系统性弹性：网络弹性和供应链弹性

2022年7月14日，世界经济论坛（World Economic Forum）发布《网络弹性指数：提高组织网络弹性》（The Cyber Resilience Index: Advancing Organizational Cyber Resilience）白皮书，在系统介绍组织缺乏网络弹性原因的基础上，白皮书基于网络弹性框架（cyber resilience framework）和网络弹性指数（cyber resilience index）提供了一个清晰可塑的系统框架，有助于推动网络弹性塑造实践。2022年9月15日，欧盟委员会提议制定《网络弹性法案》（Cyber Resilience Act），要求所有在欧盟市场上销售的可联网数字化设备和软件在设计、生产、运营及维护等全生命周期必须满足欧盟强制性网络安全标准。随着数字化转型的持续推进，人们不仅意识到虚拟空间安全与实体空间安全同等重要，而且意识到保障安全事件冲击下任务或业务连续性的网络弹性与供应链弹性更加重要。

1、网络弹性与网络安全内涵

网络弹性（cyber resilience）关注组织保障业务连续性、信息系统安全性和组织弹性的能力，指网络在面临攻击、设备故障、自然灾害等不利情况时，能够维持关键功能或者在攻击后能够快速恢复到正常状态的能力。

网络弹性与网络安全是两个性质不同但密切相关的概念，网络弹性可以视为网络安全的一部分且超越网络安全的新概念。网络弹性强调从业务视角保障系统运行能力，将保障目标从网络安全转移到维持任务或业务持续运行的网络弹性，即一个具有网络安全能力的系统应该具备预防和减轻网络威胁的能力，同时也需要具备面临攻击、设备故障、自然灾害等安全事件时保持关键操作和服务运行或者快速恢复到正常状态的能力。网络弹性与网络安全依赖设施安全、数据安全和系统安全，依托业务场景、资源环境和核心能力培育弹性与安全网络生态（如图1所示）。

（1）网络安全

网络安全（cyber security）关注组织预防和抵御安全事件、保护网络数据和服务不受威胁的能力，应用防火墙、加密、身份验证、入侵检测系统等安全技术防止未经授权的访问、数据泄露、分布式拒绝服务（distributed denial of service, DDoS）攻击等网络攻击。网络安全的目标在于以安全为上的管理理念、以增强的网络安全管理能力，防止攻击发生或在攻击发生后能够尽可能降低不利影响。

网络安全水平作为网络安全测度与评估指标，用于描述一个组织预防和抵御安全事件、保护网络数据和服务不受威胁的能力。网络安全水平评估始于设施安全、数据安全和系统安全的风险辨识，在风险源、脆弱性等风险辨识的基础上，经历风险评价、风险分析和风险处置等阶段，最终形成网络安全解决方案。网络安全水平评估流程如图2所示，旨在寻找网络系统的安全隐患和安全漏洞。

（2）网络弹性

网络弹性（cyber resilience）关注组织保障业务连续性、信息系统安全性和组织弹性的能力，指网络在面临攻击、设备故障、自然灾害等不利情况时，能够维持关键功能或者在攻击后能够快速恢复到正常状态的能力。网络弹性塑造的关键是设计和实施一种具有自适应性和自修复性功能的网络架构，通常可以采用负载均衡、冗余设计、故障切换、灾难恢复等措施加以实现。

网络弹性机能作为网络弹性测度与评估指标，用于描述一个组织保障业务连续性、信息系统安全性和组织弹性的综合能力。网络弹性机能评估始于业务场景、资源环境和核心能力的脆性辨识，在脆性源、灾变性等脆性辨识的基础上，经历弹性评价、弹性分析和弹性修复等阶段，最终形成网络弹性解决方案。网络弹性机能评估流程如图3所示，旨在寻找网络系统的脆性风险和脆性环节。

2、网络弹性与供应链弹性框架

网络弹性框架（cyber resilience framework）和供应链弹性框架（supply chain resilience framework）旨在描述弹性塑造的基本原则，以更好地指导网络弹性和供应链弹性塑造实践。在《网络弹性指数：提高组织网络弹性》白皮书中提出了网络弹性框架，以此为基础可以进一步提炼网络弹性框架、提出供应链弹性框架，从而以虚实结合的系统性弹性框架指导网络弹性和供应链弹性塑造实践。

（1）网络弹性框架

为保障网络弹性与安全，网络弹性框架应涵盖风险评估、设施安全、弹性治理、弹性生态、弹性设计和弹性文化六大原则（如图4所示），旨在辨识风险源、保障关键设施设备安全、全面开展弹性治理、履行弹性生态系统维护职责、以自适应性和自修复性设计提升弹性机能、培育组织弹性文化，以综合性措施提高网络弹性机能和安全水平。网络弹性框架集聚了网络弹性管理领域的知识和经验，为提升网络弹性提供了系统性解决方案。

网络弹性框架贯穿组织价值增值的业务流程，体现了增加冗余、提高柔性和改变组织文化的弹性管理核心思想。在网络弹性与安全目标驱动下，网络弹性框架成为网络弹性塑造的行动指南，用于指导组织不同层次的网络弹性塑造行动。在具体的网络弹性塑造实践中，指导战略层维护弹性生态系统、培育弹性文化，指导管理层开展弹性治理和弹性设计，指导操作层进行风险评估、保障关键设施设备安全。

（2）供应链弹性框架

为保障供应链弹性与安全，供应链弹性框架应涵盖风险评估、弹性资源、弹性治理、弹性生态、弹性战略和弹性文化六大原则（如图5所示），旨在辨识风险源、保障核心资源冗余、全面开展弹性治理、履行弹性生态系统维护职责、制定具有自适应性和自修复性的弹性战略、培育供应链弹性文化，以综合性措施提高供应链弹性机能和安全水平。供应链弹性框架以充分整合供应链信息、资源和能力为基础，确保供应链具有孕育自适应性和自修复性的能力。

供应链弹性框架的核心在于唤醒供应链成员的弹性意识、履行弹性责任、培育弹性文化，以更紧密的战略伙伴关系塑造弹性能力。在供应链弹性与安全目标驱动下，供应链弹性框架成为供应链弹性塑造的行动指南，用于指导供应链成员深层次开展供应链弹性塑造行动。供应链弹性框架有助于协调供应链成员弹性生态培育、弹性战略制定和弹性文化建设，在风险评估、弹性资源和弹性治理过程中形成合力、协同运营。

3、网络弹性与供应链弹性指数

网络弹性指数（cyber resilience index）和供应链弹性指数（supply chain resilience index）旨在以最佳的性能指标定量描述弹性，以更精准地描述网络弹性和供应链弹性塑造的真实状况和演化趋势。在《网络弹性指数：提高组织网络弹性》白皮书中提出了网络弹性指数，以此为基础可以进一步提炼网络弹性指数、提出供应链弹性指数，从而以虚实结合的系统性弹性指数描述网络弹性和供应链弹性塑造的真实状况和演化趋势。

（1）网络弹性指数

网络弹性框架提供了网络弹性塑造的基本原则，即风险评估、设施安全、弹性治理、弹性生态、弹性设计和弹性文化六大原则，也应该是网络弹性性能指标定量描述的一级指数。在网络弹性指数设计过程中，应考虑可度量、可量化、灵活性、便利性等基本属性，可以不受行业、不受地域的限制快速应用，可以依据自身需要量身定制、持续改进，为管理决策者寻找网络弹性缺陷、寻找改进契机提供可行的工具。参考《网络弹性指数：提高组织网络弹性》白皮书，以提高组织网络弹性为目标设计的网络弹性指数如表1所示。

表1  网络弹性指数

网络弹性指数赋值可以采用两种不同的方法，一是一级指数赋值相同，即一级指数为16.7%，《网络弹性指数：提高组织网络弹性》研究采用该方法；二是二级指数或三级指数赋值相同，即二级指数为4.0%或三级指数为2.0%。网络弹性指数可以作为单个组织自我评价、若干行业组织综合评价的依据，如果将网络弹性框架与网络弹性指数相结合，就可以开展相关组织弹性能力评价及趋势分析。网络弹性框架与网络弹性指数可以共同构建网络弹性生态系统，从组织个体层面反映行业整体发展趋势，并且可以开展跨组织、跨行业的比较研究。

（2）供应链弹性指数

相对于虚拟空间的网络弹性，实体空间的供应链弹性更加复杂，特别是供应链弹性的不可见属性使其更加难以观察、难以量化、难以测度，基于生物细胞弹性理论的供应链弹性模型（又称“双仿模型”：仿生——模拟生物细胞弹性模型；仿真——模拟生物细胞弹性演化过程）（赵林度和王新平，2016），可以增强供应链弹性可视化、可感知能力。供应链弹性框架提供了供应链弹性塑造的基本原则，即风险评估、弹性资源、弹性治理、弹性生态、弹性战略和弹性文化六大原则，也应该是供应链弹性性能指标定量描述的一级指数。参考《网络弹性指数：提高组织网络弹性》白皮书，以提高供应链弹性为目标设计的供应链弹性指数如表2所示。

表2  供应链弹性指数

供应链弹性指数可以作为供应链成员自我评价、供应链综合评价的依据，如果将供应链弹性框架与供应链弹性指数相结合，就可以开展相关供应链弹性能力评价及趋势分析。供应链弹性框架与供应链弹性指数可以共同构建供应链弹性生态系统，在供应链层面反映整个产业链、供应链和价值链“三链”深度融合发展的趋势，以可持续的弹性能力培育供应链生态价值和价值增值能力。虚实结合的系统性弹性指数，能够综合评价网络弹性和供应链弹性机能及其演化趋势。

4、弹性框架与弹性指数关系

弹性框架与弹性指数可以共同构建弹性生态系统，其中弹性框架的六大原则用于指导弹性塑造实践，并转化为弹性指数的一级指数用于指导弹性性能评估，从而说明弹性框架与弹性指数是弹性生态系统形成的“元基础”。在弹性生态系统中，弹性框架与弹性指数相互支撑、相互依存，弹性框架能够在实践中验证弹性指数，弹性指数能够在评估中修正弹性框架（如图6所示）。

（1）弹性塑造实践

弹性生态系统只有在实践中融入自适应性和自修复性才能正式开启弹性塑造之门，而有效融入自适应性和自修复性离不开系统性行动指南。弹性生态系统的复杂性决定了弹性塑造需要经历一个漫长而复杂的实践过程，需要在有指导的学习环境中持续优化自己的成长行为才能为弹性生态系统锤炼出坚忍不拔的属性。弹性框架提供了弹性塑造的基本原则，即风险评估、设施安全（弹性资源）、弹性治理、弹性生态、弹性设计（弹性战略）和弹性文化六大原则，弹性管理决策者均以六大原则作为行动指南塑造网络弹性和供应链弹性。基于弹性框架的弹性塑造实践如图7所示，描述了弹性塑造实践中遵循基本原则、探寻实践目标、持续改进计划的过程。

基于弹性框架的弹性塑造实践，旨在辨识风险源、保障关键设施设备安全（保障核心资源冗余）、全面开展弹性治理、履行弹性生态系统维护职责、以自适应性和自修复性设计提升弹性机能（制定具有自适应性和自修复性的弹性战略）、培育弹性文化，以综合性措施提高弹性机能和安全水平。弹性塑造实践只有经过无数次的反复历练，弹性生态系统才能逐步孕育形成自适应性和自修复性并在实践中逐步由弱到强，真正形成具有保障业务连续性、信息系统安全性和组织弹性的综合能力。

（2）弹性性能评估

在弹性生态系统中，弹性框架能够转化为弹性评估的一级指数，即风险评估、设施安全（弹性资源）、弹性治理、弹性生态、弹性设计（弹性战略）和弹性文化六大指数。弹性性能评估的目的在于精准地掌握弹性生态系统的状态和能力，测试系统是否具备抵御安全事件冲击和影响的能力，以便科学地做出风险管理和风险预警决策。在弹性框架六大原则基础上，构建一级、二级和三级指数及其权值，形成具有三级结构、用于监测弹性生态系统孕育自适应性和自修复性能力的弹性指数。基于弹性指数的弹性性能评估如图8所示，描述了弹性性能评估中检测弹性能力、核算检测结果、持续改进计划的过程。

基于弹性指数的弹性性能评估，旨在以增强系统弹性为目标寻找和消除薄弱环节，为测试、检验、验证系统状态做出更加科学合理的决策。从风险管理的视角研判弹性生态系统的性能状态，揭示系统面对安全事件冲击时所能呈现的性能状态，深层次挖掘系统自适应性和自修复性持续改进计划的策略方法。弹性性能评估增加了不同系统之间弹性机能和安全水平的可比性，能够及时捕捉系统的脆性风险和脆性环节、安全隐患和安全漏洞，使整个弹性生态系统始终处于防患于未然、伺机而动的状态。

5、系统性网络弹性与供应链弹性

系统性弹性覆盖虚拟空间和实体空间，可以根据关注焦点的不同分为系统性网络弹性和系统性供应链弹性，即关注虚拟空间的系统性网络弹性为“系统性网络弹性=网络弹性（51%）+供应链弹性（49%）”、关注实体空间的系统性供应链弹性为“系统性供应链弹性=供应链弹性（51%）+网络弹性（49%）”。系统性网络弹性中的供应链为网络关键设备、网络安全专用产品供应链，而系统性供应链弹性中的供应链为网络关键设备、网络安全专用产品之外的供应链。

（1）系统性网络弹性

在系统性网络弹性中，不仅包含网络弹性，而且包含网络关键设备、网络安全专用产品供应链弹性，即网络关键设备、网络安全专用产品及关键部件生产、测试、交付、技术支持过程中的供应链弹性。以网络关键设备、网络安全专用产品供应链为例，可以构建系统性网络弹性结构（如图9所示），从而形成以虚拟空间的网络弹性为焦点、虚实结合的系统性网络弹性结构。

如图9所示的系统性网络弹性结构，覆盖组织的网络系统、网络关键设备供应链、网络安全专用产品供应链，具有弹性与安全的供应链成为提高网络弹性机能与安全水平的重要基础。在系统性网络弹性中，网络弹性离不开网络关键设备、网络安全专用产品及关键部件生产、测试、交付、技术支持过程中每一个供应链成员的弹性能力，在面临安全事件冲击时依赖于供应链弹性得以持续不间断运行。

（2）系统性供应链弹性

无论供应链成员的安全性有多强，供应链中的任何薄弱环节都有可能使供应链陷入困境。供应链弹性与安全不仅受供应链网络结构影响，即受供应链成员及其地理空间分布影响，而且受物流、信息流和资金流影响，说明供应链成员依赖于网络弹性与安全。因此，每一个供应链成员的网络弹性与安全都会影响供应链弹性与安全。以“互联网+”生鲜农产品供应链为例（赵林度，2021），可以构建系统性供应链弹性结构（如图10所示），从而形成以实体空间的供应链弹性为焦点、虚实结合的系统性供应链弹性结构。

在如图10所示的系统性供应链弹性结构中，云平台中每一个虚拟网络节点都对应着相应的供应链成员，如果虚拟网络节点在安全事件冲击中遭受破坏就会影响供应链成员正常运营，从而影响整个供应链正常运营。在系统性供应链弹性中，供应链弹性依赖于网络弹性得以持续运营，即如果没有安全可靠的信息流的支持，供应链将无法正常运营难以实现预期的运营目标。

在现实世界中，万无一失的“保险箱”是不存在的，正如“矛与盾”存在的一致性与矛盾性。弹性与安全涉及每一个环节、每一个主体，任何脆性风险和脆性环节、安全隐患和安全漏洞都有可能扩散到整个系统，寻找和消除薄弱环节始终是弹性与安全管理关注的焦点。在弹性目标驱动下，以虚实结合的风险管理为导向制定系统性弹性框架与弹性指数，以多学科、多维度的系统集成方案推动系统性弹性向着数字化、制度化、标准化方向发展，研究建立系统性弹性通用实践原则和性能指标，有效衡量系统性弹性机能与安全水平的因果关系和演化趋势，有助于全方位提升虚拟空间和实体空间弹性机能与安全水平，全方位保障虚拟空间与实体空间的可持续运营。

参考文献：

[1]World Economic Forum, “The Cyber Resilience Index: Advancing Organizational Cyber Resilience” White Paper, 2022.
[2]深入研究网络弹性[EB/OL]. [2021-06-11]. https://www.secrss.com/articles/31820.
[3]数字生态系统管理新方法！网络弹性框架6大原则与行动措施，风险导向+可塑性强！[EB/OL]. [2022-08-19]. https://zhuanlan.zhihu.com/p/555677933.
[4]2020年度中国网络安全能力图谱[EB/OL]. [2020-09-21]. https://www.secrss.com/articles/25741.
[5]赵林度，王新平，供应链弹性管理：测度与策略[M].北京：科学出版社，2016.
[6]赵林度.“互联网+”生鲜农产品供应链[M]. 北京：科学出版社，2021.