Transcription
网络损失往往是不可逆转的，而且常常直到为时已晚才显现。>> 大多数调查表明，每年约有三分之一的家族办公室会遭遇网络事件。>> 如果系统中的任何部分存在内部威胁，那么实际上这可能会放大威胁而不是减轻它。>> 原则上需要至少参与思考其中一些场景以及真正重要的事情，因为它没有那么广泛的后果。>> 它是成本，直到你需要它。它是投资，当事件发生时。我想我所描述的更像是一种关系而非合同，而这种关系是建立在信任的基础上的。>> 欢迎来到 Wealth Office X。这是一个围绕交流而构建的系列，将两种视角带入同一场对话，以全面探讨一个主题，特别是权力、风险和长期后果相交的地方。今天的主题是网络安全。我想从一开始就提出一个核心观点。私人财富和商业家族现在正处于一个环境中运营，在这个环境中，网络风险不再是技术问题，而是战略条件。资本在全球范围内以数字方式流动。身份默认暴露，攻击日益自动化。在这个世界里，网络损失往往是不可逆转的，而且常常直到为时已晚才显现。这很重要，因为私人资本现在在塑造定义未来几十年的技术、公司和系统方面发挥着决定性作用，尤其是在亚洲。然而，大多数家族的组织方式仍然好像这一切都不存在一样。为了探讨这到底意味着什么，我将与伦敦大都会警察局前局长伯纳德·霍根·豪厄尔勋爵和 OBE、Beyond Blue 的董事总经理大卫·弗布拉什一起探讨。先生们，欢迎来到 Wealth Office X。我想从一个观察开始，这是我日常生活中经常遇到的事情，那就是私人资本现在往往是先行者。家族通常很早就进入新市场、新技术、新地域，尤其是在亚洲，但通常也是在全球范围内，这往往发生在监管机构或政府有机会跟上之前。但是，大多数家族办公室的运营模式在根本上并没有改变多少。实际上，办公室往往仍然是小型、基于信任的团队，严重依赖少数值得信赖的顾问。与此同时，家族办公室中的网络事件已不再罕见。实际上，这种组合——速度、权力集中和轻量级结构——在当今的家族办公室领域感觉非常重要。伯纳德，我想先问你，从犯罪和安全的角度来看，私人财富现在是否像机构曾经那样处于一线？你能想到一个你看到这种转变发生或变得不可避免的时刻吗？我认为它们肯定处于类似的位置。财富的数额肯定是相当的。正如你已经说过的，迈克尔，你可能没有那么多基础设施来保护那个区域的安全。我不认为这是因为缺乏关心。这只是，你知道，这是一个成本。>> 是的。>> 你必须决定，在保护自己方面，例如网络安全，是成本还是投资？嗯，它是成本，直到你需要它。它是投资，当事件发生时。>> 是的。>> 所以，花时间和投入金钱总是基于风险的评估，即你是否认为现在进行这项投资是明智的。所以，我可以看到为什么一个更小、更灵活的单位会限制它在各个领域的投资，而这只是其中之一。所以，他们不会有人力资源部。也许他们会有需要外包的人力资源技能。他们需要外包各种事情。所以，在我看来，这是成为一个高效、紧密管理的船只的自然结果。它正在努力为你已经提到的事情做准备，这些事情已经进入了普遍的雷达，但越来越明显的是，它们有时会成为目标。至于转变何时发生，我认为很难说。我认为这是一个相当渐进的过程。大卫可能对此有所了解，尤其是。我认为我们肯定看到更多的国际攻击，而不仅仅是国内攻击。当然，我们谈论的私人办公室拥有多个国际基地，这意味着它们可以在管辖区内受到保护，但这也使它们更加脆弱，因为它们的办公室分布得越广。>> 大卫，我想转向你。你认为家族办公室在资本或现有利益和资产方面的潜在力量与在网络危机方面的准备不足之间最大的差距在哪里？这种情况开始出错时是什么样的？这里有一个组合。我的意思是，最终，你知道，家族办公室是小型、值得信赖的团体，而这种敏捷性是一种优势，但这也意味着如何安全地配置你的系统以及你真正要保护什么存在问题。所以，如果我看看现在的家族办公室，它们会遇到网络威胁。我们看到很多是无差别的。这是大规模的跨国有组织犯罪。当然，如果系统配置错误或存在漏洞，那么它们就会被选中并受到攻击，无论是直接的漏洞还是经典的钓鱼和社会工程活动。所以，我认为家族办公室面临的关键挑战是规模小，但要获得关于这些系统如何实际配置的正确建议，围绕网络威胁的实际、合理的认识，以及在“皇冠上的宝石”方面真正重要的东西的清晰度。你真正要保护的是什么？我认为对我来说，挑战之一是当我们看到这些网络事件展开时，大多数调查都表明，现在每年约有三分之一的家族办公室会遭遇网络事件。当它们展开时，不仅系统被加密，无法访问，而且极具破坏性，而且我们越来越多地看到更多的数据被盗，以及在此基础上进行的勒索和敲诈。这不仅仅是财务后果，也是声誉后果。这感觉不一样。>> 我认为其中有两点特别重要。一是关于自满的概念。>> 你知道，我在声誉领域与家族办公室合作。我经常说，他们直到出事才意识到他们需要声誉，然后他们才意识到，如果他们主动管理了，事情可能就不会发生了。在网络领域，这种情况似乎很相似，即网络事件会造成自满，而实际上你完全暴露了，并且直到事件发生你才意识到你的风险暴露。>> 我认为公平地说，大多数网络事件不一定是由家族办公室识别的。通常是第三方，比如银行。所以，实际上当事情发生时，家族通常会落后于形势，甚至不知道发生了什么，这大概会加剧自满情绪。>> 是的。确实如此，我认为这是一个挑战，因为即使你很好地保护了你的 IT，你总会面临如何监控和检测入侵的问题。我们还发现，从最初的系统被侵入到可能部署勒索软件或提取信息之间的时间正在缩短。所以，它比我们看到的更快、更具攻击性，我认为这会让你进入整个网络事件响应环节。对我来说，这有两部分。一是提前思考，准备，甚至演练一下如果网络事件真的影响到你，你的关键信息落入有组织犯罪集团手中会发生什么。而且，他们越来越关注的是勒索。所以，他们正在寻找机会有效地进行敲诈和勒索。然后是快速响应环节。所以，这些事情会作为事件发生得非常快，有时你真的需要专业知识迅速介入，不仅是为了帮助你保护系统，还为了帮助你管理后果。所以，这部分似乎是关键。>> 伯纳德，根据你的经验，这种延迟在诊断网络事件方面意味着什么，在改变恢复机会方面呢？>> 嗯，我认为正如你所说，有几种方式可以注意到。一种是银行告诉你，或者第三方。>> 嗯。其次，你突然注意到我看到的一件事是，人们注意到攻击是通过异常数量的数据在异常时间移动。>> 或者甚至超出了正常的控制措施。>> 我在过去一年左右处理过一个案例，第一次通知是来自一个接受该组织一些数据的第三方提供商。数据下载通常需要 15 分钟，而这次花了大约四个小时，而且还没有完成。>> 所以第三方注意到了这一点，并将其反馈给原始组织。他们没有像可能那样认真对待。>> 因为那是信号。所以，有时这些信号并不容易被发现，当它们发生时，人们认为系统出了问题，但通常这是有人在攻击你的信号。>> 所以，我认为关键在于确保你拥有对异常信号敏感的人，并真正深入探究，否则你会浪费时间，而时间是真正具有破坏性的，因为当然，你可能会在那段时间里丢失数据。是的。>> 你可能会损失金钱，我最后要提的一点是，我合作过的组织通常都是非常好的组织。它们不是坏组织，里面没有坏人。是好人，他们非常擅长自己的专业技能。他们不总是习惯于应对有人以攻击性的方式攻击他们。>> 而且这可能意味着他们的反应与他们预料到的不同，因为，你知道，他们是来银行的，或者他们是来卖东西的。那是他们的工作，他们做得很好。>> 但当你遇到危机时，关键在于你如何应对危机。我对你们两位都非常感兴趣，想听听更多关于当今典型攻击是什么样子的故事，但我也认为，这个节目的很多观众都意识到当今世界正在发生的快速技术转型和变革，坦率地说，这不可避免地会影响风险以及网络安全和网络攻击的性质。我的意思是，如果我们看看两年前，例如。>> 那么，可以说大多数网络事件都遵循熟悉的模式吗？比如网络钓鱼邮件、被盗凭证、基本的社会工程。>> 这些仍然非常普遍，但>> 攻击的性质是否随着技术而改变？所以，>> 你谈到机器人。所以，你现在可以有 AI 代理克隆声音，伪造消息。你可以从公开信息中组装详细的个人资料。这里有一种感觉，网络安全似乎正在从黑客系统转向更多地黑客权威本身。>> 这如何改变？>> 我可以谈谈过去几年的一些趋势。有些事情保持不变，有些事情在改变。所以，犯罪集团主要是为了金钱和利润而进行的跨国犯罪，这是否仍然是主流？是的，绝对如此。这没有改变。过去，他们非常专注于经典的勒索软件攻击。>> 你知道，我们部署恶意软件，加密数据，人们没有良好的备份和恢复流程，因此暴露得很厉害，然后支付赎金。>> 战术改变了几个方面。所以，我们看到更多，哦，我们现在在一个系统中。让我们收集数据样本，看看它，弄清楚我们现在在哪里，然后弄清楚如何进行敲诈和勒索的最佳方式。我认为对于家族办公室来说，这意味着你直接进入了声誉领域以及财务领域。>> 以及如何最好地利用它。所以，这种双重敲诈真的有所增加，而且我们看到了一种糟糕的小趋势，那就是如何敲诈关键高管和家族成员。所以，不仅仅是公司焦点，这有点不同。>> 是的。>> 另一件改变的事情是人工智能的到来。>> 是的。>> 而且，你知道，令人惊讶的是，它以几种不同的方式到来。一种是目标定位。所以，有组织犯罪能够快速扫描大量系统，或者对他们的目标进行非常好的背景调查，并产生一些非常可信的钓鱼诱饵。所以，精心制作、精心设计的，有时会进入深度伪造领域。>> 是的。>> 你知道，模拟视频、模拟声音样本以及一些非常复杂的社会工程。所以，我们看到这种情况以不同的方式发挥作用。所以，你看到了，当然那是犯罪。>> 还有国家间谍的威胁。>> 是的。>> 你知道，所以对于一些家族办公室来说，如果它们是高调的，甚至有时是政治敏感的，这也是一个考虑因素。我们目前在国家间谍和地缘政治领域看到了很多发展。>> 你遇到过很多不是入侵而是冒充最初造成损害的情况吗？是的。实际上，越来越多，因为现在进行一次非常、非常可信的社会工程活动，能够构建非常好的角色要容易得多。>> 而且，有时这也是间接的。所以，我们看到过一些例子，比如律师事务所和会计师事务所被攻陷，因为一旦你这样做了，你就可以从一家律师事务所发送电子邮件，并获得与之相关的可信度。>> 所以，我们看到这种专业服务混合也被针对，因为有时这些顾问实际上比最终组织更脆弱，但他们是值得信赖的。>> 是的。>> 所以，它的运作方式很有趣。所以，这几乎是一种信任的劫持。>> 这是信任的劫持。没错。>> 这实际上，它极大地改变了，不是吗？>> 伯纳德，从仅仅黑客攻击到更直接的欺诈。在很多方面，欺诈本身并不是什么新鲜事。它只是有一个新的技术环境来运作。>> 是的。我的意思是，我经常谈论的一个例子是我们处理过一个案件，其中一些加密货币被盗，盗窃的方式是有人要求证明加密货币的存在。>> 他们想知道它是否存在。>> 是的。所以，他们邀请对方将加密货币以光盘形式带到一个特定的会议上，然后将其放在桌子上，有人玩了那个老套路，移动东西，然后把它拿走，在会议结束后很快就偷走了钱。所以，我想说的是，虽然加密货币可能是，或者不是加密货币，但数字犯罪可能令人恐惧，因为它规模庞大、速度快，但许多人并不总是理解它的技术方面，它总是有人的因素。所以，首先，攻击你的人背后的动机是什么？是为了偷东西，伤害你，还是破坏你的系统？动机是什么？通常有一个按下攻击你的按钮的人。>> [清嗓子] 我认为正如你之前所说，人工智能开始击败一些为防止欺诈而设置的生物识别措施。>> 所以，人工智能可以复制我的声音，复制我的外表，然后将其置于有助于进入系统的环境中。所以，我认为我们必须考虑这一点，当然，我们开始谈论的关于一些私人办公室规模小的事情。>> 一方面是令人放心的，因为我们都认识彼此，我们都信任彼此。>> 是的。>> 但当然，如果系统中的任何部分存在内部威胁，那么实际上这可能会放大威胁而不是减轻它。>> 我们开始如此信任彼此，以至于我们冒着我们可能不应该冒的风险。>> 现在，这可能发生在非常大的组织中，但我认为在小型组织中，这更加困难。>> 所以，我认为问题在于你是否有一种心态，预料到可能存在内部威胁，以及你如何建立系统来帮助你处理这类事情。>> 这有点回到了我们已经讨论过的内容，那就是风险的量级以及它如何被不理解。我的意思是，我有一个我曾经合作过的客户，我不会说出名字，甚至国籍，出于明显的原因。>> 这个客户在一个驱动器上有大约 50 到 6000 万美元的加密货币，在从一个国家飞往另一个国家的私人飞机上丢失了。>> 他发现损失是在 48 小时后。他突然意识到他没有这个驱动器，他的家族办公室开始全力运转，试图确定我们去哪里？我们是质问我们的飞行员还是我们的飞机？是有人在我下车时从我口袋里偷走了吗？>> 而且，显而易见的是，由于甚至不知道从哪里开始而产生的恐慌。在这个特定的案例中，结果是好的。原来他把它放在了内袋里，他不知道他把它放在了西装里。它被挂在他的衣柜里，一直很安全。但现在大多数家族办公室都有某种形式的加密货币敞口。而且，我认为特别是数字资产，它们似乎是如此有吸引力的目标。>> 嗯，如果你考虑加密货币，我的意思是，你，它被承认，你的唯一账户通常是一个 16 位数的代码。一个人很难记住一个 16 位数的代码。所以，他们会把它记录在某个地方。但他们记录的地方，他们是脆弱的。而且，你可能有不止一个加密货币账户。在这种情况下，记住三个 16 位数代码的可能性可能是不可能的。那么，你如何使其可用，以便在丢失时可以使用？>> 我认为这是一个真正的挑战，而且，你知道，因为一旦你失去对加密货币的控制，就很难了。它的好处是，当然，区块链留下了不可磨灭的标记，它去了哪里。嗯。>> 更难的是阻止它移动或找回它。>> 这并非不可能。有办法做到这一点。>> 但这是一个领域，首先，你必须像你描述的那样，迈克尔，你必须面对最初的恐慌。我刚刚损失了至少 6000 万英镑。>> 然后，我从哪里开始？对任何人来说，这都不是一项容易的任务。>> 有组织犯罪方面确实很有趣。它最终是企业。它们是创业的。它们正在寻求投资回报。它们的定位随着时间的推移而改变。所以，如果我回顾一下，它们会寻找大型组织，甚至金融服务业。>> 它们变得难以攻击。它们擅长安全。所以，它们开始改变其定位，进入供应链、服务提供商、小型公司。而且，我认为对于家族办公室来说，你面临着经典的挑战，即最终它们在某种意义上是小型企业，但在资产管理规模和潜在的剥削方面并非如此。所以，你可以看到其中一些，但其中一些仍然是无差别的，大规模扫描，寻找漏洞，弄清楚你现在在哪里，弄清楚如何利用它，然后弄清楚是否值得投入精力进行下一步。>> 是的。而且，你几乎可以看到那种犯罪模式在起作用。所以，我能想象一个家族办公室几乎是意外地被攻陷吗？是的。我能想象一个有组织犯罪集团说，“我现在在哪里？>> 哦，这看起来很有趣。上面有什么数据？我能做什么来影响声誉？我能做什么来影响值得信赖的联系人？我能做什么来影响家族成员？”你知道，而且很快，这就会让他们走上一条路，他们会说，“这值得利用。我能从中赚钱。我没想到，但值得我付出努力。”所以，我认为对我来说，挑战之一是场景。>> 这有点回到了伯纳德关于数字货币的观点。有时我真的很想知道对那个家族来说，最坏的情况是什么？你知道，什么数据，什么资产真正值得保护，以及我们需要做什么才能超越基本要求？而且，对于一些家族办公室来说，风险会很高。>> 所以，我们可能会遇到其他事情，比如内部威胁。我们可能会遇到跟踪监视，甚至国家对他们的活动。你知道，这显然会影响地理足迹和旅行。所以，对我来说，很多时候关注的是风险概况。它关注的是及早思考一些场景，然后考虑我们想走多远来采取保护措施。>> 是的。>> 以及如果发生什么事情的应对措施。>> 我想和你们两位一起深入探讨其中的两点。这一切都回到了风险的量级，即家族办公室如何理解为什么应该积极投资于网络安全，即使你还没有投资，并且遇到了问题，你无论是否愿意都必须投资。但有两个方面。一个是，如果你能给我一个关于人工智能军备竞赛的科幻与现实的看法，那就好了。我之前提到了人工智能生成的视频和声音以及深度伪造的概念。现在，>> 我们是否已经达到了一个水平，人工智能可以被用作增强攻击者力量的强大工具，同时也是同一风险量级的一部分？你刚才也稍微提到了。>> 我与许多代际家族合作，通常会发现每个家族都有同样的模式：祖父或父亲通常非常低调，不怎么分享，对安全意识不强，他们解决方案的一部分是保持低调。我们与需要的人做生意，但没有人知道我们是谁。>> 但他们的孩子，下一代，>> 可能会在网上分享一切。他们去的每个地方，他们乘坐的每辆车，他们度假的地点，他们的实时位置，他们交往的人。>> 我把这两件事放在一起的原因是，人工智能工具也可以扫描这些内容。>> 是的。>> 并快速识别漏洞。而且，>> 我把这两件事放在一起的另一个原因是，我总是发现能引起家族办公室共鸣的一件事。所以，你可能会和一位负责人谈话，他说，你知道吗，我接受一些风险。我接受一些声誉风险。我接受一些网络风险，因为我不愿意投资。>> 是的。>> 但你一旦开始谈论对他们孩子和下一代的风险，他们的想法就会立即改变。嗯。>> 你对此有什么看法？人工智能带来的量级变化，年轻的家族成员可能会分享，或者让我们直说吧，过度分享。>> 这对所有家庭来说都是一个真正的挑战，我认为。就像年轻人想分享东西一样，我不是说我不分享很多东西，但这就是人们交流的方式，当他们年轻一点的时候，不仅仅是年轻人。所以，我认为这是生活的一部分，我们都必须习惯。我想，如果你能预见到其中一些风险。所以，你知道，有时很明显那个人的位置，他们会说我在乐高，无论在哪里，但实际上并不是非常复杂的软件，可以根据图像识别出它在世界上的位置，仅仅通过拍摄一张图像。>> 现在人们并不总是意识到这一点，他们没有意识到这有多容易。这不是一个非常昂贵的东西，也不是一个非常技术性的。>> 你知道，困难的事情。>> 我的意思是，对于那些积极寻找机会从办公室没收东西的人来说，这几乎变成了操作情报。>> 实际上，其中一个地方是网络风险和物理风险的交叉点。>> 是的。所以，你知道，我们过去看到的一些事情是绑架孩子来要钱。>> 攻击人。所以，如果你提供很多关于你在哪里、何时在那里、在那里呆多久、和谁在一起的信息，如果有人要涉足这个领域，你实际上会暴露很多。虽然你必须决定你想如何生活，你知道，也许有人会说，“我将承担这个风险。”但同样，直到风险发生，因为风险是两件事的函数，不是吗？发生的可能性。>> 以及如果结果很糟糕，即使不频繁。>> 而且其中一些事情确实会以糟糕的方式结束。所以，最好是准备和减轻，而不是处理后果。而且，我认为如果你能帮助人们理解，嗯，对于一点点时间和一点点关心，你就可以减轻这种风险。她可能无法完全消除它。而且，为了解释这可能如何发生，如果一个年轻人转过来说，“但我就是想这样生活。”那么你们必须接受这个风险，我想。或者你们必须找到一种更好的相处方式。但至少进行对话非常重要，因为我认为，如果你在不了解你可能失去的东西的风险的情况下进入这个新世界，你以后可能会觉得有点愚蠢。但为了相对较小的金钱，相对较少的时间，或者对你的生活方式进行轻微的调整，你本可以避免它。>> 是的。>> 大卫，你是否遇到过信息不是被黑客攻击，而是被观察和组装起来，并且这是过程的开始的情况？>> 例行公事。是的。我的意思是，你知道，你称之为“生活模式”这个词。而且，我认为这里有一个不同的混合。我的意思是，如果你处理的是国家威胁，那么他们绝对会进行这种生活模式分析。所以，他们会看看，你知道，人们在哪里，他们和谁有联系，他们和谁有来往，时间，他们试图建立一个经典的足迹，这个人以某种方式做事。这不仅体现在网络定位方面，因为你可以根据他们的兴趣、他们的交往来量身定制钓鱼攻击。它也可以体现在商业电子邮件欺诈和 CEO 欺诈等事情上，因为你知道那个人在一段时间内无法联系，或者正在国外旅行。但更糟糕的是，正如伯纳德所暗示的，它也涉及到你知道他们可能在某个时间段内身处何处。当然，在极端情况下，存在绑架的维度，但有时在高威胁环境中也存在监视和跟踪的维度。所以，我认为你有时需要进行风险平衡。现在，这并不是说人们不应该在网上生活，因为这是今天的现实。但通常有一些明智的、务实的做法，可以使这种生活模式分析变得复杂。所以，你不是分享地理标记的图像，例如，说我在这里。>> 你可能在某个地方之后发布，而不是在你的时候发布。有一些这样的小事情。所以，我认为对我来说，关键是我们在网络威胁方面所做的一切，不仅仅是为了家族办公室，也为了家族。其中一些只是意识，表明这是针对高调人物所做的事情，他们通常有公众媒体形象。>> 这是我们需要考虑的。>> 我认为从这次讨论中非常清楚的一点是，也许还有另一个结构性弱点，我认为我们都可以同意家族办公室中存在这种弱点，而且我想听听你的看法，但>> 很明显，网络安全不是一个 IT 问题。是的。而且，我认为这是很多人普遍存在的根本误解。你能告诉我一些关于当它被当作 IT 问题依赖时会发生什么吗？感觉它会很快崩溃。>> 是的。是的。而且，你知道，不仅仅是家族办公室会陷入这种陷阱。我在大型企业中也见过。他们会说，你有首席信息安全官，他们负责 IT 系统安全。别管它了。一旦你这样做，你就把它与对组织、对家族真正重要的事情脱钩了。>> 你不再有业务背景，你也不关注意识问题，但你也不关注任何重大事件或可能发生的事件的管理以及相关的声誉和财务影响。它只是变成了，你知道，这是系统。我需要正确地打补丁。我需要进行漏洞管理。我需要设置一些防火墙，但这并不是实际情况。所以，对我来说，网络安全现在是一个更广泛的领域。>> 这是关于对你真正重要的东西。什么是真正令人担忧的资产？而且，通常又回到了你之前提到的那一点。这是关于信任。>> 是的。>> 以及你如何颠覆它，如何操纵它，以及如何利用它。这不仅仅是关于 IT 系统和打补丁。这很重要。你必须做好基本功。>> 但它比这更广泛。现在，所以我绝对同意你。它不仅仅是一个技术问题。>> 是的。>> 从反方向开始，但做好基本功。>> 我认为从这一点来看，非常清楚的是，我对网络安全应该坐在哪里有兴趣，但这里有太多的潜在学科。你可能面临着技术精湛的蓄意攻击。>> 你可能面临同样的情况，这是完全推测性的。它可能源于你自己的弱点。它甚至可能是你办公室里的人。>> 而且，很明显，永远不会有一个人能够处理所有这些风险。这几乎是不可能的。这>> 然后就指向了我的想法，即网络安全似乎不可能存在于家族办公室中。它几乎感觉如此专业化，它需要成为一个第三方顾问来提供建议。这就引出了我真正的问题，那就是>> 如果我是一个正在观看此视频的家族办公室，或者我是一个富裕家族或商业家族，>> 首先，在风险量级方面，我应该考虑什么？但特别是，>> 一个好的顾问是什么样的？让我们稍微退一步。>> 我要强调你只需要做好一件事。是的。所以，你只需要做好的是基本的网络卫生。好的。那是保护。>> 是的。太好了。>> 而且，有时这意味着你最终会使用一个好的托管 IT 服务提供商或安全服务提供商，因为他们可以进行伯纳德提到的检测和监控，以及帮助你正确配置你的资产。好的，那是技术部分。然后稍微退一步。所以，最终，正如你自己所说，网络安全不仅仅是技术，而是关于说你的家族办公室现在生活在数字世界里，好的？这意味着你的顾问正在就运营这个数字世界的场景和风险提供建议，以及你需要做什么来提高意识，进行教育，开始为可能的场景或后果做准备，然后做那个关键的事情，即建立你的响应结构，并建立伯纳德谈到的那些值得信赖的关系。而且，正如你可能猜到的，这不是一个孤立的领域。>> 是的。>> 这是关于真正重要的资产是什么？你真正担心的是哪些类型的风险场景？以及你如何定位来处理它们？不是在它们发生时，而是越来越多地在它们发生时。是的。>> 很多都在恢复中。它在事件和危机响应领域。所以，一个好的网络顾问不仅会为你连接能够帮助你进行技术安全以及检测和监控的人，而且他们会退一步说，“对家族和家族办公室来说，真正重要的是什么？我们如何让你意识到这一点？我们如何帮助你定位和为你做准备？我们如何让你演练？以及我们如何帮助你在我看来，在最坏的情况下做出反应？”>> 是的。伯纳德，你认为拥有一个像你这样经验丰富的人有多重要？你知道，你领导了一个庞大的警察组织，它非常注重人。我知道也有很大的技术因素，但根本上，技术链的末端通常是人。>> 你认为拥有一个既理解技术、科技，但根本上又理解人的网络安全顾问有多重要？而且，我想象一下，人的失败是最容易纠正的，而不是技术。>> 我鼓励人们从一开始就考虑两件事。在我看来，在处理任何类似网络安全或一般安全的问题时，你可以假设它不会发生，或者你可以假设它会发生。我的建议是，对于网络安全，假设它会发生。>> 是的。>> 而且他们会通过。而如果你认为相反，那么你可能不会像你可能那样认真对待。所以，我会假设它会发生。>> 是的。>> 如果发生了，那就太好了。但让我们假设它会发生。我认为在我们短暂的讨论中，第二个词“信任”出现了很多。>> 是的。>> 你需要能够信任你合作的人。如果你是一个小型组织，你信任你身边的人。你必须，我认为，在事情发生的当天突然招聘一个人，你可能会发现你无法快速建立信任关系。所以，我认为在我看来，在建立这种关系时，第一件事是进行某种评估。你知道，你在哪里？你知道，你有差距吗？你有漏洞吗？有没有你可能想知道但还不知道的事情？所以，弄清楚这个列表是什么。>> 对我来说，这是一种咨询。>> 我见过的最糟糕的咨询是他们给你一份要做的事情清单，然后就抛弃你，或者不完全抛弃你，而是>> 让你带着你已经有的问题离开，但没有更多的专业知识，现在有一长串让你担心的事情。有很多咨询公司想卖给你战略而没有执行。所以，你知道，我发现当你能与某人一起工作时，这真的很有帮助。你指出某件事，他们说，“嗯，我们做不到，但我们可以做 B，或者我们可以用一种稍微不同的方式做。”但是的，我明白了。然后你们一起工作。>> 而这一切都是为了准备好它不会发生。>> 是的。>> 但让我们假设它发生了。你们什么时候坐下来一起努力解决？我认为，拥有一个理解你正在经历的事情的人，在人类层面和操作层面都很重要。所以，如果你能让一个能够与人交谈并让他们尽可能多地分享东西的人加入进来，如果他们真的脆弱，也就是说他们做了恶意的事情，那可能不会有帮助。但让我们假设这是正常的行为，事情没有按你希望的那样发展。你们如何一起处理这个问题，以及你们如何帮助彼此度过危机。>> 而且，另一件事是我们有时可以预料到这些事情会持续很长时间。我们知道人类的疲惫。你知道，如果这持续数周，你每天工作 18 小时，你会感到疲倦。我过去也经历过。嗯。>> 他们不想做太久。所以，我认为我们的背景表明的一件事是我们有副手。>> 是的。>> 现在，一个商业实体会说，实际上这是浪费钱。我有一个副手。如果你每天工作 24 小时，一年 365 天，你需要这种系统内的韧性，但这是一笔费用。但通常这些组织没有。以及你们如何一起工作来监测这种疲惫，然后尝试，你知道，采取措施。所以，我想我所描述的更像是一种关系而非合同。>> 是的。是的。>> 而那是建立在信任基础上的。>> 我想让大卫把它带回到家庭方面，因为这确实引出了一个问题，那就是>> 谁是家族办公室中做出网络安全投资的正确决策者？而且，如果>> 如果一个办公室被攻陷，或者一个家庭被攻陷，是因为让我们称之为战略漏洞，这可能是他们个人关系方面的事情。>> 对于负责人来说，向他们每天一起工作的人披露信息是一个很高的门槛。嗯。>> 这是否意味着网络安全应该是由家族负责人直接参与的事情，因为它如此重要，关系到他们的风险敞口，并且在许多情况下可能高度个人化？>> 我认为最终的答案是肯定的。>> 这里几乎有两个稍微不同的部分。有网络攻击的财务后果，在一方面，实际上，对于许多家族办公室来说，这听起来很糟糕，它们可能是可管理的，就好像，是的，在最坏的情况下，我们将进入勒索软件、有组织犯罪的混乱领域，甚至谈判，这是一个非常专业的领域，但更难修复的是声誉。>> 因为最终，可能有一些家族秘密，当然，一些关于保护你的家人和保守某些方面隐私的方面，这并不容易修复，而且其后果是家庭后果。它们不是家族办公室的后果。>> 是的。>> 所以，最终，你知道，负责人至少需要参与思考其中一些场景以及真正重要的东西，以及也许家族将如何应对。我认为这与，是的，好的，我们有一个事件，我们可以在家族办公室层面管理，因为它没有更广泛的后果，这有点不同。>> 所以，我认为对我来说，这又回到了思考一些场景，思考后果，而且现在不仅仅是财务方面，还会有敲诈，会有勒索，可能会有数据泄露和公之于众的后果。>> 感觉原则上，特别是理解我们谈论的格局也很重要。绝对。>> 我发现，再次，在我的领域，它非常关注声誉，对于这些类型的家庭来说，>> 越来越多地，>> 我们看到原则和家庭受到诉讼的困扰，>> 这些诉讼通常是毫无根据的，几乎到了烦人的地步。>> 我会和律师坐在一起，律师会说，别担心，没有法律依据，这不会有什么结果。>> 我不得不提醒那位律师，他们不是在寻求法律结果，他们是在试图利用声誉损害作为一种手段，迫使一个他们认为会支付的家庭达成和解，而不是冒着声誉风险。我认为，在网络方面，你可能还有其他方希望获取信息来支持这种活动。这一切都联系在一起，但我认为家族有时没有意识到。>> 这些关键趋势的变化速度有多快。>> 我想花点时间，稍微换个话题，因为我们是关于。>> 我们已经通过风险量级和损失预防的框架讨论了很多网络安全。>> 我认为也许最重要的是要完成的是网络安全作为一种赋能者。>> 告诉我网络安全如何赋能，而不仅仅是避免风险和减少损失。这取决于你如何开始讨论。所以，而且，这很有趣，在过去几年里，它也改变了很多组织。所以，你是对的。在过去，人们倾向于将安全纯粹视为风险缓解或管理活动。嗯，实际上也许是风险管理。>> 所以，安全方面的挑战是如何使其不显眼。所以，如果你做得对，那么它对负责人、家族、家族办公室的功能影响就很小，这意味着你非常关注如何让他们轻松地做他们想做的事情，但实际上在这样做的同时管理相关的风险。所以，无论是安全的通信，还是保护位置上的信息，还是能够非常快速地发现任何潜在威胁并加以应对，或者在最坏的情况下做好应对准备。所以，对我来说，很多事情会从反方向开始，也就是说，你知道，我真正应该关注的是如何保护。>> 这个组织得当，但我希望以一种仍然让他们轻松旅行、交往、开展业务的方式来做到这一点。带着这种心态开始，比这更积极。所以，它成为一种赋能者，因为我不是阻止你做你想做的事情，我是在寻找方法来帮助你仍然保持合理的安全并维持那些值得信赖的关系。所以，对我来说，这就是挑战。所以，安全以一种不显眼的方式，实际上允许家族正常运作。这就是挑战。>> 而且，我认为有一件事可以补充大卫刚才所说的，那就是在我看来，负责人可能需要或办公室负责人需要一系列问题来检查他们认为已经到位的东西是否真的到位，我认为像我们这样的人可以提出其中一些问题。所以，我的一个问题可能是。>> 无论是 IT 还是其他任何东西。如果我在世界上的某个地方，比如奥地利，并且发生了这些事情之一，我们要告诉谁？>> 我们要告诉奥地利人吗？>> 我们要告诉美国人吗？如果我是美国人，或者。>> 而且，顺便说一句，不仅仅是我说的谁，我的意思是，不是在哪里。>> 是的。>> 你会联系哪个组织？谁会提供支持？而且，在一些人的情况下，出于我们谈论国家行为者威胁的原因。>> 也许他们会与各国的安全部门交谈。>> 是的。>> 你不能只是走进门。你不能轻易地拿起电话或发送电子邮件。嗯，你可以，但它可能不是你想要的。如果你是一个受人尊敬的负责人。>> 你需要某种途径。你可能不想走进当地的警察局。而且，你可能需要解释一个复杂的故事。所以，这不是为了争论专业护理并优先于其他人，而是需要考虑你安排的复杂性，这可能涉及国际事务。>> 而且，这可能需要很快地进行解释，以一种你希望看到国际响应的方式。>> 以及你如何在你发生之前向自己保证所有这些都已到位，我认为任何负责人都可以问这个问题，他们会判断他们是否得到了保证，他们不需要专家来告诉他们。>> 但如果答案听起来含糊不清，我们会去看看，那可能是一项需要尽快完成的工作。>> 大卫，如果你现在有一个家族办公室负责人正在观看这个视频，>> 他们应该采取的下一步行动是什么？我认为他们应该采取的下一步行动是，除了意识到他们确实需要一些专业建议，因为有一个残酷的现实是，家族办公室和支持结构可能没有专业知识、联系、关系，正如伯纳德所清楚说明的那样。所以，请寻找专业的支持和建议。>> 而且，它将触及我们谈论的一些领域，当然是如何保护你当前的资产和系统，但更多是如何思考潜在的场景和响应，以及你如何为它们做准备。而且，做好这一部分，这不仅需要家族办公室，有时还需要家族的参与。我认为对我来说，这是关键的一步。>> 太棒了，先生们。感谢你们的加入。>> 谢谢。我来了。