可恢复性公告第2号
网络安全事件的真正代价是停机时间，而非赎金
如果在董事会会议室里打听一下网络安全事件会造成多少损失，你听到的往往是赎金、律师费、取证公司费用以及通知费用。但承担这些费用的保险公司比任何人都更详细地记录了相关数据，而这些数据指向了另一个方面：
网络安全事件造成的成本大部分来自停机时间，即企业无法以正常标准运营的那些天和那些周。
这一发现源自Fenix24《2026年可恢复性状况报告》中的索赔分析，它应会改变安全负责人对支出问题的思考方式。在网络安全索赔的所有成本中，停机时间是唯一一种在攻击者入侵后仍可降低的成本。索赔数据从两个方面都证明了这一点。
那些付账的人也同意
对于网络安全事件的真实成本，最可靠的见证者之一就是承保这些事件的保险公司，而它们的理赔数据已得出一个共同结论。 在全世界最大的独立理赔数据集中，业务中断是主要的损失组成部分，其金额超过了赎金支付、取证费用、法律费用和通知成本的总和。安联商业保险（Allianz Commercial）的2025年分析显示，业务中断占大型网络保险理赔金额的50%以上。慕尼黑再保险（Munich Re）根据其自有数据集分析，将其列为勒索软件成本构成中的51%。两家保险公司，两组数据集，却得出了相同的结论。
NetDiligence的一项五年理赔研究显示了这一比例对总金额的影响。包含业务中断部分的理赔，其平均成本比不包含该部分的理赔高出650%，而在包含业务中断部分的中小企业理赔中，81%是由勒索软件造成的。 这些索赔中的平均数据反映了市场两端的情况。对于中小企业而言，在180万美元的总事件成本中，业务中断平均占120万美元，危机应对服务费用为29.7万美元。对于大型企业，在3610万美元的总成本中，业务中断平均占2600万美元，而危机应对服务费用为350万美元。无论规模大小，业务中断这一项的金额都是索赔中其他所有项目总和的数倍。
唯一一项仍然是可变成本的费用
这些数字之所以对安全负责人很重要，原因不仅在于其数额大小。业务中断与其他任何损失因素的表现都不同。
一旦发生事件，取证、法律和通知方面的成本大致是固定的。调查人员按其标准收费，律师按其费用计费，通知信件则会发送给所有受影响的人员。组织在事件发生第一天之后采取的任何措施，都难以显著改变这些成本。而业务中断方面的成本则不同。 这是一项可变成本，其追踪的变量是恢复速度。安联集团的理赔分析师指出，业务中断损失与响应质量及业务连续性执行情况直接相关。优柔寡断和协调不力会延长这些损失。
试着像首席财务官那样来理解这句话。 其他所有安全措施的结果都是概率性的。你投入预防成本，不良事件发生的概率会降低，但降低的幅度无人能验证。而恢复能力则能带来确定性的回报。如果业务能在40小时内恢复，而不是三周，这种差异是可量化的，且直接体现在索赔金额的最大项目上。预先购买的每一小时恢复时间，都意味着一笔永远不会产生的索赔金额。没有任何其他安全投资能与损失表上的最大数字建立如此直接的关系。
这也是为什么“我们买了网络保险”并不能一劳永逸地解决问题。保险公司根据赔付金额来定价。能够提供简明且有据可查的恢复时间表的组织，其理赔风险远低于无法提供此类信息的组织。保单只是转移了损失，并不能减少损失。只有恢复速度才能真正降低损失。
您预算文件中的数字有误
大多数安全预算申请都援引了已报告的勒索软件损失数据，但发布这些数据的机构却建议不要这样做。2025年，联邦调查局（FBI）的IC3中心共收到3,600起勒索软件投诉，报告的损失金额为3,200万美元。该机构自身的方法论指出，这一总数通常不包括业务损失、时间损失、工资损失、文件损失、设备损失以及第三方修复费用。此外，该统计仅包含受害者向联邦调查局报告的事件。
Cyentia研究所对所有受影响案例（含运营成本）进行估算后，将2023年勒索软件造成的年度损失定为约950亿美元。这两个数字衡量的对象不同，这正是问题所在。那个引人注目的数字刻意排除了某些类别，而索赔数据恰恰显示，正是这些停机成本占据了损失总额的大头。 基于报告损失制定的预算方案遗漏了最大的支出项目，而当董事会听到“全国范围内的勒索软件损失达3200万美元”这一说法时，他们得到的恰恰是削减开支而非增加支出的理由。
网络风险应以运营中断的小数小时为单位来衡量，而非以泄露的记录数量为单位。理赔数据实际上已经采用了这种衡量方式。
一小时的费用是多少，以及如何查询
用小时来衡量业务中断时间听起来很简单，但当你试图计算具体数值时就会发现并不容易，因为“企业”本身并没有小时费率。而商业服务则有，且差异极大。电子商务平台每停运一小时，都会产生相应的收入损失。薪资系统每停运一小时，在周二的成本微乎其微，但在周五（即发薪日）的成本却会大幅增加。制造执行系统每停运一小时，工厂就会处于停工状态，而无论系统是否运行，人工成本和违约金都会持续累积。
风险暴露计算分为三个步骤，而这些工作是大多数组织尚未做过的。首先，列出环境宕机时会停止运行的业务服务，应按服务逐一列出，而非按服务器逐台列出。其次，为每项服务估算每小时的损失金额，该金额应综合考虑收入损失、闲置人力成本、SLA违约金以及流失的客户等因素。 第三，这也是将估算与实证区分开来的关键步骤：根据经过实际测试的结果（而非计划中设定的目标），确定每项服务恢复所需的小时数。
那个第三个数字是几乎没有人掌握的。在Fenix24承接的项目中，记录在案的恢复时间目标通常承诺为24至48小时。在800多家客户中，仅有4家在部分业务运营方面接近这一目标。将实际的小时成本乘以承诺时间线与实际时间线之间的差距，就能得出真正的风险敞口。对于大多数组织而言，这是风险登记册中最大的未被审视的数字。
在需要之前提前几个小时购买
如果预先购买的每小时恢复时间都是永远无法累积的索赔价值，那么实际的问题在于：这些时间究竟从何而来？从500多起勒索软件事件的恢复经验来看，答案非常明确。这些时间早在攻击者出现之前就已因某些状况而流失。 由于缺乏现成的依赖关系图，团队只能在事件发生期间临时重建应用程序的依赖关系。那些显示备份成功的记录，最终却无法实际恢复数据。恢复后的数据无处存放，因为没有人预先为完整环境的恢复配置存储空间。决策陷入停滞，因为没有人事先商定，凌晨3点由谁来决定恢复的优先顺序。
在和平时期，这些问题都是可以量化且可解决的，而且每一项都能直接转化为小时数。正是这些索赔数据，使得预算讨论成为可能。安全负责人无需再请求董事会为防范某种概率性风险提供资金，而是可以为每一项关键业务服务的每小时停机时间标出价格，展示承诺恢复时间与实际恢复时间之间的差距，并将恢复投资呈现为缩小这一差距的举措。 这是一种罕见的、首席财务官（CFO）能够像评估其他任何资本决策一样进行评估的安全提案，因为这次，回报与损失的计量单位终于一致了。
获取完整报告
《2026年可恢复性状况报告》完全围绕着当前每个董事会都在探讨的问题展开：系统实际停机时间会有多长？该报告整合了来自安联、慕尼黑再保险和埃森哲等领先机构的理赔数据、监管分析及高管调查结果，并将其与Fenix24在500多起真实勒索软件恢复案例中观察到的实际情况进行比对验证。 没有任何其他报告能像本报告这样，将行业分析与来自全球恢复案例数量最多的团队所收集的实地数据相结合。这正是组织宣称的韧性与其实际在系统崩溃时表现之间的差距所在。
