CISO也得重视气候变化

气候变化所带来最严重的影响，首当其冲就在关键资源上。比如干旱会限制人对水资源的获取，而大型风暴则会破坏电力和天然气管道，从而使城市断电，并使人们失去供暖、食物等。而当此类关键资源受到影响时，资源本身和为其提供资源的系统将会成为不法者最想攻击的目标，他们更想在这种危机时刻造成最大的破坏。

Messdaghi以加利福尼亚的干旱为例：“对加利福尼亚来说，水资源变得非常有限，甚至在人们的心中成为了非常神圣的对象。而对于不法者而言，像当下那些危害较大的勒索组织，他们如果想要攻击加利福尼亚，是不是最好的切入口就是加利福尼亚所需要的干净水源？而若针对水源部署各种漏洞和长久攻击计划，则很可能会使加利福尼亚在未来的某一天面临巨大的威胁。因此可以总结出，随着气候变化，天气将变得更加严峻和不可预测，这意味着我们的业务会发生新的变化并同时会面临新的挑战。”

最近的一项联合网络安全咨询已发出警告，在高级可持续威胁攻击（APT攻击）中，使用定制工具攻击工业控制系统 (ICS) 和数据采集与监视控制系统(SCADA)设备的现象越来越多，并且在关键资源变得有限的情况下，犯罪分子利用勒索软件或 DDoS 等攻击的可能性增加。该咨询建议工控领域的组织实施增强的安全方法，以防护对ICS/SCADA系统所构成的威胁。

就像国内安全专家所提出的那样，越来越多的攻击模式都是APT这样的，它具有极强的针对性。在这种情况下，只靠安全产品是肯定不行的，因为现实正越来越多的变为真正意义上“人和人在网上对抗”的模式，这种现象越来越明显，而且未来只会愈发增多。所以该名安全专家才建议企业别再只试图把产品做得更好，而是要想出全新的应对策略，比如MSS这样“人机共智”的安全手段。

而在对关键资源的保护上，关键信息基础设施又是重中之重。通过俄乌战争，我们可以看到攻击者的攻击目标、打击对象，都是直击要害的，而若将这样的突发战争放缓到长期、慢性的国际趋势上，那对于关键资源的争取和保护也一定会像今天的俄乌那般，只在“关基”二字上做文章。

电源中断和能源短缺

针对关键资源的攻击并不是与气候变化相关的唯一安全问题。暴风雨、干旱等自然灾害所引发的森林大火也会导致停电并使系统离线，同时可再生能源的短缺也加剧了网络安全在这些不可抗力因素上的挑战。

KnowBe4首席执行官Stu Sjouwerman表示，依靠数据中心提供服务的安全供应商可能会难以应对自然灾害，因此他们的企业和组织更容易受到类似于这样的攻击。他补充道：“需要在特定地点维持业务的供应商更容易被气候问题、环境问题所影响，因此企业投资于那些可以灵活变换运营场地的供应商非常重要，这些供应商可以在短时间内进行转移，而不至于耽搁业务的发展。”

网络安全咨询公司Coalfire副总裁Andrew Barratt表示：“作为业务连续性响应的一部分，对重大自然灾害的危机响应也可能会导致安全服务恢复更慢。”

近年来，国内自然灾害也是频频发生，对于这样的突发事件，信息安全的应对措施应该有所预备和改进。好在云服务的发展蒸蒸日上，越来越多的业务、数据、资料被建设在了云端，益处在于若真的发生了不可抗力事件，企业的重要数据不会因此丢失，损失可以降到最低，而有利也有弊，云安全同时也会显得更为重要，对于云端的攻击将会是不法者的切入点。

气温上升等环境因素使得部分地区不再适合居住，按此态势发展，不久的将来可能会引发各种跨城镇、城市、州甚至国界的大规模移民现象。这便带来了另一个潜在的安全问题，在这两年的疫情期间已经有所反映，即当大量的人群被迫搬离原地时，既定的工作模式将被破坏，每个人都会采取远程办公模式或混合办公模式，这使得网络安全的风险更大，比如会产生使用不怎么安全的互联网连接进行工作的状况。

Messdaghi认为，在远程/混合工作已成为流行趋势的情况下，企业、组织在解决远程访问等问题方面取得了良好的进展，但随着越来越多的工作、职位需要进行远程办公，这仍然是信息安全上的一大问题。Messdaghi说：“如何拥有灵活且值得信赖的身份？如何获得正确、有效的身份验证流程？对了，这就是远程办公的关键所在。我们需要查看并了解到员工是从哪里进行连接的，并同时确保所采取的预防措施能否用来消除潜在的风险。”

当网络边界被打破，越来越多的业务不再执行于企业的业务中心，我们便需要新的体系来维持业务发展和网络安全。比如当下所提出的零信任策略，就是一种应对混合办公模式的手段，它能够实时的调整安全策略，并具备以身份为中心的验证和认证模式，做到永不信任，持续认证，一方面大大提升了安全性，另一方面在性能扩展、兼容性和运维的复杂度上都起到了良好的作用。

当然，零信任暂时带来了一定优势和益处，但也不排除在越来越严峻的趋势下，它能否长久地为企业带来足够的保障。

DNSFilter的首席安全研究员Peter Lowe表示，气候变化也给企业带来了新的财务影响和后勤挑战，因为可以这么说，安全正在努力地跟上威胁所带来的的需求。

“随着全球的网络不法者、网络黑客都开始变得更为专业、更具组织性，我们相应的准备工作、防御机制和响应策略也需要更快地跟上步伐，这就意味着需要增加更多的网络安全资源。气候变化推高了能源价格，同时也抬高了部分地域的房价，企业在如何部署安全方面受到了限制，成本大大增高，而另一方面，安全部门还需要在技术水平上保持同步，因此新的财务问题开始出现。企业必须仔细权衡新的网络安全技术和防御措施，以确定它们该如何部署，又会往哪个方向发展。”

Lowe指出，这意味着企业需要对资金有更好的衡量，同时需要选择好正确的办公环境。企业数据中心和劳动力的选择需要考虑当地环境可能带来的影响，需要避开市中心或其他污染程度较高的地区。同时供应链也是需要考虑的因素之一，无论是从弹性的角度来看，还是从环境影响的角度来看，气候变化更有可能造成潜在的影响和破坏。

不得不说，网络产品和服务供应链安全风险在当前日趋严峻的网络安全形势下日显突出，一旦出现问题便会给关键信息基础设施带来严重危害，气候变化若真的会在不知不觉中对供应链造成威胁，那将是企业的一大难点。对于绝大多数企业和组织来说，供应链庞大而又复杂，天时地利确实容易覆盖到各行各业，因此在选择合作商的时候，气候变化也该成为衡量的因素之一。

Rapid7高级副总裁兼首席科学家Raj Samani表示，网络安全部门作为技术行业的一部分，必须得学会应对气候变化。“气候变化不再是技术和网络安全行业可以视而不见的问题，该行业已经对气候变化产生了影响，ICT行业占全球碳排放量的2%至4%。此外，不仅是碳排放，还包括其他诸多的高能耗，例如该部门的用电量大约为7%，而加密货币对电力生产的需求为 0.55%。”

Samani指出，正因为对技术的需求在不断增加，因此各行各业都有责任对环境有所作为。国际电信联盟的一份报告显示，技术可以帮助监测气候、支持粮食安全和制止森林砍伐。所以才说，科技行业可以引领变革。

“网络安全部门绝不能低估其推动变革的力量，它可以采取一些措施来解决与气候相关的问题。企业需要测量主要温室气体 (GHG) 排放量，以便企业领导者能够确定哪些部门对气候变化的影响最大。对温室气体排放量的定期审查将使网络安全行业能够减少碳密集型活动，并可提高能源效率和可再生能源的采购。”

对于气候变化会给信息安全带来怎样的影响、要如何通过信息安全来保护关键资源、气候变化还会作用于哪些与信息安全有关联的内容等，国内安全专家如此建议。

某A+H股上市公司信息安全负责人孙琦认为，气候变化从来不是一个单一主体的事情，它有一个明确的目标，因此如何协调各主体朝着这共同目标前进是一个巨大的挑战。信息安全也是一样，目标非常明确，即如何协调安全主体和安全客体之间的协同，每一个安全人员都需要认真考虑。不能把目光只放在自己的领域里，需要看到全局才能做好这一切。

“过去我们是依靠武装力量来确保关键资源的安全，但随着保护对象被赋予了更多的数字化属性，我们需要依靠数字化的安全能力来确保关键资源的安全。基于数据流转为基础的安全防护能力是一个重要的研究对象，基于ZTA理念的全面对象防护就显得更为重要，平衡数据流动和数据绝对安全，根据不同受保护对象推进不同的防护手段，这是我们现阶段必须要研究的。”

而对于其他更多的影响，孙琦认为，信息安全不可能独立的存在，它的存在是因为主体强烈的内在需要。气候变化会对所有的主体产生影响，我们必须依靠更智能的全球天网（类似电影终结者中的天网）来主动应对，例如恶劣天气可能会造成局部网络中断，而中断的网络很可能会被近源攻击从而导致严重的安全问题。由气候变化导致的物流难题、资源配置难题等等都会导致各个主体的大幅波动，当主体因为生存问题而陷入被动，信息安全将很自然的被纳入重要但不紧急的象限，由此产生的各种次生问题都将消耗我们大量的精力和资源，而其结果很大可能都将是不可逆的，它将伴随受保护主体很久，甚至是伴随着受保护主体直至其自然消亡。

另一方面，艾贝链动安全专家胡恺健认为，气候变化和信息安全从表面上来看没有太大的联系，大家普遍会认为气候更多是与人身安全相关。但世界上万事万物都存在普遍联系，我们应该广义地理解安全，也就会包含信息安全。

“事实上，气候变化是人类有史以来面临的最大安全威胁，影响着全球的每一个人。气候变化导致了生物多样性减少，对食物链和资源可用性产生不利影响，极端的火山喷发、地震、飓风、洪水、海啸等现象频繁出现，导致全球社会产生严重焦虑，造成全球大规模移民，民众流离失所，产生了更多的社会负面情绪，受影响民众可能会通过网络犯罪来表达不满，这便会使信息安全领域受到严重威胁，会对信息安全产生不利影响。”

胡恺健指出，近年来因气候变化所带来的百年一遇级别的灾难频繁发生。2021年河南郑州洪水导致多个地区断电断网。2022年汤加火山喷发导致地区性海底电缆切断，国际电话和互联网通信中断。这些气候变化引起的次生问题，对信息安全中的可用性产生了巨大的威胁。

部分小型国家在疫情、经济、气候次生灾害等多种因素的共同作用下，本国货币体系不稳定，更多民众转向投资和持有比特币等以PoW（工作量证明）为基础的加密货币。加密货币挖矿虽然使电力基础设施投资、矿石资源开采和化石燃料生产行业带来了更多机遇，但也导致了更多的碳排放和环境污染，该类产业会成为更多网络犯罪分子的攻击目标，在信息安全保护上形成了巨大的挑战。仅在 2019 年，全球比特币挖矿消耗的能源就超过了整个瑞士。而在2021年，全球又迎来了元宇宙新业态，其中NFT、Defi、GameFi、DAO等等以区块链为基础的应用将蓬勃发展，可能进一步导致额外的碳排放，该类产业也会因为其具有巨大的商业利益而受到黑客的广泛关注。

因此，气候变化与信息安全有着千丝万缕的关联关系，一方面要考虑如何采用清洁能源和低能耗的计算资源实现“碳达峰，碳中和”，另一方面也要防范气候变化给信息安全带来的威胁，降低水电基础设施和能源保障系统的受到影响的风险。

通过这些事件和实例，胡恺健表示，要降低气候变化导致的的信息安全风险，组织可以考虑以下举措：

1、完善业务连续性管理：加强关键资源、能源系统的业务连续性计划和管理，做好业务影响分析，根据分析结果规划建设关键的容灾设施、异地中心、备份机制，对业务连续性计划进行多层次，多类型的演练，不仅仅停留在桌面演练阶段，使抢险应急工作效率提升，业务恢复过程中关键的财务、资源、人员能力得到保障。

2、工控安全体系化建设：提升水电基础设施和能源设施的工控安全水平。停止依赖单纯的工控环境物理隔离，2010年的震网事件已经表明单纯物理隔离控制的失效。工控安全一定要通过体系化建设来形成强有力识别、防护、检测、响应和恢复机制。逐步降低对国外专有工控设备（SCADA和PLC等）和专有工控协议的依赖，避免“黑盒子”所带来的风险不可控。

3、采用零信任架构：建议组织在安全建设过程中考虑使用具备零信任架构理念的产品来完成安全架构的升级改造。特别在应对疫情隔离、远程办公带来的新威胁方面，零信任架构配合SASE、CASB和云原生安全技术，被证明可以有效降低安全风险。

4、利用ESG（环境、社会与治理）评价指标：为体现一个组织在环境保护、社会责任和公司治理中已经作出了努力，组织可以充分利用ESG指标来衡量组织在环境保护上所尽到的责任，并且在ESG指标中加入信息安全指标，确保信息安全与公司战略目标保持一致。

最后，对于当下的气候环境胡恺健认为应该通过改善气候继续恶化的情况，扭转环境污染趋势，从而降低恶劣天灾发生可能性。因为只有降低社会焦虑，才能有利于维持社会稳定，只有降低网络犯罪，才能减少信息安全方面的相关影响。

“比如元宇宙时代将至，我建议专家学者需共同探索采用可持续的清洁能源（如核能、氢能、水能、风能等）来进行计算和运算，并且研究采用能源消耗更少的共识算法实现区块链的共识机制运行。例如广泛认可的是从PoW（工作量证明）转向使用PoS（权益证明，甚至是PoS改良版的时空证明和复制证明）来降低共识机制的能源消耗。其次，能源消耗本身不等于碳排放，数据中心和基础设施应该部署在水能充沛的区域，多雨水和常年雨季的地区将可以中和大部分的碳排放，从而达到更好的经济发展和环境污染平衡。”

而某互联网公司安全专家金佳华则认为，物理安全是信息系统的一个重要安全领域，而物理安全所面对的一个重要威胁就是气候变化。气候变化给信息安全带来的主要是可用性方面的影响，包括直接影响和间接影响。

直接影响，譬如暴风雨和干旱，所引起的森林大火可能导致停电，进而致使系统离线，无法提供服务；间接影响，比如异常气候，可能导致某些地区不再适合居住，极端情况，可能引发人员的大规模迁徙，增加远程工作的风险。而随着信息科技全球化，气候变化也将是摆着企业面前的一个重要考虑要素，包括位置选择、能源供应的稳定性、人员稳定性等。

“至于如何保护我们的重要资源，我们可以采用风险评估模型，或者是安全防御模型来识别威胁、脆弱性，并通过安全控制措施，降低关键资源所面临的安全风险，达到保护的目的。我以PPDR（策略-保护-检测-响应，Policy-Protection-Detection-Response）模型举例。假设我们的策略是要保护关键资源持续可用，可容忍的停电中断时间小于1分钟；那么我们在建设系统时，就必须保证UPS、柴油发动机及足量柴油，甚至是2地3中心等措施。同时，建立异常检测机制，能够及时发现可能会影响策略的异常情况，比如供电稳定性监测等。最后，确保响应机制能够及时启动。在检测到供电影响时，能够自动化或者人工快速切换，保证供电稳定性。在整个模型运转过程中，需要不断调整、确认策略与保护、检测、响应的一致性，确保目标是可实现的。”

最后金佳华提到，除了上述内容以外，气候灾害频发也会导致某些资源缺失，比如稳定维护人员的缺失、某些硬件资源因补给不及时导致的资源不足，这些都可能会危害业务可用性。随着人类社会高精细度的协作，大型恶劣气候变化，也开始逐步显示出对信息安全所带来的危害与影响。因此我们在进行安全建设时，也需要考虑气候变化所带来的影响。