技术文化对网络韧性的塑造

《Safety Science》：The techno-cultural shaping of cyber resilience

　　摘要：网络安全漏洞可能危及工业场所人员的安全，引发重大事故，并影响整个社会的安全。信息技术与操作技术（即工业控制系统）相结合的网络安全至关重要。挪威的石油天然气行业正是安全与安保问题、信息技术与操作技术实践之间界限模糊的典型领域。虽然以风险为导向提升系统的稳健性与恢复能力是重要举措，但面对诸多挑战，还需采取多元化的韧性策略，包括具备应对复杂情况与意外状况的适应能力。信息技术与操作技术各自代表着特定的技术文化偏好，这些偏好会超越其所在组织的文化范畴，而两者的结合则有助于化解其中的矛盾。本研究旨在深入理解信息技术与操作技术领域从业者所处的文化立场，以及这些立场如何影响二者共同实现网络韧性的可能性。研究结果表明，通过分析信息技术与操作技术的自我描述、相互期望及界限划分，我们能够识别出潜在的问题点、僵化状态，以及促进文化交流与发展的机遇与条件。这有助于我们从文化角度理解并塑造信息技术与操作技术共同具备的网络韧性，从而兼顾安全与安保需求。研究结果为管理层构建网络韧性文化指明了新方向。要实现真正的网络韧性，就必须注重在事件发生前的关系构建与响应能力建设，而非仅仅依赖针对网络事件的传统防范措施。

引言：对于那些关键基础设施以及具有高风险潜力的行业而言，网络安全的重要性日益凸显。这一“工业战场”的概念并非新出现，但随着地缘政治紧张局势的加剧，尤其是混合威胁的增多，这一认知愈发重要。网络安全缺失或遭到破坏可能带来严重后果，其严重程度不亚于传统安全管理试图预防的因技术故障或意外使用信息物理系统所导致的意外事故。对于关键行业和基础设施而言，网络安全问题的潜在影响极为巨大。信息技术领域的安全漏洞，尤其是操作技术领域的安全问题，可能对关键基础设施造成大规模影响，进而引发重大事故。此外，其影响范围还远远超出组织、企业及机构的边界。Bochman和Freeman（2021）为美国描绘了一幅严峻的图景，这一情景在其他工业化国家同样不容忽视：“从国家安全的角度来看，令人担忧的不仅是军事、经济或国家关键功能所受到的损害，还有长期区域停电、交通中断、水供应与废水处理问题等可能带来的破坏文明的第二级和第三级连锁反应。”挪威能源领域的专项应急团队kraftCERT/infraCERT（2024）警告称，威胁行为体将持续提升发动破坏性攻击的能力，尽管目前最有可能出现的仍是干扰正常运行的攻击。因此，网络安全事件不仅可能危及现场作业人员的安全，还会对社会整体造成影响——例如能源供应中断。对于众多关键行业、基础设施和领域而言，都需要从安全与安保相结合的角度来应对网络风险。这一点尤其适用于挪威石油工业中的部分主体，根据挪威《国家安全法》，他们肩负着将能源从挪威输送到欧洲的重任，这被视为重要的国家利益（挪威国家安全局，2023）。无论出于何种原因，石油或天然气（能源）的生产或输送中断都属于必须避免的“事故”。在这种兼具安全与安保特征的背景下，信息物理系统，即操作技术，显得尤为重要。工业实践将操作技术与通用信息技术相融合，但在这一过程中，不仅要考虑两者在技术上的本质差异，还要充分考虑其在运营层面和文化层面的显著区别（Ginter，2023；Hahn，2016）。因此，对信息技术与操作技术整合进行恰当的安全与安保分析，需要采用社会技术学的视角。同样，基于在英国探索实施欧盟《网络与信息系统安全指令》作为通过创新风险管理实践实现安全与安保整合的第一步的经验，Michalec等人（2022）呼吁“更好地理解技术的形成过程、标准化流程以及工程知识，以此构建安全可靠的关键基础设施”。由此可见，要在安全与安保的背景下理解信息技术与操作技术的整合，就需要运用远超单纯技术手段的分析方法。从安全与安保的角度来看，这种整合处于一个边界模糊的“灰色地带”，其中恶意行为、技术故障以及错误使用（即随机、无意的错误或故意的行为）之间的界限并不清晰。针对每一起事件，或许都需要采取独特的分析方法，而且信息技术实践、操作技术实践、安全实践与安保实践之间往往相互交织。这些复杂的关联需要从整体上加以理解。因此，我们分析这些相互交织的实践时，将其视为一个“网络”——即由各种理论或关联构成的相互联系的群体或系列。在这一网络中，信息技术与操作技术从业者所处的文化立场虽被视为相对稳定，但并非一成不变。在信息技术与操作技术整合的过程中，相关从业者会带着各自的假设与偏见。有些假设源自经验与传统，而另一些则源于监管要求、组织架构、管理方式或科学依据。不同行业普遍存在的风险管理思维模式，都是为了应对各种可能的情景，从而提升分析能力以及防护措施和响应能力的稳健性。然而，正如Michalec等人（2022）所指出的，尽管这些实践属于操作技术的传统范畴，但“风险管理实践无法直接从安全领域移植到信息技术领域”（第1页）。尽管如此，人们仍然普遍认为，基于风险的准备措施也能提升应对意外事件、状况及组合情况的能力（例如Cooper，2022；Power，2004；美国能源部，2021）。然而，过度依赖预先防范的能力存在诸多局限，早在信息技术与操作技术整合面临复杂挑战之前，就已有学者提出相应的警示。Wildavsky（1988）认为，我们需要以韧性作为对过度追求预测行为的智力与工具性补充（de Bruijne等人，2010）。Weick和Sutcliffe（2015）指出，应对意外情况需要不同于预测的不同思维方式。Woods（2015）则认为，仅依靠基于预测的强化措施，会在遭遇意外时带来严重的脆弱性，甚至可能阻碍有效的应对行动。对于关键基础设施而言，Woods和Alderson（2021）指出，由于系统极其复杂，传统的建模与仿真方法难以准确预测未来行为，再加上新挑战不断涌现，这类方法存在战略敏捷性缺口。为弥补这一缺口，他们认为需要具备适应能力，从而实现更动态、更具前瞻性的预测与建模，以便在面对意外事件时能够迅速做出有效应对，同时克服单纯强化措施所带来的固有脆弱性。Power（2014）将制度化的风险管理过程视为一种复杂且具有特定背景的风险管理机制，他观察到，由于传统预测方法的成效不尽如人意，人们逐渐从预测逻辑转向韧性逻辑。相应地，在过去十年中，“韧性”这一概念受到了广泛关注和推崇，但也因此出现了多种不同的含义。遗憾的是，其中很少有研究考虑到上述种种局限性。在关于关键基础设施韧性的众多研究中，也存在类似的问题——例如，许多研究致力于寻找与现有风险管理实践相兼容的评估技术、指标和方法（R?d，2020）。在这些研究中，与现有风险管理实践的向后兼容性似乎比韧性的实质内容更为重要。韧性概念中的一个常见象征——反弹曲线，实际上是风险管理概念的延伸版本，但它也被视为“一种不完善的韧性模型”，其“过度简化的说法会强化对韧性的错误理解，这类误解不仅无助于理解复杂系统，还可能对决策制定带来危险”（Eisenberg等人，2025，第1页）。“网络韧性”这一术语同样具有多重含义且模糊不清（Dupont等人，2023），它包含了各种不同的传统观念、假设以及实际利益诉求。为明确各种概念之间的区别，Gr?tan等人（2022）提出了一种分析框架，用于区分不同的网络韧性理论。他们提出的“韧性ABC”分类法涵盖了三种关于（网络）韧性的理论框架。这三种理论的各自理论基础、所对应的文化背景以及它们所涉及的矛盾关系都在图1中进行了梳理。理论A和理论B都基于社会技术系统这一视角，即这类系统虽然存在缺陷，但可以根据既定的目标进行设计和管理。具体来说，就是通过提升系统的稳健性，以及在稳健性不足时具备恢复功能的能力，来实现韧性。因此，“韧性”是通过支撑和维持某种重要功能而间接体现的。而理论A仅局限于严格的技术手段，这些技术手段嵌入在相应的功能之中；相比之下，理论B则采用了完整的HTO视角。理论C也采用了HTO视角，但它从根本上改变了这一视角，即将原本需要管理的有缺陷系统，转变为复杂的适应性系统。在复杂的适应性系统中，系统本身具备适应预期和意外情况的能力，这一能力既决定了系统的成功，也决定了其失败。因此，理论B旨在为预期事件提升功能的稳健性与恢复能力，而理论C则着眼于从整体上提升适应能力，其出发点是对系统复杂性的认可。如图1所示，理论B之所以能获得认可和合法性，是因为风险管理（及相关）流程的重要性日益凸显，比如人们越来越重视“风险”本身，同时也因为人们不愿为“韧性”建立独立的体系。而理论C则代表了那些质疑传统思维合理性的人士，他们以复杂性作为根本前提，强调人类在“非刻意管理”的适应过程中所发挥的积极作用，并倡导采用新的思维方式。他们认为，只有这样才能跟上快速变化的发展趋势，避免因准备不足而陷入被动局面。此外，理论B和理论C在解释当前各种现象和悖论时，也为如何结合安全与安保问题提供了截然不同的思路。例如，“网络韧性”这一概念的模糊用法，以及韧性曲线中那些明显却常被忽视的过度简化之处（Eisenberg等人，2025）。总而言之，这表明，我们迄今为止大致归类为“文化”因素的各类要素，都会影响我们对“韧性”这一概念的理解，而“韧性”正是实现安全与安保整合的重要工具。因此，我们的基本假设是，理论B与理论C之间的区别可以作为分析网络体系中各种现象的工具，同时也能反映出网络体系外部各种假设与前提的影响。虽然理论B与传统的风险管理理念相契合，但目前理论C中所强调的适应能力，还尚未得到充分认可，也未被正式纳入组织的常规管理体系之中。不过，“文化”这一概念的范围非常广泛，通常用于描述特定组织的特征。Kressmann和Mueller-Seeger（2026）指出，“组织文化”被广泛认为是影响组织绩效的关键因素，组织往往试图通过改变文化来提升绩效，但同时他们也认为，“文化也可能由于外部和内部因素的作用而发生变化，而这些变化并非由组织主动推动的”（同上，第913页）。我们的目标是进一步深入理解文化因素如何影响网络体系中的韧性发展。为此，我们不会仅仅关注企业内部的特定问题，而是将注意力转向那些跨越组织边界、不受组织控制的技术层面所带来的外部影响。也就是说，我们选择聚焦于信息技术与操作技术从业者之间互动过程中的一些更为根本、更为深层的模式，而不论这些从业者所属的组织是什么。因此，我们使用“技术文化”这一术语（Penley & Ross，1991），以此表示我们同样关注信息技术与操作技术从业者所持有的文化立场，以及他们在使用这两类技术时的相关经验。同时，我们仍需关注图1中所展现的各类关联与矛盾关系。因此，如图2所示，我们的研究重点在于具有弹性（适应性）的社会技术性能与实践，前提是这些相互关联的实践受到信息技术与运营技术双重技术文化因素的影响。网络弹性是一个广义概念，它涵盖预防性措施、对意外、故意或破坏性事件的应对措施，以及涉及信息技术与运营技术从业者在组织内部及跨组织间的持续适应能力。网络事件可能是引发安全漏洞的“重大事件”（Power，2016，第2页）。事件管理可能会受到技术文化因素的影响，而文化偏见与假设也会在这些重大事件之间通过其他形式的风险管理工作得以形成和维持（Power，2016）。因此，本研究的核心目标是理解信息技术与运营技术的双重技术文化因素如何共同影响该领域内的弹性性能。由于组织环境中的文化概念范围极为广泛，本研究仅聚焦于信息技术与运营技术从业者之间可观察到的技术文化表现形式。相应的研究问题是：作为信息技术与运营技术文化体现的自我描述、相互期望及界限划分，如何帮助我们理解该领域内共同弹性性能的文化塑造机制？“技术文化”与“文化”之间的界限并非泾渭分明。在实证研究中， “文化”这一概念将默认局限于与信息技术与运营技术互动及相互关系相关的观察内容。而在理论研究中，则需要借鉴更一般层面的“组织文化”相关文献。图3展示了与研究重点（图2）相对应的研究设计。实证数据来源于对信息技术与运营技术从业者的访谈，通过这些访谈我们可以获取他们的自我描述，以及他们在处理该领域相关事务时所存在的相互期望与界限划分。我们并未探讨访谈所处的正式组织背景。我们认为，信息技术与运营技术各自带来的技术文化影响足够独立，可以作为一个大型社会技术系统（Westrum，1993）来单独研究，在这个系统中，正式组织无法完全抵消信息技术与运营技术文化所带来的影响。一个基本假设是，在信息技术文化与运营技术文化的交汇点上，可能存在三种会影响该领域弹性性能的重要因素，这些因素包括：•静态的文化立场与假设•由文化惯性导致的盲点•由各种事件与互动推动的相互调整与文化变革。本研究设计旨在探究信息技术与运营技术的技术文化因素是否以及如何影响弹性性能。因此，我们会通过不同的弹性理论和文化理论来解读现有数据，这些理论有助于解释弹性性能的文化塑造机制，相关内容将在第二章中详细阐述。研究设计还包含关于如何研究文化的认识论假设，以及关于文化是什么、能够观察到什么的相关本体论假设，弹性性能的研究同样遵循这些原则。这些假设体现在理论框架（第二章）以及被定义为“关联体”的实证研究领域之中。作为研究者，我们从实证数据中能获得的认知也受到对文化与弹性性能的有限本体论理解及先入之见的制约。不过，由于我们并未明确假定研究对象会采用何种特定的文化模式，因此本研究设计与Alvesson和Sk?ldberg（2000）提出的诠释学方法是一致的。需要强调的是，这并不意味着我们要为信息技术与运营技术领域的从业者提供解释，从而助长Haslam等人（2024）所称的基于“没有领导者人们就无法应对”这类观念的“领导力错误理念”（第2页）。相反，我们的目标是增进人们对信息技术与运营技术领域从业者行为决策所依据的文化立场的理解。因此，本研究设计通过运用实证资料进行溯因推理，为结合弹性理论和文化理论奠定了基础，由此我们可以提出关于二者结合的解释性假设，但这些假设并非最终答案，而只是一种可能性。该方法论相关内容将在第三章中介绍。