英国作为全球金融和制造业重镇,其信息技术与网络安全的稳健运作对保障国家经济安全至关重要。近几年,随着企业为降低运营成本,纷纷将核心的IT和网络安全功能外包给包括印度大型服务提供商Tata Consultancy Services(TCS)在内的海外管理服务商,这种趋势引发了一系列风险和挑战。大型企业如Co-op集团、玛莎百货(Marks and Spencer)及捷豹路虎(Jaguar Land Rover)等,均出现了严重的网络勒索和数据安全事件,造成数亿英镑的经济损失,严重影响了企业的正常运营,甚至波及其供应链及相关中小企业,威胁着英国整体的经济安全。网络攻防已从小型技术问题,演变成为影响社会稳定和国家安全的重要议题。首先,外包带来了隐形的安全漏洞。核心的IT及网络安全运维转由外部服务商负责,企业对这些合作方的控制力及可视性大幅降低。
像TCS这样的管理服务供应商往往同时服务成百上千个客户,其运维标准化流程虽然提高效率,却也构成风险的放大器。一旦服务商IT权限被攻击,攻击者可以轻易利用共享平台对多个企业发起穿透式入侵。典型情形如通过技术支持热线或帮助台的社会工程攻击,使得敏感账户被恶意重置或者权限被提升。针对标杆企业的攻击事件表明,攻击者利用了服务商流程的机械化和繁琐文档的漏洞,使得破坏性入侵得以成功完成。同时,由于部分外包服务商对技术运维人员的薪酬相对较低,内部人员受贿或人为失误的风险增加,网络安全链的薄弱环节就此埋下祸根。其次,外包引发的成本压力和资本主义激励机制助长了网络安全的疏忽。
当企业追求更高利润率时,减少支出成为迫切目标,外包成为快速且低成本的选择。企业IT预算被压缩,安全投资、内部培训和风险管理往往被边缘化,长远却增加了被网络攻击的可能性。更令人担忧的是,大型企业往往通过购买网络安全保险来减轻遭遇攻击时的经济损失。保险公司某种程度上通过鼓励支付赎金,使得网络犯罪集团资金池不断壮大,形成恶性循环。网络犯罪的研发能力已远超许多被攻击企业的防御实力,由此UK的网络安全生态陷入"投入不足而风险加剧"的困境。再者,现行法律法规对数据保护有较为详尽的规定,但对企业持续提供关键服务的责任则相对薄弱。
网络攻击造成的数据泄露固然令人关注,但更严重的是系统服务中断对经济及社会运行的影响。企业灾难恢复计划普遍不完善,攻击者利用勒索软件不仅删除备份数据,还导致业务停摆长达数周甚至数月。社会对数据保护的高关注掩盖了服务连续性风险的现实存在。英国政府在相关监管策略上需要重新平衡数据安全与服务韧性的法律地位。上述情况促成一种新的经济安全威胁:关键经济部门的巨大IT外包集中在少数低成本供应商手中,一旦这些供应商遭遇攻击,不仅企业自身受创,更可能引发上下游供应链连锁反应,例如捷豹路虎网络攻击已导致多家中小供应商裁员甚至面临破产风险,令整个行业生态雪上加霜。此类事件最后演变成需政府介入、利用纳税人资金设立援助计划以维持产业链稳定,实质上是国家经济软肋暴露的警示信号。
从应对角度审视,英国迫切需制定更为严格的外包监管政策和网络安全标准,确保关键业务外包模式下的风险可控。政府应推动立法,要求企业向监管机构披露是否支付网络赎金,限制向关键基础设施支付赎金行为,强化第三方风险管理,并对安全关键岗位实施更高的透明度及责任追究。教育大型企业的高层管理人员和董事会认识并直面外包带来的风险至关重要,同时强化内部网络安全团队的地位和作用,避免过度依赖外包服务。此外,提升供应商合规审核及安全能力评估,合理将关键IT及网络安全职能在内部保留,这些都应成为保护经济安全的策略一部分。英国政府还需带头推动行业间信息共享,增强对网络威胁的实时感知和快速应对能力。要有效抑制网络犯罪经济链条,就必须打破犯罪资金流,切断攻击者的经济来源。
当前产业链中包括保险、网络安全服务商在内的多方利益相关者应重新审视自身激励结构,避免因利润驱动造成安全措施的弱化。只有政府、企业和服务提供商三方协作,重新校准风险与收益的关系,才能逐步瓦解这一恶性循环。展望未来,随着数字经济深入各行各业,IT和网络安全的重要性只会日益增加。企业必须从战略高度重视安全韧性,构建能够抵御高级持续威胁(APT)的多层防护体系。英国政府也应积极引导,将保障关键IT职能安全与经济安全结合,出台切实可行的政策措施,为经济的持续健康发展筑起坚实屏障。总结来看,IT和网络安全职能过度外包已证明其潜在风险极大,不仅带来巨额经济损失,更威胁国家经济稳定和产业链安全。
应当引发社会各界的高度关注,推动建立更为完善的法律法规和行业标准体系。只有认清外包带来的深层次问题,积极采取针对性应对措施,英国经济安全才能迈上一个新的台阶,获得数字时代的强力保障。 。
