中華公司治理協會

NEWS

企業社會責任應該納入網絡安全

【作者】    Scott Shackelford
【資料來源】    Straits Times
【發佈日期】    2017年 6月 30日
【介紹者】    閻書孝研究員
【簡介】

最近勒索軟體NotPetya在全世界肆虐，人們清楚瞭解到，正視網絡安全對每個人（特別是企業）是多麼重要。

受到這種惡意軟體影響的公司包括了電力公司、銀行業與科技公司。而他們的顧客因此失去能源或其他重要服務，其中部分的原因是，公司並未採取行動，也未投資強化保護自身不受網絡攻擊的必要措施。

當企業社會責任被要求越來越多之際，網絡安全正成為其中一個議題。企業廣泛的努力，已經讓員工有基本維生工資、鼓勵公司發展零廢棄生產設備以及推動從搖籃到搖籃的生產，看到相當的成效。

這整體的概念是：公司在做決策時，不應該只考慮到所有人與股東、消費者與員工，還要包括整體社會與自然環境。

先前勒索病毒WannaCry已經襲擊了150個國家、超過20萬台的電腦。這清楚顯示了，若沒有持續更新電腦軟體，所傷害的不只是是電腦所有者本身而已，最後還會擴散到整個網際網路上的使用者。現在有些公司並未聽進這些警訊，未更新系統，而招致NotPetya的攻擊。

某些政策制訂者與公司經理人正在注意全球的狀況。在美國，主要負責網絡安全的聯邦單位「國土安全部」，已經強調企業在保護自己防範網絡攻擊上「也負有責任」。

消費者不能自己保護所依賴的公共服務、銀行系統或甚至是個資，這些必須依賴公司來處理相關的安全問題。

網絡安全要做的，不只是讓企業獲利而已，還要對整體企業與社會永續做出貢獻。此外，透過保護隱私、表達自由與資訊交流，網絡安全還可以在網路上與現實生活中保護人權。

如果更多公司認真面對網絡安全，則網際網路的生態系統對每個人而言就會更安全。

這個概念很像讓人們注射疫苗對抗疾病：如果有夠多的人受到保護，則其他人也會跟著受益，這也是俗稱的「群體免疫」(herd immunity)。

關於防堵駭客，如果可入侵的弱點減少，駭客因入侵難度變高而降低入侵的價值。

但這其實不是最好的解決方法：就算投入足夠時間與資源，系統還是有弱點會被入侵，但至少在公司的認知上有所改變，而這是發展全球網絡安全文化的重要一步。

消費者可以參與的是，要求公司在營運時具備更佳的網絡安全機制。在網路上的零售商，不管是小型的賣家，或者是像亞馬遜一樣的巨擘，都應該要做到。

到目前為止，哪家公司在處理網絡安全上有最佳實務，一直難以探知。在消費者報告裡對產品與服務的檢驗者已經展開行動：三月時，他們開始評估裝置、軟體與行動apps的保密與網絡安全。

倡議團體像Internet Society等，應該要求公司在他們對股東提出的報告中，探討網絡安全措施。他們應該呼籲政府單位，比照美國國家環境保護局的能源之星設備節能評等系統，發展出自願性的計畫。

英國已經有類似的網絡安全認證，名為Cyber Essentials。這些措施不是要高階經理人要做出完全不同的決定，而是協助他們（以及公眾）瞭解，其決策會如何影響到消費者。

最終，在形塑未來線上共享經驗上，公司將會扮演非常重要的角色。而網絡安全及資料保密，是構成未來線上共享經驗的關鍵要素。因此，消費者必須要求公司，視之為企業社會責任。

【網址連結】
http://www.straitstimes.com/opinion/corporate-social-responsibility-should-include-cyber-security

BACK PAGE