全球航运失去数字记忆的那一天：Maersk、NotPetya 与运营问责

摘要

• NotPetya 通过用于乌克兰纳税申报的软件进入 Maersk，并在全球连接的环境中使应用程序和数据不可用。公司关闭了其他系统作为预防措施，而该恶意软件的凭证窃取和多种传播方法使得仅靠修补无法构成完整的防御。
• Maersk 保持了对其船舶的控制，但其集装箱业务遭受了严重中断。订舱、码头闸口和货物信息功能失效；APM Terminals 报告称，攻击三天后，多个港口的闸口服务仍在扩展中。物理资产仍在，但协调它们的数字权限消失了。
• 公司实施了广泛的手动变通方案，并以非凡的速度重建了基础设施。Maersk 主席后来描述在十天内重新安装了 4000 台服务器、45000 台计算机和 2500 个应用程序。一篇详细的新闻还原文章称，加纳一台断开的域控制器提供了重新启动核心服务所需的身份数据；这一说法很重要，但并非官方取证报告。
• Maersk 最终报告了 2.5 亿至 3 亿美元的利润影响，主要来自 7 月和 8 月暂时失去的业务，以及恢复和特别运营成本。这一数字衡量了公司确认的影响，而非卡车司机、货运代理、货主、公共机构或下游小企业的全部损失。
• 问责是分层的。后来被指控与 NotPetya 有关的俄罗斯军事人员对破坏性攻击负有责任。Maersk 仍需对其控制下的系统的韧性、对客户做出的连续性声明，以及证明补救措施解决了从一项区域软件依赖演变为全球运营故障的路径负责。
• 持久的教训不仅仅是保持备份。关键运营商必须能够将身份、配置、运营数据和通信恢复到一个干净的环境中；在不失去安全或货物完整性的情况下运行有界的手动流程；并为公共机构和小型客户提供足够及时、可移植的信息，以激活他们自己的连续性计划。

一家全球运营商失去了指挥货物下一步如何移动的能力

2017 年 6 月 27 日星期二，A.P. Moller - Maersk 是众多被恶意软件攻击的组织之一，该软件看起来像勒索软件，但行为如同破坏工具。直接的画面与办公网络事件类似：屏幕变黑，应用程序停止，员工失去访问权限。后果并未局限于办公室。Maersk 连接了跨法域和时区的海运、港口码头和货运代理。当共享的应用程序和身份服务不可用时，中断波及到卡车进入码头、订舱变为货物移动、以及电子舱单告诉操作员船内有什么的环节。

该公司的2017 年第二季度投资者演示提供了最确切简明的陈述。Maersk 表示，恶意软件通过用于乌克兰报税的软件进入，使应用程序和数据不可用，主要影响其集装箱相关业务：Maersk Line、APM Terminals 和 Damco。它说，作为预防措施关闭了多个系统，引入了许多手动变通方案，并保持了对船舶的完全控制。它还表示，发生了影响员工和客户的重大中断，同时报告未发生第三方数据泄露或数据丢失。

这些陈述确立了一个基本界限。公开报道并未将此视为导航或推进系统的损失，分析不应将严重的商业和码头中断夸大为虚构的船舶控制紧急情况。然而，船舶控制的幸存并不意味着航运服务完好无损。一艘船可以安全航行，而围绕它的网络却无法接受其下一批装载、读取装卸货物所需的文件、向卡车司机放行集装箱或向客户提供可靠状态。运营韧性有多个层面，一个层面的安全状态并不赋予其他层面连续性。

事件从本地软件暴露迅速演变为企业中断。微软当时的Petya 爆发技术报告观察到初始供应链路径通过 M.E.Doc 更新程序，并描述了利用凭证窃取和冒充以及利用 MS17-010 解决的 SMB 漏洞进行横向移动。之后一份微软网络分析将传播描述为复杂且经过充分测试。实际关键点不是某个缺失的补丁解释了 Maersk 的情况。公开证据不支持这种简单结论。NotPetya 可以使用不止一种路径，包括合法凭证，因此暴露取决于身份权限、网络可达性、分段、软件信任以及遏制速度和漏洞状态。

到 6 月 30 日，运营情况正在改善，但仍不均衡。一份APM Terminals 更新称，其正在包括洛杉矶在内的一系列港口扩展闸口服务。这种公开更新很有价值，因为它暴露了实际的恢复单位：不是“IT 恢复了”，而是特定地点的特定闸口或码头服务。全球恢复是局部状态的组合。一些站点可以处理货物，其他站点提供有限的闸口服务，面向客户的系统按照自己的时间表恢复。

公司后来的财务报告证实，这不仅仅是一次短暂的技术不便。其2017 年第三季度中期报告将盈利影响定为 2.5 亿至 3 亿美元，其中绝大部分与第三季度的 Maersk Line 相关。报告称，运输量较可比季度下降 2.5%，并受到攻击的负面影响，并将大部分财务影响描述为 7 月和 8 月暂时失去的业务。营运资本也受到影响，APM Terminals 和 Damco 也记录了与攻击相关的影响。

这个会计期间很重要。最明显的停机持续了数天，但商业后果在应用程序开始恢复后仍然存在。当服务器启动时，集装箱和船期不会立即回到先前的位置。在不确定期间放弃的订舱不会因重启门户而恢复。转移货物的客户、错过排班的卡车司机或支付另一条路线的制造商所造成的后果，在技术恢复后依然存在。因此，恢复时间必须针对基础设施、应用程序、站点、交易积压和客户分别衡量。

攻击是破坏性的，而非普通的赎金谈判

将此事件称为勒索软件可能模糊了防御者和高管面临的决策。NotPetya 显示了付款要求，但其设计和随后的官方归因支持将其视为破坏性恶意软件。英国 2018 年的归因声明判定俄罗斯政府，特别是俄罗斯军方负责，并称该攻击伪装成犯罪活动，但其主要目的是破坏。2020 年，美国司法部起诉了六名俄罗斯 GRU 官员，指控他们与包括 NotPetya 在内的行动有关。这些指控是指控，而非定罪，但它们是一种正式的问责行动，司法部明确将该恶意软件描述为破坏性的。

这一区别改变了恢复策略。在普通的勒索场景中，领导者可能还在争论解密器是否存在、数据是否被盗以及支付是否能改变结果。对于破坏性事件，保存和干净重建成为核心。如果特权凭证、软件分发路径或可信映像可能被泄露，仅恢复一台看似正常运行的机器是不够的。组织必须建立一个干净的控制平面，从中可以重建、重置信任并决定哪些数据可以安全地重新引入。

这也改变了问责分析的公平性。Maersk 并未选择遭受攻击，释放破坏性蠕虫的实体对其在预期目标之外造成的可预见和鲁莽损害负责。受害者问责不能替代攻击者问责。两者并存，因为不同的行为者控制了因果链的不同部分。国家行为者控制了部署破坏性代码的决定。软件供应商控制了其更新环境。Maersk 控制了其乌克兰业务依赖如何连接到其全球资产、如何保护特权身份和网络边界，以及其关键服务的可恢复性。

公开记录并非对这些控制措施的完整取证评估。Maersk 的申报文件标明了进入路径和影响，但未公布逐台设备的传播路径、补丁清单、权限图或关于哪些安全措施失败的独立发现。后来的报道提供了重要细节，但问责论点不应以自信的猜测填补剩余空白。询问为何一个受感染的端点可能导致企业范围的损失是公平的。在没有内部记录的情况下，断言某个指名员工、某台未打补丁的机器或某个产品设置是唯一原因，是不公平的。

更好的治理问题是关于故障域的。跨国公司有时必须运行本地所需的软件，包括绝不会被选为全球技术标准的税务和海关工具。本地必要性并不能为全局信任开脱。具有狭隘区域目的的系统应被置于一个假定其更新通道可能失败的架构中：受限的权限、受控的出口、有限的可达性、监控的执行、独立的管理凭证和快速隔离。如果业务无法消除暴露面，它可以降低该暴露面对其他一切的控制力。

物理能力与数字权限被分离

集装箱物流使得资产与权限之间的区别异常明显。船舶、起重机、集装箱、底盘、闸口和仓库都是物理的。它们的高效运营依赖于能够回答基本但重要问题的数字记录：这是哪个箱子？是否已清关？应该去哪里？提起是否安全？哪个客户有权提取它？应由哪艘船和哪个航次接收？适用哪些危险品、冷藏或限时条件？

之后《连线》对 NotPetya 及 Maersk 恢复的还原文章报道称，APM Terminals 76 个码头中有 17 个受到影响，闸口和一些起重机作业停止，中央订舱网站不可用。它描述了码头失去访问识别船载内容的电子文件、新泽西州伊丽莎白港卡车排起长队，以及客户难以定位或重新安排货物。这是基于采访的深度报道叙事证据，并非监管机构的取证报告。其具体内部声称应相应归因，而其广泛叙述与 Maersk 披露的严重客户中断和货量损失一致。

这次失败揭示了为什么“港口保持开放”是一种不充分的连续性措施。地主港务局、海关、码头运营商、航运公司、铁路运营商和卡车司机在技术上都可用，但货物移动仍可能不可能。交易需要多个许可和记录一致。如果一个参与者控制了权威的货物状态，而该状态不可用，其他地方的闲置物理能力也可能无济于事。

反之，没有可信状态的数字可用性可能是危险的。码头不应仅因起重机能够触及就移动集装箱。手动操作必须保留重量、危险品、海关、冷藏箱、所有权和积载限制。 “保持货物移动”的压力不能凌驾于安全和合法移动所需的信息之上。因此，有弹性的手动模式并非一概使用纸张的指令。它是一种有意受限的服务，具有定义的交易、独立可用的参考数据、双重检查、对账标识符和明确的停止条件。

Maersk 报告称引入了大量手动变通方案。《连线》的报道描述了使用个人邮箱、消息传递、电子表格和贴在集装箱上的纸张。这种即兴创作在前所未有的紧急情况下可以成为合理的桥梁，也体现了员工的聪明才智。但它也带来了完整性、隐私性、授权和对账风险。通过紧急账户收到的消息可能是真实的、错误的或恶意的。电子表格可以保留订舱信息，但可能遗漏危险货物字段。纸质放行单可以促成移动，但可能随后产生重复或未开单的交易。

问责的教训不是禁止即兴创作。而是在下一次事件之前，将最佳的应急实践转化为受控能力。最小可行码头服务应明确哪些货物类别可以移动，必须有哪些独立数据存在，谁可以批准例外，每个手动操作如何获得唯一记录，如何联系公共当局，以及系统恢复后如何对账。能力应以每小时处理的卡车或集装箱数量进行测试，而不仅仅描述为“手动后备可用”。

恢复依赖于重建信任

Maersk 故事中最令人难忘的部分涉及 Active Directory。根据《连线》的还原，大约 150 台域控制器相互同步并被清除，而最初无法找到该身份层的任何单独可用的备份。加纳的一台域控制器在停电期间断开连接而幸存。有限的带宽使得远程传输不切实际，据报道，员工通过尼日利亚将一个驱动器传递到位于英格兰的恢复中心。

这一说法常被简化为关于好运气的轶事。其更深层次的意义在于，身份是其上一切的前提。企业可以拥有应用程序数据的备份，但如果无法重建可信的用户、机器、权限、服务账户和管理权限，仍可能无法恢复运营。身份系统不仅仅是另一个应用程序。它是宣告哪些恢复的组件被允许通信和行动的机制的一部分。

这个故事也区分了复制与备份。多个同步的域控制器提高了应对普通硬件故障的可用性。但如果破坏性的状态能够到达所有副本，它们并不能创建独立的恢复能力。冗余回答“其他活动节点能否服务？”备份回答“当所有活动节点都不可信时，组织能否回到一个已知的良好之前状态？”共享相同管理平面、连接和破坏性路径的副本可能是冗余的，但不可恢复。

现代指南明确强调了这种独立性。英国国家网络安全中心建议离线或隔离备份、多份副本、经过测试的恢复和干净恢复。NIST 的应急计划指南将恢复视为计划、程序和技术措施的协调组合，包括替代设备、手动处理和替代地点。这两份文件都不能证明 Maersk 在 2017 年拥有什么。它们提供了一种有条理的方式来评估事件所显示出的问题。

对于一家全球物流运营商，可恢复的集合至少包括四个部分。第一是身份和管理控制平面。第二是基础设施配置：网络、安全、云、端点以及可以在不信任受损资产的情况下重建的平台定义。第三是运营状态：订舱、舱单、集装箱位置、海关状态、危险品属性、设备分配和客户指示。第四是外部关系图：为港口、当局、供应商、客户、银行和应急合作伙伴提供的经过验证的联系人和渠道。

每个部分都需要自己的恢复点目标和恢复时间目标。一份三天前的服务器备份对于静态参考服务可能是可接受的，但对于每分钟变化的集装箱事件来说则不可接受。干净的身份备份可以恢复访问，但不能告诉码头在中断期间手动发生了哪些交易。存储在失效身份提供者后面的客户联系人列表可能是完整的，但毫无用处。“备份成功”因此是一个糟糕的董事会指标。有用的证据是，代表性服务是否已在受保护输入的基础上，在干净环境中，以生产网络及其客户可容忍的规模和时间内重建。

十天是一项成就，而非完整的韧性结论

在 2018 年 1 月的世界经济论坛上，Maersk 主席 Jim Hagemann Snabe 描述了一项了不起的努力：在十天内重建了 4000 台服务器、45000 台个人电脑和 2500 个应用程序。这一规模被广泛引用，因为它体现了响应的劳动量和紧迫性。后来的《连线》报道称，一些恢复工作持续了更长时间，这与重建核心资产和完成每个应用程序或用户恢复之间的区别是相符的。

Maersk 自己的2017 年度报告称恢复迅速，并报告了 2.5 亿至 3 亿美元的损失，涵盖收入、IT 恢复和特别运营成本。它表示，已实施或计划了即时和长期举措，以保护数字业务、加强基础设施平台、增强 IT 服务连续性和恢复，并加强业务连续性计划。该公司还购买了网络保险。

这是一种可信的管理响应，但并不能使恢复速度成为对事前韧性或事后保证的充分评判。英勇的恢复与设计的韧性是不同的品质。英勇的恢复依赖杰出的人员、紧急采购、广泛的行政授权、供应商支持和持续努力。设计的韧性使关键结果较少依赖例外条件。它缩小了影响范围，保留了可信的恢复材料，预先安排了能力，并在疲劳和不确定性占据上风之前提供了经过演练的决策。

这一区别对员工问责很重要。对非凡工作的赞扬可能悄悄使需要非凡工作的运营模式正常化。董事会应询问有多少人工作了不安全的小时，哪些角色没有经过训练的替补，哪些恢复步骤依赖个人知识，以及事后是否记录了应急授权。韧性计划应保留危机揭示的即兴知识，同时减少重复承受身心负担的必要性。

这对财务问责也很重要。2.5 亿至 3 亿美元的估算并非全球损害总额。Maersk 描述了攻击对其自身盈利能力造成的成本。它并未涵盖每一次未获补偿的卡车周转、仓库订舱、错过的生产时间段、腐坏的物品、延误的公共采购或客户和服务提供商经历的营运资金压力。《连线》报道引用了卡车司机和物流企业的话，他们表示承受了重大损失，但没有经审计的数据集支持将这些轶事汇总为一个全经济范围的数字。

同样，保险仅转移特定的财务后果。它不能恢复一批药品运输，保护小进口商的客户，或为港口当局提供实时的货物可见性。一个只报告保险限额而不报告运营恢复证据的董事会，是在衡量资产负债表的保护，而非服务韧性。两者都重要，但不能相互替代。

责任遵循控制，而非与恶意软件的距离

这种分配避免了将最近的系统管理员变成系统性事件的道德中心。如果一名本地员工被要求使用乌克兰税务软件，该员工并未决定全球信任架构。如果一名码头员工使用个人渠道救援一批货物，这一行动应被审查风险并从中学习，而非与其必需的条件割裂开来。高级问责始于架构、预算、风险接受和服务承诺的授权所在之处。

这也避免为下游组织开脱。公共机构或小型进口商无法重新设计承运人的身份系统。它可以决定自己的连续性计划是否假定承运人的门户网站、客户团队和码头将全部同时保持可用。它可以将装运标识符和必要文件保存在供应商门户之外，商定紧急联系人，分类哪些货物值得采用替代路线，并了解其库存或服务承诺能够吸收多长时间的延误。

问责应保持相称性。小企业无法经济地在每条航线上维持重复订舱或为普通货物预留空运。市政采购员不能命令全球承运人的恢复顺序。标准不是无限的冗余。它是基于后果、时间敏感性、可替代性和可用资源，有意识地选择连续性措施。

港口将私营部门的故障变成公共连续性问题

港口是制度化的生态系统。公共港务局、海关和边境机构、警察、卫生和农业检查员、私营码头、承运人、铁路、卡车司机和货运代理共享相同的物理和信息空间。因此，即使没有政府系统受损，源自一家公司企业网络的故障也可能产生公共任务。

美国政府问责局 2025 年对海事网络安全的审查以 NotPetya 为一个突出例子，报告称 Maersk 计算机关闭，包括美国业务在内的港口作业停止，船舶在海上闲置。该报告还发现海岸警卫队在事件清单流程、战略规划和网络劳动力实践方面存在更广泛的差距。其意义在于制度层面：公共部门不能仅凭假设每个私营运营商都已管理好自身的依赖关系来履行海事安全和连续性责任。

当 NotPetya 袭来时，国际政策基线已在移动。攻击发生十天前，国际海事组织通过了MSC.428(98)号决议，鼓励在 2021 年 1 月 1 日后的第一次年度审核前，在安全管理体系中处理网络风险。相关的2017 年海事网络风险指南围绕识别、保护、检测、响应和恢复组织行动，并要求高级管理层参与并保持航运作业的连续性。

这些文书不应被误用。它们是高层的海事安全指南，而非对 Maersk 在 2017 年 6 月违反某项特定码头 IT 规则的追溯性认定。它们的时机确实表明，航运的网络风险并非由 NotPetya 发明。该事件加速了一个该行业已经面临的问责问题：如何将网络治理与海事领导者已经理解的安全和连续性系统连接起来。

后来的指南变得更加可操作。欧盟网络安全局的港口网络风险指南将风险实践映射到港口安全流程，并强调适应性的评估周期。联合国贸易和发展会议的港口韧性指南将承运人、海关、货运代理、货主和内陆物流运营商视为协作利益相关方。它指出，集装箱货物在海上贸易价值中所占份额远大于其体积份额，且港口可能成为单点故障。

公共连续性规划应将这些原则转化为操作性问题。如果承运人平台不可用，海关和码头可以使用哪些最低限度的货物数据？港口能否通过独立于受影响运营商身份系统的渠道对紧急指令进行验证？当预约和闸口系统故障时，谁管理卡车队列？如何在不允许自称优先压倒流程的情况下，优先处理冷藏、危险、医疗、食品和公共服务货物？何时暂停存储、滞期或准入规则，谁可以宣布该决定？

正确的答案很少是等待灾难的巨型共享电子表格。一个中心后备系统可能成为另一个共模故障和敏感贸易数据的诱人来源。更好的连续性使用商定的最小数据集、可互操作的格式、受保护的本地提取、清晰的法律权限、经过测试的通信路径以及一种联邦式的事件对账方式。公共部门的角色是召集和测试那些没有单一公司拥有的接口。

港口数字化使这一点更为紧迫。世界银行将港口社区系统描述为连接海关、港口管理、承运人、物流公司和货运代理的协作平台。此类系统可以降低成本并提高韧性，尤其是对较小的参与者而言，但其价值增加了故障或不良集成的后果。效率架构需要降级架构：当共享平台或一个主要参与者消失时，每个参与者仍能看见什么和做什么的答案。

小企业承受延迟的方式不同

Maersk 中断波及到小企业的多种角色：安排装运的货运代理、服务于码头的卡车运输公司、报关行、仓库运营商、出口商、进口商以及等待投入品的公司。其中一些是直接客户；另一些在经济上依赖码头吞吐量，但没有承诺赔偿的合同。他们的连续性问题与 Maersk 的不同。他们不需要重建数千台服务器。他们需要权威状态、货物访问权限、可靠的替代方案以及足够的现金来撑过等待时间。

小企业在结构上面临物流不确定性。经合组织关于中小企业与贸易的工作指出，小企业满足跨境成本的资源较少，可能受到贸易壁垒的不成比例影响，而贸易便利化和连通性有助于支持及时交付。因此，增加了电话、存储、重复文件、紧急运输和不确定放行日期的中断，不仅仅造成时间延误。它增加了固定的协调成本，这些成本更难通过货量分摊。

供应商集中对中小企业有两重含义。对于某条航线，可能只有一家商业上合理的承运人或码头，而若干看似独立的服务可能依赖于同一运营商的数字控制平面。通过货运代理购买海运服务，如果订舱、码头和客户状态链条汇聚到同一承运人，并不必然创建出一条独立路径。连续性映射必须遵循实际的移动和信息路径，而非发票或中介的数量。

实际的应对从数据保管开始。一家小型进口商应在不需要承运人门户网站即可打开的地方，保存订舱参考号、提单和商业文件、集装箱和铅封号、海关状态、危险品或冷藏要求、联系人和承诺的关键节点。这并非试图复制供应商的运营数据库。这是识别货物、证明权限并向另一方寻求帮助所需的最小信息包。

接下来是分级分类。公司应提前决定哪些货物可以等待，哪些可以使用另一班船，哪些会威胁生产或公共承诺，以及哪些可能值得采用昂贵的空运或陆运替代。答案应包括支出权限。在 Maersk 事件期间，稀缺的替代方案和不确定的信息迫使在压力下做出决定。预先商定的阈值可以让运营负责人先于创始人、财务官或公共客户被联系到之前采取行动。

通信需要与备份同等的独立性。英国国家网络安全中心提供了一份小企业响应与恢复指南，强调准备、角色、联系人、解决、报告和学习。对于物流依赖事件，联系人表应超越内部网络响应人员。它应包括承运人的紧急路线、码头、货运代理、报关行、仓库、保险公司、银行、关键客户和相关公共当局。当电子邮件或单点登录成为故障的一部分时，打印件或独立存储的副本至关重要。

最后，合同应说明运营公平是怎样的。通知渠道、数据访问、闸口无法进入时的费用豁免、货物保管责任、索赔文件和升级路径，比广泛的高可用性承诺更有用。并非每个小客户都能协商定制条款，这就是为什么港口当局、监管机构、行业协会和大型物流提供商在标准化保护措施方面可以发挥作用。目标不是为每一次延误提供有保证的补偿。它是一个可预测的过程，不会迫使最弱势的一方去证明运营商已经知道发生的停机。

通用的备灾资源仍然相关。Ready Business结合了通信、IT 恢复、连续性计划、培训和演练，而非将网络恢复视为一项孤立的技术计划。CISA 对企业领导者的指南同样指出，要将韧性投资集中在关键业务功能上，并在入侵后测试连续性。对于一家小公司来说，演练可以很简单：团队假设承运人门户网站、客户代表和主要码头不可用，然后尝试定位两批优先货物并做出记录在案的重新路由决策，历时一小时。

手动连续性必须有设计限制

Maersk 的手动变通方案理所当然受到钦佩，因为它们在数字资产重建期间保全了大量服务。它们也表明为何手动连续性不能被描述为无限的替代品。人工吞吐量较低，错误更难发现，后期对账所需的记录迅速倍增。降级模式持续的时间越长，其自身的积压和控制债务就越成为恢复问题。

一个可靠的手动计划有最大的范围和持续时间。它确定必须继续的功能、可以暂停的功能，以及在没有系统的情况下绝不能尝试的功能。它根据安全性和后果分配稀缺的能力。它确定如何授权、记录和检查交易。即使本地团队使用不同的工具，它也保持统一的事件时钟和顺序。它预留人员进行对账，因为每一个临时记录最终都必须与恢复后的系统对接。

该计划还必须能在普通工作场所技术损失的情况下幸存。存储在相同文件共享上的应急表单、同一身份提供者后面的联系人列表，以及依赖同一网络的会议桥接都不是连续性资产。NCSC 技术响应指南建议组织维护干净的备份、备用设备和可用的日志；更广泛的原则是，响应者需要一个独立的最小工具集。对于一家分布式的物流公司，这可能包括干净的笔记本电脑、独立的通信、预先批准的外部身份、受保护的配置仓库和区域恢复工具包。

手动操作应与接收方一起演练。码头可以出具纸质放行单，但如果闸口工作人员、海关或卡车司机无法验证它，就没有连续性价值。承运人可以通过紧急电子邮件接受订舱，但如果危险品申报无法跟随，则该订舱不安全。公共当局可以创建优先列表，但如果没有经过验证的方式将该列表与集装箱匹配，它就会失败。联合演练能在事件产生商业压力使人忽视这些问题之前发现这些接口故障。

能力指标应该诚实。“码头可以手动运作”说明不了什么。更有力的声明是，某个特定地点可以在一定时间内以正常吞吐量的一定百分比安全地处理特定类别的移动，具有已知的对账负担和明确的排除项。公布所有细节可能带来安全或商业风险，但董事会和相关当局应该看到证据。

董事会应要求查看什么

NotPetya 事件后，Maersk 表示其加强了网络韧性、基础设施、服务连续性、恢复和业务连续性。公开报告未披露足够的细节以独立验证各项措施的当前状态，缺乏细节并不证明工作未完成。但这确实意味着外部读者应区分声明的计划与经过测试的成果。

第一份董事会所需的制品应是服务地图，而非资产计数。它应从结果开始，例如接受订舱、允许卡车进入、读取船上货物数据、放行集装箱、监控冷藏箱和传达状态。针对每个结果，它应识别身份、网络、应用程序、数据、设施、供应商和公共机构的依赖关系。该地图应揭示何时多个结果共享同一管理平面或本地软件信任路径。

第二份制品应是破坏性恢复证据。组织能否在没有任何活动企业服务的情况下构建干净的身份环境？凭证、密钥、设备信任、配置和特权工作站是否按受控顺序恢复？备份是否对已泄露的管理员不可访问，保留足够长的时间，经过扫描和测试？是否有代表性的码头或订舱服务在受保护的输入基础上，以运营规模重建？

第三份应是降级运行证据。哪些服务可以手动运行，以何种能力，采用何种安全控制？公司何时停止接受新工作以保护已经在其保管下的货物？手动记录将如何对账？如果公司身份和电话一同丢失，哪些通信渠道仍能保留？该计划上一次与港口、海关行为者、大客户和小型物流提供商演练是在何时？

第四份应是第三方后果数据。它应不仅显示公司的停机时间，还应包括被拒的闸口移动、错过的订舱、未定位的货物、冷藏异常、客户状态延迟、费用争议和索赔。它应区分拥有专门支持的大客户与小型客户及间接运营商。一个恢复计划如果恢复了收入，却使客户无法获得权威状态，则并未完成服务恢复。

第五份应是关闭证据。每项补救措施应标明观察到的故障路径、负责人、截止日期、测试、例外和独立审查者。降低可能性的控制措施，如打补丁和分段，应与降低后果的控制措施，如干净身份恢复和手动码头模式，区分开来。网络保险应报告为财务转移，而非技术补救。

第六份应是关于人的学习。哪些决策因权限不明确而延迟？哪些响应者拥有独特知识？哪些临时工具被证明有用，哪些造成了不可接受的风险？公司将如何在不好像数百人能再次维持全天候重建的情况下保持应急能力？运营韧性包括人员配备、供应商动员、签证、旅行、设施、食物、休息和继任，因为即使有干净的恢复设计，仍需由人来执行。

监管正赶上运营现实

自 2017 年以来，海事网络治理变得更加具体。在美国，海岸警卫队的《海上运输系统网络安全规则》于 2025 年 7 月 16 日生效。它要求受管辖的美国船旗船舶和设施报告事件，并分阶段引入培训、指定的网络安全官员、评估和经批准的网络安全计划。该规则并不能使 NotPetya 重演成为不可能。它在自愿成熟度被认为不再足够的地方，创建了明确的职责归属和可审计的计划。

GAO 2025 年调查结果提醒我们，监管也需要运营能力。只有当当局能够理解事件、维护可靠的证据基础、在地方层面进行协调并测试计划是否解决真实的依赖关系时，要求才能发挥作用。当每个实体分别提交一份文件时，港口网络韧性并未实现。当计划在货物、安全信息和公共权力跨越组织的共享接口处连接时，它才会出现。

监管机构也应保持相称性。一家全球承运人和一家小型报关行不可能承担相同的控制负担。可以合理期望大型运营商出具独立的恢复证据、维持清洁环境能力和支持联合演练。小型企业需要基线安全、可用的连续性计划和访问公共渠道。公共机构可以通过定义最小数据集、通用事件术语、示范费用政策和演练格式来降低集体成本。

透明度也必须加以校准。发布完整的网络或身份架构将带来新的风险。仅发布“系统已恢复”则产生的问责过少。有用的披露包括受影响的服务和地点、有时间限制的恢复状态、客户行动、货物安全或数据完整性是否存疑、根本原因和控制故障的类别，以及补救措施将如何独立获得保证。具体的敏感细节可留给监管机构或审计师。

最终的衡量标准是依赖是否变得可治理

Maersk 在 2017 年的响应展示了强大的恢复能力。员工保持了船舶控制，临时构建了服务渠道，并在极端条件下重建了庞大的技术资产。公司承受了巨大的财务影响，随后报告了对网络韧性和连续性的投资。这些事实应当得到重视。

它们并未抹去核心的问责信号。一项本地必需的软件关系获得了足够的实际影响力，协助中断了全球的集装箱运营。复制的身份基础设施并不必然提供独立的可恢复性。客户和码头合作伙伴不仅失去了对网站的访问，还失去了协调实体商业所需的信息。较小的运营商和公共机构不得不管理 Maersk 报告的损失之外的后果。

运营韧性常被描述为反弹的能力。对于他人依赖的基础设施而言，这个说法过于被动。关键运营商必须提前决定它将保全什么，在没有其主要系统的情况下可以安全地完成什么，将优先考虑谁的需求，如何传达真相，以及什么证据将证明恢复。其客户和公共合作伙伴必须决定，当运营商本身成为不可用的依赖时，他们将怎么做。

因此，Maersk 案例的持久价值并非 45000 台电脑被重新安装的壮观景象。而是揭示了一个隐藏的层次。身份必须在应用程序能够相互信任之前恢复。货物数据必须在物理能力能够安全使用之前恢复。权威状态必须在客户能够做出理性选择之前恢复。对账必须在系统名义上可用之后继续。每个层面都有不同的时钟。

成熟的问责制度遵循这些时钟。它不会在第一台服务器恢复时宣布胜利，或将责任归咎于第一个受感染的办公室，或要求小客户从公司财务估算中推断连续性。它会询问破坏性权限是否已被限制，恢复信任是否存在于故障域之外，手动服务是否安全且可衡量，公共和中小企业的依赖关系是否可见，以及补救措施是否已由能够质疑它的人测试过。

NotPetya 是一种破坏性的侵略行为。Maersk 的职责并非使这种侵略不可能。它的职责过去是、现在仍然是，使公司对数字信任的依赖变得可治理：在故障前受限，在故障期间可生存，在故障后可重建，并且对那些在全球航运失去记忆时仍须继续运营的机构和企业而言是可理解的。