2017年-IMF国际货币组织全球_Cyber_Risk_Market_Failures_and_Financial_Stability_36页_3mb

总结：Cyber Risk, Market Failures, and Financial Stability

核心内容

本研究探讨了网络风险对金融市场稳定的影响，分析了网络风险在金融体系中的系统性特征，并讨论了市场失灵如何导致网络安全投资不足，以及政策干预在提升金融体系抗风险能力中的必要性。

主要观点

• 网络风险日益严重：随着金融系统的数字化，网络攻击变得更加频繁和复杂，影响范围广泛，可能引发系统性风险。
• 市场失灵现象：私人市场在提供最优网络安全水平方面存在不足，主要由于信息不对称、战略互补性、外部性和风险集中等因素。
• 监管与政策角色：国际金融组织（如IMF、BIS、世界银行）在协调信息共享和跨境合作方面具有重要地位，应发挥更大作用。
• 风险管理措施：有效的网络安全管理需包括风险规避、风险降低和风险转移，其中保险机制和第三方责任是重要的工具。
• 长期影响与成本：网络攻击的总成本不仅包括直接损失，还涉及长期的品牌损害、客户流失、运营成本上升和保险费用增加。

关键信息

一、网络风险的特性

1. 风险聚合性：网络风险不仅影响单个机构，还可能通过技术依赖和系统性关联影响整个金融体系。
2. 跨时间效应：网络风险的长期影响难以准确预测，且成本随时间累积。
3. 外部性：新技术和基础设施的引入可能带来不可预见的风险，如物联网（IoT）和自动化服务。

二、网络攻击的影响

1. 直接与间接成本：
   • 直接成本：包括调查费用、法律援助、客户通知、系统恢复等。
   • 间接成本：品牌损失、客户流失、运营成本上升、保险费用增加等。
2. 成本构成：超过90%的网络攻击总成本由间接因素构成，且长期损失对经济和机构的影响较大。
3. 攻击模式变化：网络攻击方式在金融行业中快速演变，Web应用攻击占比显著上升。

三、市场失灵与风险定价问题

1. 信息不对称：机构缺乏全面数据，导致风险评估和定价不准确。
2. 道德风险：企业可能低估风险，甚至隐瞒攻击信息以避免保费上涨。
3. 外部性和协调失败：网络攻击的外部性可能导致市场失灵，缺乏协调机制会加剧系统性风险。

四、监管与政策建议

1. 监管框架不足：现有监管体系在应对网络风险方面存在缺陷，需进一步完善。
2. 政策干预必要：由于市场失灵，政府和国际组织应介入，确保网络安全投资的适当性。
3. 建议措施：
   • 减少访问漏洞，提升系统韧性。
   • 减轻信息不对称，推动透明度和数据共享。
   • 设计有效政策，包括监管和事后责任分配。
   • 应对协调失败，建立跨机构合作机制。

图表与数据摘要

图1：物联网设备数量（2014年8月）

• 描述了互联网连接设备的广泛性，凸显网络空间的渗透性。

图2：威胁来源（2017年3月）

• 显示了威胁来源的分布，包括黑客组织、国家支持的攻击、恐怖组织和个人攻击者。

图3：影响、冲击传递与控制

• 概述了网络攻击对系统和业务的影响，以及控制措施的层级。

图4：网络安全管理策略

• 展示了三种基本的网络安全管理方式：风险规避、风险降低和风险转移。

表1：网络风险聚合层级

• 按照机构对风险的控制程度，将风险分为内部通信与IT系统、交易对手与合作伙伴、外包与合同、技术外部性、上游基础设施、反馈循环和外部冲击等层级。

表2：网络事件成本分类

• 列出网络事件的四个阶段（预防、反应、影响管理、业务恢复与修复）及其对应的直接与间接成本。

表3：年度网络风险成本估计

• 不同研究对全球和美国的网络风险成本进行估算，范围从2500亿美元到1万亿美元不等。

表4：美国互联网使用对经济的影响

• 显示互联网对美国GDP的贡献（4-7%），以及网络损失（0.6%-2.2%），净收益为1.0%-5.4%。

结论

网络风险已成为系统性风险的重要组成部分，其影响远超单个机构。由于信息不对称、市场失灵和外部性，私人市场难以有效管理网络风险。因此，政策干预和国际合作对于提升金融体系的网络安全韧性至关重要。