不止于金钱：勒索软件攻击带来的现实危害

随着网络攻击在频率与复杂性上持续上升，各组织必须更好地准备面对事件现实。任何意在成功管理安全风险的组织计划，都必须清晰理解攻击后所造成的危害（即负面影响）及受影响的各方。为此，本文对网络攻击可能引发的大量现实危害进行了新颖探究，并特别聚焦于当前突出的勒索软件事件。该探究还促成了一种用于建模此类事件危害的崭新且稳健的方法论。我们借助公开可得的高关注度勒索软件事件案例数据，考察勒索软件攻击后各阶段出现的危害类型，以及危害（如离线的企业服务器）如何引发对其他利益相关者（如客户无法访问其社会福利或银行账户）其他负面的、潜在更严重的冲击。我们分析中的显著发现包括：识别出超越企业自身（且超越赎金财务支付）的显著社会/人的危害集合，以及不论行业部门均在攻击后浮现的复杂危害网络。我们还观察到，由于可用数据不完整，厘清危害的全部程度与顺序可能是一项艰巨任务。本文因而主张提升勒索软件危害的透明度，因这将增进对这些事件现实的理解，惠及组织与更广泛的社会。