英国公共部门正迎来网络弹性（Cyber Resilience）的关键转折点。随着新任总理就任并宣布对政府机构进行重大调整，包括撤销曾作为政府数字、技术及网络政策核心的 DSIT 部门，其职能已重新分配至惠特霍尔的其他部分。这一变革为公共部门领导者带来了全新的政策与交付格局。
长期以来，网络安全被视为一项专业的运营学科，但这种模式已难以为继。在政策层面，董事会及高级领导人的责任期望不断提高；在组织层面，改革正在重塑服务、系统及供应商的连接方式；在技术层面，云计算、混合办公以及人工智能的普及扩大了机会的同时也增加了风险敞口。这些因素共同推动网络弹性成为必须提升至董事会级别的议题。
从医疗保健、福利到交通、教育、地方政府及应急响应，公共服务领域的网络中断不仅威胁公众信任与安全，更危及政府自身的连续性。2024 年针对 Synnovis 的勒索软件攻击便是典型案例。Synnovis 为 NHS 部分部门提供病理学服务，此次攻击严重削弱了血液、尿液及样本测试的处理能力，导致伦敦东南部出现混乱，超过 11,000 例门诊和选择性手术预约被迫延迟。此类事件将抽象的网络风险转化为现实的服务中断，表明网络弹性已不再是单纯的技术愿景，而是由政策、组织和技术变革共同塑造的领导层义务。
政策驱动：网络弹性成为领导层硬性指标
英国政府及国家网络安全中心（NCSC）的指导方针十分明确。网络弹性承诺要求组织将网络安全确立为董事会级别的责任，参与 NCSC 早期预警计划，并在供应链中实施基于风险的网络必需品方法。美国国家安全委员会发布的《网络治理行为准则》同样强调，网络风险应像其他重大组织风险一样进行管理。此外，《网络安全和弹性法案》将进一步扩大对基本服务和数字服务的监管范围，强化事件报告机制，并将更多关键供应商纳入合规体系。
这一趋势的背景是英国面临的网络威胁规模与影响急剧上升。截至 2025 年 9 月，国家安全委员会已处理 204 起国家重大网络事件，这意味着英国平均每周经历四次重大网络攻击。因此，董事会的关注点应从“是否投入安全工具”转向更具实质性的问题：当系统承压、供应商被入侵、数据访问中断或攻击者已进入网络时，组织如何应对？
组织变革：重组过程中潜藏的安全缺口
组织结构的变动是另一股重要力量。英格兰的地方政府重组正在改变整个区域的结构与责任归属；铁路重新国有化及其他公共所有权转变，则影响了关键数据和系统的所有权、管理及保护主体。在新总理领导下，各部门优先事项及交付模式不断演变，数字化转型、公共部门 AI 采用、信息弹性和在线伤害防治等职能在不同部门及中央结构间迁移。
每一次过渡都可能产生潜在漏洞。系统整合需求增加，身份与访问权限需重新评估，数据需在团队、机构和供应商之间转移，合同与责任定义亦需更新。在变革时期，攻击面往往扩大，而责任边界却变得模糊。因此，网络弹性必须从一开始就融入公共部门改革规划。核心挑战不仅在于如何高效重组服务，更在于确保公民在过渡期间仍能安全获取这些服务。缺乏弹性的重组将对公众构成直接风险。
技术演进：混合环境下的持续验证需求
技术环境的快速变化构成了第三股驱动力。当前公共部门工作跨越混合环境、共享服务、云平台、合作生态系统及复杂供应链。传统安全模型建立在固定办公室、可预测网络、已知用户及清晰组织边界的假设之上，而这一前提已不复存在。
人工智能的广泛应用加剧了这一紧迫性。AI 已被用于提升生产力、分析信息及优化服务交付，但若缺乏治理，组织可能迅速遗忘哪些工具在使用、哪些数据可访问以及敏感信息是否泄露。“影子 AI”并非未来风险，而是当下的治理挑战。在此环境下，仅凭用户在可信网络上即授予访问权限的传统做法已不再适用。每个请求都应基于身份、上下文、设备状态和风险进行验证。遵循最小权限原则，应用应避免不必要的暴露，数据需进行细分，以防单一领域的妥协在整个组织中扩散。
行动指南：公共部门董事会的应对策略
将网络弹性列为董事会优先事项，并不意味着每位董事都需具备技术专家背景，而是要求高层领导建立正确的治理框架、证据链及问责机制。首先，应将网络弹性设为常设委员会议程项目，并与服务连续性、公民信任、监管风险及改革交付直接挂钩。其次，董事会需深入理解关键服务依赖的系统、供应商和数据集，识别单点故障，并评估生态系统局部中断对公民获取基本服务能力的影响。
供应链保证也必须纳入讨论范畴。鉴于公共服务通过生态系统交付，恢复力不能局限于单一部门、理事会、机构或信托内部。网络必需品标准、供应商审查、合同义务及明确的事件报告期望应嵌入采购与合同管理流程。同时，公共机构需从基于网络或地点的隐性信任，转向基于身份、环境、设备状态和风险的持续验证。用户应仅在需要时获得所需权限，且 AI 的采用应在扩展前受到严格监管。
结语：韧性是领导力试金石
英国的政策环境、公共部门组织结构及技术发展速度均发生了深刻变化。唯有在公共服务的管理、转型和交付方式中内建网络弹性，方能应对这种复杂性。公共部门不能等到立法收紧、改革完成或 AI 加速普及后才将弹性视为改进项，它必须从一开始就被设计出来，在领导层进行度量，并经过持续测试。
网络弹性不仅是保护系统，更是在政策、组织和技术同步变革时，保障公众依赖政府的能力。这使其成为董事会一级的战略优先事项。
