(dǎo)致市場(chǎng)拋售或銀行擠兌。

金融科技的快速發(fā)展帶來(lái)了額外的網(wǎng)絡(luò)風(fēng)險(xiǎn)。金融科技公司通過(guò)其數(shù)字化運(yùn)營(yíng)和互聯(lián)性增加了金融體系面臨網(wǎng)絡(luò)威脅的風(fēng)險(xiǎn)。去中心化金融自2020年以來(lái)迅速增長(zhǎng)，而對(duì)采用智能合約的去中心化金融的網(wǎng)絡(luò)攻擊也很常見(jiàn)，且往往會(huì)造成巨大損失。雖然中央銀行數(shù)字貨幣沒(méi)有經(jīng)歷過(guò)任何已知的成功網(wǎng)絡(luò)攻擊，但網(wǎng)絡(luò)攻擊可能存在未知和不可預(yù)測(cè)的風(fēng)險(xiǎn)，因?yàn)樗鼈兛赡芤蕾囉诜植际劫~本技術(shù)等新技術(shù)，而這些技術(shù)沒(méi)有被廣泛接受的網(wǎng)絡(luò)安全框架。黑客也經(jīng)常針對(duì)加密資產(chǎn)，對(duì)加密交易所的網(wǎng)絡(luò)攻擊也有所增加。隨著加密資產(chǎn)越來(lái)越多地融入金融體系，它們的脆弱性可能會(huì)給金融體系帶來(lái)風(fēng)險(xiǎn)。

各國(guó)的網(wǎng)絡(luò)安全準(zhǔn)備情況

當(dāng)前，全球金融體系面臨著日益嚴(yán)重的網(wǎng)絡(luò)風(fēng)險(xiǎn)，應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的政策和治理框架必須與時(shí)俱進(jìn)。如前所述，標(biāo)準(zhǔn)制定者和主要監(jiān)管機(jī)構(gòu)已經(jīng)認(rèn)識(shí)到這一需求。然而，在許多國(guó)家，特別是在網(wǎng)絡(luò)威脅與數(shù)字化同步增長(zhǎng)的新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體，法律框架和公司層面的網(wǎng)絡(luò)治理安排仍然不足。

【圖9：Maplecroft網(wǎng)絡(luò)立法指數(shù)和國(guó)際電聯(lián)全球網(wǎng)絡(luò)安全指數(shù)】

根據(jù)2021年國(guó)際貨幣基金組織對(duì)各國(guó)央行和監(jiān)管機(jī)構(gòu)的調(diào)查顯示，新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體的網(wǎng)絡(luò)安全政策框架仍然不足：只有47%的受訪國(guó)家制定了以國(guó)家和金融部門為重點(diǎn)的網(wǎng)絡(luò)安全戰(zhàn)略。大約一半的國(guó)家實(shí)施了專門的網(wǎng)絡(luò)安全法規(guī)，54%的國(guó)家采用了數(shù)據(jù)隱私法。

分析調(diào)查的各個(gè)維度表明，自2021年以來(lái)，新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體的網(wǎng)絡(luò)安全監(jiān)管和測(cè)試方法有所改善：

• 半數(shù)接受調(diào)查的新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體報(bào)告稱，它們?cè)O(shè)有專門的網(wǎng)絡(luò)風(fēng)險(xiǎn)監(jiān)管部門，72%的經(jīng)濟(jì)體規(guī)定定期進(jìn)行網(wǎng)絡(luò)測(cè)試和演習(xí)，22%的經(jīng)濟(jì)體積極管理此類測(cè)試。
• 幾乎一半的受訪司法管轄區(qū)有權(quán)審查第三方服務(wù)提供商，鑒于越來(lái)越多的金融機(jī)構(gòu)將業(yè)務(wù)遷移到云上，這是一個(gè)至關(guān)重要的進(jìn)展。
• 正式的網(wǎng)絡(luò)風(fēng)險(xiǎn)壓力測(cè)試仍然不太常見(jiàn)，只有27%的受訪經(jīng)濟(jì)體將網(wǎng)絡(luò)風(fēng)險(xiǎn)納入其壓力測(cè)試計(jì)劃。僅有8%的司法管轄區(qū)開(kāi)發(fā)了網(wǎng)絡(luò)地圖，以識(shí)別金融機(jī)構(gòu)之間的主要技術(shù)和服務(wù)聯(lián)系。
• 金融部門的信息共享策略有助于防止網(wǎng)絡(luò)威脅，但只有28%的司法管轄區(qū)報(bào)告稱，金融實(shí)體之間有系統(tǒng)地共享信息和情報(bào)。盡管中央銀行和監(jiān)管機(jī)構(gòu)越來(lái)越多地參與國(guó)內(nèi)全行業(yè)信息共享，但與其他司法管轄區(qū)共享數(shù)據(jù)的國(guó)家數(shù)量并未增加（約為50%）。只有49%的國(guó)家有網(wǎng)絡(luò)安全事件報(bào)告制度。

網(wǎng)絡(luò)安全準(zhǔn)備指數(shù)反映了應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的監(jiān)管能力，揭示了新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體之間的差距。根據(jù)調(diào)查結(jié)果，各國(guó)建立了網(wǎng)絡(luò)安全準(zhǔn)備指數(shù)，以總結(jié)網(wǎng)絡(luò)戰(zhàn)略和監(jiān)管、監(jiān)管實(shí)踐、網(wǎng)絡(luò)安全測(cè)試方法、意識(shí)建設(shè)和監(jiān)管能力建設(shè)的質(zhì)量。該指數(shù)的范圍從0到5，其中5分代表網(wǎng)絡(luò)準(zhǔn)備的最高水平。結(jié)果顯示，2023年新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體的該指數(shù)平均得分為3分（略高于2021年的2.8分），表明網(wǎng)絡(luò)準(zhǔn)備水平為“中等”。一半的國(guó)家得分低于3分，超過(guò)五分之一的國(guó)家得分低于2分，突顯出它們?cè)诰徑饩W(wǎng)絡(luò)風(fēng)險(xiǎn)方面存在嚴(yán)重缺陷。

【圖10：網(wǎng)絡(luò)防范指數(shù)得分的頻率分布】

從該指數(shù)的地區(qū)細(xì)分來(lái)看，非洲和亞洲的網(wǎng)絡(luò)準(zhǔn)備水平相對(duì)較低。雖然拉丁美洲的監(jiān)管和監(jiān)督能力似乎有所提高，但非洲和亞洲國(guó)家的網(wǎng)絡(luò)準(zhǔn)備水平平均而言仍然相對(duì)較低。最近，在國(guó)際貨幣基金組織有關(guān)網(wǎng)絡(luò)安全監(jiān)管方面的能力建設(shè)倡議中，約有三分之二集中在這些地區(qū)。

【圖11：2023年各地區(qū)網(wǎng)絡(luò)準(zhǔn)備指數(shù)平均值】

調(diào)查結(jié)果表明，各國(guó)——特別是新興市場(chǎng)和發(fā)展中經(jīng)濟(jì)體需要采取更多措施來(lái)應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)?？偟膩?lái)說(shuō)，金融部門網(wǎng)絡(luò)準(zhǔn)備方面大致存在如下問(wèn)題：1）國(guó)家和金融部門網(wǎng)絡(luò)安全戰(zhàn)略以及利益相關(guān)者之間的協(xié)調(diào)存在缺口；2）董事會(huì)網(wǎng)絡(luò)能力和對(duì)第三方服務(wù)提供商的有效監(jiān)管不足；3）網(wǎng)絡(luò)安全法規(guī)和監(jiān)管、事件報(bào)告制度和網(wǎng)絡(luò)測(cè)試要求方面存在不足。此外，缺乏認(rèn)知、資源限制和優(yōu)先事項(xiàng)不明往往也會(huì)阻礙進(jìn)一步的進(jìn)展。

結(jié)論及建議

網(wǎng)絡(luò)風(fēng)險(xiǎn)對(duì)金融穩(wěn)定的威脅不斷加劇。在全球范圍內(nèi)，惡意網(wǎng)絡(luò)事件日益頻繁。雖然過(guò)去網(wǎng)絡(luò)事件造成的損失通常不大，但在某些情況下可能會(huì)造成極端損失。盡管金融部門尚未發(fā)生系統(tǒng)性網(wǎng)絡(luò)攻擊，但在數(shù)字化、技術(shù)發(fā)展和地緣政治緊張局勢(shì)加劇的背景下，風(fēng)險(xiǎn)已經(jīng)大幅增加。

金融部門的網(wǎng)絡(luò)安全戰(zhàn)略，加上有效的監(jiān)管和監(jiān)督能力，可以幫助建立彈性。為此，金融組織需要建立足夠熟練的網(wǎng)絡(luò)風(fēng)險(xiǎn)監(jiān)管小組，定期進(jìn)行現(xiàn)場(chǎng)評(píng)估，并收集相關(guān)數(shù)據(jù)進(jìn)行非現(xiàn)場(chǎng)監(jiān)管，以評(píng)估網(wǎng)絡(luò)安全形勢(shì)。還應(yīng)繪制金融和技術(shù)聯(lián)系地圖，以識(shí)別第三方服務(wù)提供商的互聯(lián)性和集中度帶來(lái)的潛在系統(tǒng)性風(fēng)險(xiǎn)。監(jiān)管機(jī)構(gòu)則應(yīng)鼓勵(lì)金融組織完善“網(wǎng)絡(luò)成熟度”。這需要董事會(huì)層面的網(wǎng)絡(luò)專業(yè)知識(shí)、三道防線（在業(yè)務(wù)、風(fēng)險(xiǎn)管理和審計(jì)層面管理風(fēng)險(xiǎn)）、提高公司在線安全和維護(hù)系統(tǒng)健康的網(wǎng)絡(luò)衛(wèi)生（如反惡意軟件和多因素身份驗(yàn)證），以及網(wǎng)絡(luò)培訓(xùn)和意識(shí)教育。

為有效監(jiān)控網(wǎng)絡(luò)安全，應(yīng)加強(qiáng)向監(jiān)管機(jī)構(gòu)報(bào)告網(wǎng)絡(luò)事件。缺乏數(shù)據(jù)是有效監(jiān)督和金融穩(wěn)定分析以及公司層面風(fēng)險(xiǎn)管理的關(guān)鍵障礙。近年來(lái)，公司對(duì)網(wǎng)絡(luò)事件和相關(guān)損失的報(bào)告有所改善，但仍然不完整，并且存在滯后性。網(wǎng)絡(luò)事件的數(shù)據(jù)收集需要在全球范圍內(nèi)優(yōu)先考慮，信息應(yīng)在金融部門參與者之間共享，以加強(qiáng)他們的集體準(zhǔn)備。

監(jiān)管機(jī)構(gòu)還應(yīng)要求金融公司開(kāi)發(fā)和測(cè)試響應(yīng)和恢復(fù)程序，以便在網(wǎng)絡(luò)事件中保持運(yùn)營(yíng)能力。能夠在中斷期間提供關(guān)鍵服務(wù)，對(duì)于限制金融體系的潛在中斷同樣重要。為此，企業(yè)需要確定其關(guān)鍵業(yè)務(wù)服務(wù)，并確保經(jīng)過(guò)測(cè)試的災(zāi)難恢復(fù)計(jì)劃和危機(jī)管理框架部署到位。國(guó)家當(dāng)局還應(yīng)制定有效的響應(yīng)控制和危機(jī)管理框架，以應(yīng)對(duì)系統(tǒng)性網(wǎng)絡(luò)危機(jī)。

監(jiān)控與網(wǎng)絡(luò)相關(guān)的流動(dòng)性風(fēng)險(xiǎn)同樣是必要的。過(guò)去，網(wǎng)絡(luò)攻擊后的存款外流一直是適度的，對(duì)銀行的流動(dòng)性要求似乎通常足以解決這些問(wèn)題。然而，展望未來(lái)，在評(píng)估壓力情景下的流動(dòng)性需求時(shí)，公司將需要考慮網(wǎng)絡(luò)攻擊并做好準(zhǔn)備。此外，央行業(yè)務(wù)連續(xù)性應(yīng)急計(jì)劃也應(yīng)考慮網(wǎng)絡(luò)風(fēng)險(xiǎn)，包括在危機(jī)中提供流動(dòng)性的風(fēng)險(xiǎn)。

鑒于網(wǎng)絡(luò)攻擊的全球性和系統(tǒng)性影響，跨境協(xié)調(diào)對(duì)于減輕網(wǎng)絡(luò)風(fēng)險(xiǎn)至關(guān)重要。網(wǎng)絡(luò)攻擊通常并不來(lái)自金融公司所在國(guó)，收益可以跨越國(guó)界，這加劇了追究攻擊者責(zé)任和追回資金的難度。因此，為成功解決網(wǎng)絡(luò)安全問(wèn)題，制定國(guó)際合作議定書至關(guān)重要。此外，各國(guó)需要協(xié)調(diào)網(wǎng)絡(luò)事件的報(bào)告，以促進(jìn)跨境信息共享。

此外，網(wǎng)絡(luò)保險(xiǎn)可以幫助抵消網(wǎng)絡(luò)風(fēng)險(xiǎn)，但在可用性和使用方面受到限制。企業(yè)越來(lái)越依賴網(wǎng)絡(luò)保險(xiǎn)來(lái)防止網(wǎng)絡(luò)事件造成的經(jīng)濟(jì)損失，但覆蓋范圍仍然很低。缺乏數(shù)據(jù)——特別是關(guān)于網(wǎng)絡(luò)事件的總損失、未實(shí)現(xiàn)的攻擊以及網(wǎng)絡(luò)安全投資等關(guān)鍵風(fēng)險(xiǎn)指標(biāo)的數(shù)據(jù)可能會(huì)導(dǎo)致網(wǎng)絡(luò)保險(xiǎn)的可用性受到限制。

原文鏈接：https://cybernews.com/security/imf-cyberattacks-threaten-global-financial-stability/#google_vignette