向网络犯罪分子支付赎金的禁令正逐步成为法律

多年来，英国的勒索软件谈判一直在闭门状态下悄然进行，各组织在权衡支付赎金的成本与停机、数据丢失或公开曝光所带来的代价之间挣扎。这种算计即将改变。英国政府一直在推进一项有针对性的勒索软件赎金支付禁令提案，该禁令将完全禁止公共部门机构（包括地方政府）以及关键国家基础设施（CNI）的所有者和运营者向网络犯罪分子支付赎金。

该禁令将广泛适用于整个公共部门以及被归类为CNI的13个行业，其中包括卫生、能源、金融、交通、通信和国防。对于不在这一范围内的组织而言，情况有所不同但仍值得关注：正在考虑支付赎金的私营企业将被要求在支付前通知政府，从而使当局能够了解这一历来被低报的问题。

这并非假设性的演练。它代表着英国网络安全政策多年来最重大的转变之一，并且给公共机构和基础设施运营者带来了切实的压力，迫使他们重新思考如何预防和从勒索软件事件中恢复，而不仅仅是在攻击已经发生后如何应对勒索要求。

为什么这从根本上是一个隐私与数据保护问题

赎金支付禁令通常被纯粹框定为打击犯罪的策略，其逻辑是切断支付渠道可以消除攻击者以英国机构为目标的财务动机。但在这一框架之下，隐藏着一个更棘手的隐私问题：当支付的选择被移除后，公民和患者的数据会怎样？

当一家医院信托机构、地方议会或基础设施运营者遭到勒索软件攻击并拒绝（或现在被法律禁止）支付时，攻击者往往会转而威胁泄露窃取的数据。这些数据可能包括健康记录、福利信息、学校记录或与基本服务相关的个人详细信息。一旦这些数据被窃取外泄，任何政策变化都无法挽回已造成的暴露。赎金支付禁令并不会减少犯罪分子在加密前窃取的个人数据量；它只是移除了防止数据泄露的一条可能途径。

这正是该禁令与数据保护义务直接交汇之处。公共部门机构和CNI运营者本已负有有关违规通知和保护个人数据的义务。赎金支付禁令提高了前端的风险：既然支付不再是让泄露威胁消失的选项，各组织就需要具备无懈可击的预防、检测和恢复能力，以避免走到那一步。实际上，该政策将负担从危机谈判转向主动韧性建设，而这恰恰是隐私保护本应一直关注的重点。

公共部门和CNI组织在法律生效前应该做什么

范围内的组织不应等到立法最终确定后才采取行动。以下几个实际步骤值得现在优先考虑：

  • 在真实条件下测试备份和恢复流程。 赎金支付禁令只有在不支付赎金的情况下恢复确实可行时才有效。备份需要与主网络隔离，定期测试，并且足够快，以便在可接受的时间范围内恢复关键服务。
  • 绘制数据流并分类敏感记录。 确切了解个人或敏感数据位于何处以及如何受到保护，对于泄露响应和禁令生效后的法规合规都至关重要。
  • 更新事件响应计划以反映不支付赎金的现实。 围绕支付仍是一种选择这一假设编写的行动手册，需要围绕遏制、沟通和在无赎金后备方案下的恢复来重写。
  • 审查供应商和第三方访问权限。 许多勒索软件事件源于供应商或供应链平台，而非直接攻击。瑞士制造商Stadler在攻击者通过供应商平台入侵技术数据后拒绝支付赎金，是一个有用的现实案例，说明即使组织自身的系统是安全的，第三方暴露也可能引发重大事件。
  • 尽早与网络保险提供商接触。 那些假设赎金支付属于承保恢复选项的保单将需要重新审视。

这对你意味着什么

如果你依赖公共服务，无论是NHS、地方议会服务，还是被归类为CNI的公用事业，这一政策转变将影响你的数据在攻击期间如何受到保护，而不仅仅是某个组织是否向犯罪分子支付赎金。赎金支付禁令并不能保证你的数据不会被窃取，但它确实会推动公共机构加强预防，并实现更快、更透明的恢复，因为悄悄付钱了事不再是一个选项。随着报告要求与禁令同步收紧，预计这些行业的事件将会有更多公开披露。

关键要点

英国勒索软件赎金支付禁令标志着一种刻意的转变，即不再将赎金支付视为公共机构和关键基础设施可接受的最后手段。对于范围内的组织而言，现在的优先事项是韧性：经过测试的备份、已映射的数据资产、更新的 incident response 计划，以及经过审查的供应商关系。对于其他所有人而言，该禁令是一个信号，表明围绕影响基本服务的勒索软件事件的透明度和问责即将增强。随着该立法逐步成为法律，了解你所在的地方当局、医疗保健提供商或公用事业公司如何应对这些要求，是一个合理且值得采取的步骤。