《International Journal of Critical Infrastructure Protection》：Resilience over Resistance: A configurational analysis (fsQCA) of cybersecurity capabilities and Return on Assets in critical infrastructure
编辑推荐：
信息技术（IT）与操作技术（OT）的融合产生了一种经济悖论，即传统安全投资与工业任务相冲突，因此有必要基于资源基础观（RBV）建立新的理论视角。通过使用关键基础设施韧性改进指标（CII）框架对网络安全成熟度进行操作化，并运用模糊集定性比较分析（fsQCA），研
信息技术（IT）与操作技术（OT）的融合产生了一种经济悖论，即传统安全投资与工业任务相冲突，因此有必要基于资源基础观（RBV）建立新的理论视角。通过使用关键基础设施韧性改进指标（CII）框架对网络安全成熟度进行操作化，并运用模糊集定性比较分析（fsQCA），研究人员证明了卓越的资产回报率（ROA）是由能力的特定组态而非线性安全支出驱动的。研究人员识别出两条等效路径，即“敏捷响应者”和“稳定规划者”，揭示企业既可以通过动态韧性取得成功，也可以通过以强化预见替代现代化改造来取得成功。研究强调了从“故障安全”向“安全故障”范式转变的必要性，指出在资产密集型行业中，恢复能力往往比技术性抵抗更能预测经济成功。研究为解决补丁悖论提供了战略指导，表明在遗留环境中，理性的风险接受和补偿性控制在经济上可能优于绝对预防。
**论文解读：韧性优于抵抗——关键基础设施网络安全能力的组态分析**
**1. 研究背景与问题提出**
随着工业4.0的推进，能源、水务、交通和制造等关键基础设施领域正经历快速数字化，这一进程暴露了传统操作技术（OT）系统的脆弱性。这些系统在设计之初假设与公司信息技术（IT）网络绝对隔离，但IT/OT的融合在带来实时数据分析与互联效率的同时，也将关键基础设施暴露于其从未设计应对的数字威胁环境中。IT与OT遵循截然不同的制度逻辑：IT优先保障数据机密性，而OT则受物理风险的支配，网络事件不仅造成隐私泄露，更可能导致动能毁伤、生产中断乃至人员伤亡。
尽管风险不断升级， governing 网络安全投资的经济逻辑却依然模糊。工业领导者常陷入决策黑箱，被迫将大量资本支出投入安全控制措施，却不清楚其投资回报。传统财务指标无法捕捉网络物理系统中避免损失的價值，技术指标又常常与工业控制环境的运行现实脱节。这种错位催生了一个经济悖论：安全干预的成本——特别是修补或更新遗留系统所需的停机时间——往往超过网络风险本身的预期成本，导致理性的管理者拒绝那些技术上合理但经济上不利的安全措施。
现有文献大多通过碎片化视角处理这一挑战：要么是聚焦特定入侵检测算法的纯技术研究，要么是倡导IEC 62443或NIST SP 800-82r3等合规标准的宏观政策文件。传统智慧仍固守纵深防御范式，侧重于预防性屏障的分层，而非承认高度互联的遗留系统中入侵的必然性。缺乏将网络安全能力的精细组织成熟度直接与企业层面经济绩效相联系的实证研究，且现有研究常假设线性、对称的关系——更多安全自动等于更好的绩效。这种净效应视角忽视了工业环境的复杂性，其中特定能力（如抵抗或恢复）可能以非线性方式相互作用以驱动价值。
为弥合这一鸿沟，本研究采用资源基础观（RBV），将网络安全重新定义为动态的韧性赋能因素而非成本中心。研究人员将网络韧性操作化为一系列动态能力，即企业整合、构建和重新配置资源与能力的能力。这些动态能力包括预见、抵抗、恢复和进化，其分析通过网络韧性改进指标（CII）框架的度量进行，得出量化成熟度水平。研究对130家关键基础设施运营商的CII框架指标独特数据集应用模糊集定性比较分析（fsQCA），超越对最佳实践的探索，识别出区分高绩效企业的动态能力特定组态。该方法能够检验等效性，假设不存在确保组织安全的单一正确途径，而是存在多种将技术严谨性与经济偿付能力相结合的有效战略。
**2. 主要技术方法**
本研究采用模糊集定性比较分析（fsQCA）作为核心方法论，这是一种基于集合论的组态技术，能够分析复杂因果不对称性和等效性。与寻求自变量净效应的方差基方法（如回归）不同，fsQCA识别导致相同结果的多条不同路径。数据来源于西班牙国家网络安全研究所（INCIBE）管理的CII框架，该框架基于MITRE定义的网络韧性目标和NIST SP 800-160 Vol. 2的系统安全工程原则。样本包含130家关键基础设施运营商，这些运营商依据欧盟NIS指令被指定为关键运营商或基本服务提供商，覆盖能源、交通、制造和水务等高利害行业。研究将自变量操作化为四个高阶构念：预见（ANT）、抵抗（RES）、恢复（REC）和进化（EVO），并通过统计百分位数进行模糊集校准。结果变量为资产回报率（ROA），数据外部获取自SABI等财务数据库，而非自我报告。
**3. 研究结果**
**3.1 必要性分析**：研究人员首先进行必要性分析，以确定是否有任何单一能力对实现高经济绩效不可或缺。集合论必要性分析（fsQCA）显示，没有任何单一条件超过0.85的一致性基准，其中进化（EVO）一致性最高（0.7548），抵抗（RES）最低（0.7265）。补充的必要条件分析（NCA）进一步表明，所有能力的效果量均较小且无统计学显著性。这直接回答了第二个研究问题：高技术水平抵抗（预防）并非经济成功的必要条件，为基于韧性的替代战略打开了空间。
**3.2 充分性组态分析**：充分性分析揭示了通往高ROA的两条等效路径，确认了第一个假设（H1，等效性）。**解决方案1（敏捷响应者）** 以～RES*REC*EVO为特征，核心引擎是低抵抗与高恢复的组合。该路径表明，企业可以在缺乏高抵抗能力的情况下，甚至恰恰因为这一缺失而实现高ROA，通过理性的风险接受避免高抵抗相关的运营摩擦，并以卓越的恢复和进化能力进行补偿。**解决方案2（稳定规划者）** 以ANT*REC*～EVO为特征，描述了一条由稳定性驱动的保守路径。该路径的核心是进化的核心缺失，表明部分企业刻意最小化变革以避免现代化带来的不稳定性，转而通过强化预见和恢复能力来维持运营连续性。两条路径共同回答了第一个研究问题（RQ1），证明高经济绩效并非通过孤立投资实现，而是通过特定的、逻辑一致的能力组态。
**3.3 非高ROA的充分性分析**：对非高ROA（～ROA）的充分性分析结果与高ROA的组态并非数学上完全相反，从而实证确认了因果不对称性原则（H2）。例如，虽然高ROA可通过低抵抗配合高恢复实现（敏捷响应者），但低ROA在某些解决方案中由抵抗（RES）的存在与预见的严重缺乏（～ANT）共同驱动。这表明在工业环境中，单纯投资技术抵抗（传统纵深防御）而不保持适应性和监控能力，必然导致较差的经济绩效。
**3.4 稳健性检验**：通过将频率阈值从2个案例提高到3个进行敏感性分析，主要路径保持完全稳定，次要路径仅表现出理论一致的替代效应，确认了模型的方法论稳健性。
**4. 讨论与结论**
讨论部分首先强调范式转变的理论意义。**理论启示一**指出，研究结果实证支持从“故障安全”向“安全故障”范式的转变。敏捷响应者配置（～RES*REC*EVO）挑战了传统的纵深防御模型，表明高绩效企业接受周边防御必然失败的现实，将经济价值从阻止每次攻击的能力转向在攻击中继续运营的能力。恢复（REC）被确认为所有成功配置中的核心条件，是资产可用性和ROA的主要驱动因素。**理论启示二**阐释了稳定性与进化之间的悖论。稳定规划者配置（ANT*REC*～EVO）表明，对于受遗留约束的运营商，拒绝现代化不是战略失败，而是故意的稳定性保全。该配置揭示了敏捷性与预见之间的替代效应：能够进化的企业不需要高度预见，而无法进化的企业必须用极端监控和连续性规划来替代现代化。
**管理启示**方面，研究为工业CISO提供数据驱动的战略调整框架。最紧迫的启示是纠正预算错配：SANS报告显示66%的受访者认为人为错误和内部威胁是最大风险，但52%的预算仍分配给防火墙等预防技术。研究结果证明，重投资抵抗并非高ROA的必要条件，CISO应转向“安全故障”模式，将资本从边际性的周边阻断改进转向直接保护ROA的韧性能力，如离线/不可变备份和高保真事件响应演练。此外，必须内化停机时间的经济主导地位，实施后果驱动的补丁策略，并建立技术运营与董事会之间的语义桥梁，将网络安全定位为战略资产。
研究结论部分翻译如下：本文解决了工业网络安全核心的关键认识论和经济脱节问题。通过将RBV和fsQCA应用于130家关键基础设施运营商的样本，研究人员成功打开了运营安全经济学的黑箱。实证结果明确拒绝了普适成熟度假说，表明在所有领域最大化技术控制并非经济效率的先决条件。研究的核心贡献是识别出两条等效的成功路径：敏捷响应者和稳定规划者。这些组态解决了OT文献中敏捷性与稳定性之间的长期张力。最终，本研究为工业部门确认了一个基本范式转变：从“故障安全”心态向“安全故障”经济逻辑的过渡。研究将恢复（Recovery）隔离为超越所有战略的基石能力，是资产可用性从而也是ROA的主要驱动因素。通过将投资从绝对预防重新调整到有保障的韧性，组织可以将网络安全从生产税转变为在日益动荡的数字环境中保全价值的战略资产。
