作者：Mhicole A. Moral，特别专题与内容撰稿人

组织如今运行在数字经济中，技术驱动着业务活动的几乎每一个环节。随着对互联系统的依赖不断加深，网络安全和数据保护已成为长期商业战略中日益重要的组成部分。

这些议题为 BusinessWorld 网络安全峰会的第一场小组讨论定下基调，该场讨论题为“导航网络安全法律与合规”。与会嘉宾就全球网络安全监管如何影响菲律宾组织进行了探讨，并讨论为何仅靠合规已不足以强化网络安全。

网络犯罪调查与协调中心助理部长兼副执行主任 Alvin M. Navarro 表示，网络安全远不止于保护企业，因为其影响会波及政府机构、国家安全以及普通民众。

“对普通大众而言，利用网络弱点的黑暗面体现在诈骗上。我们收到的所有投诉中，超过 60% 来自诈骗。想象一下人们所承受的损失、焦虑和痛苦，”他解释说。

Navarro 先生指出，数字化转型仍是政府优先事项，因为它有助于改善公共服务的提供。然而，网络安全必须成为该转型每个阶段的一部分。

“我们需要确保网络安全嵌入我们的数字化转型之中：首先，为了改善公共服务；其次，确保所有旨在提供这些公共服务的系统和流程都稳健且安全，”他补充道。“如果所有这些都失败，受影响的不仅是经济，还会影响政治稳定以及我们作为一个国家的生存。”

R.G. Manabat & Co.（KPMG in the Philippines）技术咨询合伙人 Gilbert T. Trinchera 表示，网络安全正进入一个阶段，在这个阶段中，多种力量不再彼此独立运行，而是交汇于各类组织之中。

基于 KPMG 今年早些时候发布的最新网络安全考量，Trinchera 先生指出，八大主要力量正在重塑当下及未来几年的网络安全：人工智能、地缘政治、监管、超连接、非人类身份、供应链依赖、后量子密码学以及自主安全。

“这些力量并不是各自在孤岛中单独运作；它们正在汇聚，这也是为什么它正成为整个企业的重要要求，无论你是政府机构还是私营行业。这对每个人来说都是重大考量，因为目标并不是完善所有合规清单，而只是要了解我们所处的位置，做到主动并规避风险，并且当然要确保我们始终如一地向客户和利益相关者展现我们的可信度，”他解释说。

与此同时，DivinaLaw 管理合伙人 Jay R C. Ipac 提到，如今影响本地公司的两项最具影响力的法规是欧盟《通用数据保护条例》（GDPR）和欧盟 NIS2 指令。尽管部分框架仍处于草案阶段，Ipac 先生表示，这些规定表明网络安全讨论已从技术合规扩展到组织韧性。

他还将菲律宾中央银行（Bangko Sentral ng Pilipinas）列为该国在网络安全治理方面最积极的监管机构之一，因为金融机构面临快速的技术发展和日益复杂的数字威胁。

Maya Philippines Inc. 企业事务负责人 Kristoffer Rada 表示，全球各地的网络安全法律已将问责置于董事会和高级管理层，而不再仅仅局限于技术团队。

“重点现在正从单纯预防转向运营韧性，也就是能够检测、响应、恢复并持续提供基本服务的能力，”他强调说。

然而，单靠技术并不足够。客户意识同样重要，因此该公司将技术防护与公众教育活动结合起来。

“监管应当基于风险并以结果为导向，这样机构就要为结果负责，同时仍保留采用更好技术的空间。此外，透明度应当及时、准确且对公众有用。最后，网络安全必须是协作性的。威胁情报、诈骗预防和事件协调，以及消费者教育，都需要政府和行业共同合作，”Rada 先生解释说。

从技术责任到商业治理

国际监管影响力的不断增强，也改变了组织对网络安全领导力的定义方式。

Ipac 先生表示，许多组织仍几乎完全将网络安全交由首席信息安全官或信息技术部门负责。虽然公司往往会建立政策并完成文件，但当真正发生网络事件时，这些准备常常不够充分。

“最大的误解仍然是把网络安全看作一个技术问题。所有利益相关方都应真正关心确保 [网络安全] 位于所有公司数字化业务议程的最前列，”他说。“你们的员工是你们最宝贵的资产。你们必须能够建立一种网络安全文化，不只是意识，而是让公众信任的韧性。”

与此同时，Navarro 先生指出，企业领导者应具备足够的技术理解，以便在承担组织未来责任的同时做出知情决策。这项责任的重要部分，就是在整个组织范围内维持强有力的网络安全。

“网络安全已经达到这样的程度：它不仅极大影响企业，而且毫无疑问地影响国家安全，”他解释说。

人工智能提高了风险等级

组织正在利用人工智能（AI）来提升效率并增强防御，但同一技术也为网络犯罪分子提供了发动攻击、操纵信息和利用毫无防备用户的新方式。

与会嘉宾指出，这扩大了技术创新与监管之间的差距，使组织在新法律生效前就承担起建立治理机制的更多责任。

Trinchera 先生表示，菲律宾仍处于 AI 采用速度快于立法的时期。虽然已提交若干与 AI 相关的法案，但目前组织在缺乏全面法律框架的情况下运作，该框架尚未清晰界定 AI 使用的问责问题。

“这意味着，如果任何人使用 AI，无论是用于善还是恶，他们都没有问责和义务的概念。它只不过是一个游乐场，”他解释说。

他补充说，菲律宾人广泛使用社交媒体、数字平台、在线市场和新兴技术，为 AI 驱动的诈骗、虚假信息行动、网络钓鱼尝试及其他网络威胁创造了更多机会。

他表示，若缺乏足够的意识与治理，技术会加速有害内容的传播，同时让网络攻击更具迷惑性，也更难被发现。

“监管趋同应当成为我们的目标，我们应将其与我们的最终愿景对齐，也就是维护信任。这是当下人人都理解的通用货币，不论行业或司法管辖区，”他强调说。

Navarro 先生指出，立法正在努力跟上 AI 的步伐，尽管立法过程自然比技术发展更慢。与此同时，他鼓励组织基于自身运营需求和网络安全风险，制定内部 AI 使用政策。

因此，组织已经可以制定实际的治理措施，在界定负责任 AI 使用的同时，解决其运营中独有的安全缺口。

“目前还没有立法，但并非完全没有希望。这不是我们束手无策的情况。我们可以从组织内部开始，制定更符合我们需求、以及我们面临的安全问题或缺口的政策，”Navarro 先生表示。

同样，组织也在寻找将人工智能纳入其网络安全运营的新方式。对于 Maya 而言，AI 已成为识别公司大规模交易量中可疑金融交易的重要工具。

与此同时，Rada 先生承认，技术既带来机遇也带来风险。政策和框架依然重要，但只有与政府协作时，才能产生有意义的成果。

“[应当有] 公共和私营部门之间的合作。我们[应该]与政策制定者、立法者和执法者密切合作，因为这才是我们在制定合理政策方面迎头赶上的唯一方式，”他解释说。