全球航运失去数字记忆的那一天：Maersk、NotPetya 与运营问责

摘要

• NotPetya 通过用于乌克兰税务申报的软件进入 Maersk，使应用程序和数据在全球互联环境中不可用。公司出于预防关闭了更多系统，而该恶意软件的凭据窃取和多种传播方法使得仅靠打补丁成为不完整的防御。
• Maersk 保持了对其船舶的控制，但其集装箱业务遭受了严重中断。订舱、码头闸口和货物信息功能失灵；APM Terminals 报告称，攻击三天后，仍有几个港口的闸口服务正在扩大。物理资产仍在，但协调它们的数字授权已消失。
• 公司实施了大量手动变通办法，并以异常速度重建了基础设施。Maersk 董事长后来表示，在十天内重装了 4,000 台服务器、45,000 台计算机和 2,500 个应用程序。一份详细的新闻重建报道称，加纳的一个断开的域控制器提供了重启核心服务所需的身份数据；该说法很重要，但并非官方取证报告。
• Maersk 最终报告了 2.5 亿至 3 亿美元的对盈利影响，主要来自七八月暂时失去的业务，以及恢复和异常的运营成本。该数字衡量的是公司认可的影响，而非卡车司机、货运代理、货主、公共机构或下游小企业的全部损失。
• 问责是多层次的。后来被指认和指控与 NotPetya 有关的俄罗斯军事行为者对此次破坏性攻击负有责任。Maersk 仍对其控制下系统的韧性、对客户作出的连续性声明以及证明补救措施解决了某一地区软件依赖如何演变为全球运营故障的路径负有责任。
• 持久的教训不仅仅是保留备份。关键运营商必须能够在干净环境中恢复身份、配置、运营数据和通信；在不失去安全或货物完整性的情况下运行受约束的手动流程；并向公共机构和较小的客户提供足够及时、可转移的信息，以启动他们自己的连续性计划。

一个全球运营商丧失了决定下一步行动的能力

2017 年 6 月 27 日星期二，A.P. Moller - Maersk 是众多遭到恶意软件攻击的组织之一，该恶意软件看似勒索软件，实则是一种破坏性工具。最初的场景与办公室网络事件相似：屏幕变黑，应用程序停止，员工失去访问权限。但后果并未局限于办公室。Maersk 连接着跨越司法管辖区和时区的远洋运输、港口码头和货运代理。当共享应用程序和身份服务不可用时，中断便波及到了卡车进入码头、订舱成为货物移动以及电子舱单向操作员告知集装箱内物品的各个环节。

公司的2017 年第二季度投资者演示文稿提供了最明确的简要说明。Maersk 称，恶意软件通过用于乌克兰税务申报的软件进入，使应用程序和数据不可用，并主要影响了其集装箱相关业务：Maersk Line、APM Terminals 和 Damco。该公司表示，出于预防关闭了多个系统，引入了许多手动变通办法，并保持了对船舶的完全控制。它还称发生了严重影响员工和客户的重大中断，同时报告没有第三方数据泄露或数据丢失。

这些声明划定了一个基本边界。此事并未公开报道为导航或推进系统失控，分析不应将严重的商业和码头中断扭曲为虚构的船舶控制紧急情况。然而，船舶控制的存续并不意味着航运服务完好无损。一艘船可以安全航行，但其周围的网络可能无法接收下一批货物、读取处理其货物所需的文件、向卡车司机放行集装箱或向客户提供可靠的状态。运营韧性有多个层次，一个层次的安全状态并不能保证其他层次的连续性。

事件迅速从本地软件暴露扩展为企业中断。微软同期对 Petya 爆发的技术阐述指出了通过 M.E.Doc 更新程序的初始供应链路径，并描述了利用凭据窃取和模拟以及利用 MS17-010 所解决的 SMB 漏洞进行的横向移动。后续的微软网络分析将这种传播描述为复杂且经过充分测试。实际要点不在于一个错过的补丁能解释 Maersk 的遭遇。公开证据不支持这一简单结论。NotPetya 可以使用多种途径，包括合法凭据，因此风险取决于身份权限、网络可达性、分段、软件信任和遏制速度以及漏洞状态。

到 6 月 30 日，运营状况正在改善，但仍不平衡。一份APM Terminals 更新称，正在包括洛杉矶在内的一系列港口扩展闸口服务。这样的公开更新很有价值，因为它揭示了实际的恢复单元：不是“IT 已恢复”，而是特定地点的特定闸口或码头服务。全球恢复是一个由各地状态组成的组合。有些地点可以处理货物，有些则可提供有限的闸口，而面向客户的系统则按照自己的时间表恢复。

公司后来的财务报告证实，这不仅仅是一个短暂的技术不便。其2017 年第三季度中期报告将对盈利的影响定为 2.5 亿至 3 亿美元，其中绝大部分与第三季度的 Maersk Line 相关。报告称，运输量较可比季度下降了 2.5%，并受到了攻击的负面影响，并描述大部分财务影响来自七月和八月暂时失去的业务。营运资本也受到影响，同时 APM Terminals 和 Damco 也记录了与攻击相关的影响。

这一会计期间很重要。最明显的宕机发生在几天内，但商业后果在应用程序开始恢复后仍持续存在。服务器重启后，集装箱和船期不会立即回到之前的位置。不确定性期间放弃的订舱不会因门户重新启动而恢复。转移货物的客户、失去一次周转的卡车司机或为另一条路线付费的制造商所产生的影响，会超越技术恢复期。因此，恢复时间必须分别针对基础设施、应用程序、站点、交易积压和客户来衡量。

这次攻击是破坏性的，而非一次普通的赎金谈判

将此事件称为勒索软件可能掩盖了防御者和高管面临的实际决策。NotPetya 显示了付款要求，但其设计和后续的官方归因支持将其视为破坏性恶意软件。英国 2018 年的归因声明认定俄罗斯政府，特别是俄罗斯军方，对此负责，并称该攻击伪装成犯罪活动，但其主要目的是破坏。2020 年，美国司法部起诉六名俄罗斯 GRU 军官，涉及包括 NotPetya 在内的一场行动。这些指控是指控，并非定罪，但它们是一项正式的问责行动，且司法部明确将该恶意软件描述为破坏性的。

这一区别改变了恢复策略。在普通的敲诈场景中，决策者可能仍会争论是否存在解密器、数据是否被盗以及支付能否改变结果。而对于破坏性事件，保存和干净重建成为核心。恢复一台表面上运行的机器是不够的，如果特权凭据、软件分发路径或受信任的镜像可能已被攻破。组织必须建立一个干净的控制平面，从中进行重建、重置信任并决定哪些数据可以安全地重新引入。

这也改变了问责分析的公平性。Maersk 并不想受到攻击，而释放破坏性蠕虫的实体应对其造成的可预见和鲁莽的损害负责，这些损害超出了预定目标。受害者问责不能替代攻击者问责。两者共存，因为不同的行为者控制了因果链的不同部分。国家行为者控制着部署破坏性代码的决定。软件供应商控制着其更新环境。Maersk 控制着一个乌克兰业务依赖如何连接到其全球资产、特权身份和网络边界如何受到保护以及关键服务的可恢复性如何。

公开记录并非对这些控制措施的完整取证评估。Maersk 的申报文件指明了进入途径和影响，但未公布设备到设备的传播路径、补丁清单、权限图或关于哪些防护措施失效的独立调查发现。后来的报道提供了重要细节，但问责论证不应以自信的猜测填补剩余的空白。质疑一个受感染的端点为何能导致企业范围的损失是合理的。而在没有内部记录的情况下断言某位指定员工、一台未打补丁的机器或某一产品设置是唯一原因，则是不公平的。

更好的治理问题关乎失效域。跨国公司有时必须运行当地要求的软件，包括税务和海关工具，这些工具永远不会被选为全球技术标准。本地必要性并不能证明全球信任的合理性。具有狭隘区域目的的系统应被置于一种架构中，该架构假定其更新通道可能失灵：受限的权限、受控的出站连接、有限的可达性、受监控的执行、独立的管理凭据和快速隔离。如果业务无法消除这种暴露，它可以降低该暴露对其他所有事物的权限。

物理能力与数字授权被分离

集装箱物流使得资产与授权之间的区别异常可见。船舶、起重机、集装箱、底盘车、闸口和仓库是物理的。它们的高效运行依赖于能够回答基本但重要问题的数字记录：这是哪个箱子？它清关了吗？它应该去哪里？吊起来安全吗？哪位客户有权提货？它应装哪条船、哪个航次？有哪些危险品、冷藏或时效条件？

后来《连线》对 NotPetya 和 Maersk 恢复过程的重建报道称，APM Terminals 的 76 个码头中有 17 个受到影响，闸口和一些起重机作业停止，中央订舱网站不可用。该报道描述了码头失去对识别船舶内容物的电子文件的访问权限、新泽西州伊丽莎白的卡车排队以及客户难以定位或转运货物的情况。这是一份基于访谈的深度叙事证据，而非监管机构的取证报告。其内部具体声明应相应注明来源，但其大致描述与 Maersk 关于严重客户中断和运量损失的披露相符。

这一故障揭示了为什么“港口仍在开放”是一项不充分的连续性衡量标准。地主港务局、海关、码头运营商、航运公司、铁路公司和卡车司机都可以在技术上可用，而货物移动却仍不可能。一笔交易需要多项许可和记录达成一致。如果一个参与方控制着权威的货物状态，而该状态不可用，那么其他地方的空闲物理能力可能无济于事。

反之，无可信状态的数字可用性可能是危险的。码头不应仅仅因为起重机能够吊起一个集装箱就移动它。手动操作必须保留重量、危险品、海关、冷藏、所有权和积载限制。促使“货物流动起来”的压力不能凌驾于安全合法移动所需的信息之上。因此，一个有韧性的手动模式并非全面使用纸张的指令。它是一种特意限制的服务，具有定义的交易、独立可用的参考数据、双重检查、核对标识和明确的停止条件。

Maersk 报告称其引入了大量手动变通办法。《连线》的报道描述了使用个人电子邮件、通讯工具、电子表格和贴在集装箱上的纸张。在史无前例的紧急情况下，这种即兴做法可以是一种合理的过渡手段，并且体现了员工的聪明才智。但它也带来了完整性、隐私、授权和核对风险。通过紧急账户收到的消息可能是真实的、错误的或恶意的。电子表格可以保留一个订舱，但遗漏一个危险货物字段。纸质放行单可以促成移动，但随后会产生重复或未计费的交易。

问责的教训不是禁止即兴做法，而是将最佳的应急实践转化为下一次事件发生前的受控能力。一项最低可行终端服务应明确哪些货物类别可以移动、必须有哪些独立数据、谁可以批准例外情况、每项手动操作如何获得唯一记录、如何联系公共当局以及系统恢复后记录如何核对。能力应以每小时处理的卡车数或集装箱数来衡量，而不仅仅描述为“手动回退方案可用”。

恢复取决于重建信任

Maersk 故事中最令人印象深刻的部分涉及 Active Directory。在《连线》的重建报道中，大约 150 个域控制器曾相互同步并被清除，而最初无法找到该身份层的任何独立可用备份。加纳的一个域控制器在停电期间断开连接并幸存下来。有限的带宽使得远程传输不切实际，因此员工据称通过尼日利亚将驱动器传递到英国的恢复中心。

这一叙述常被简化为一个关于好运的轶事。其更深层的意义在于，身份是其上层一切事物的先决条件。企业可以拥有应用程序数据的备份，但如果无法重新创建受信任的用户、机器、权限、服务账户和管理权限，则仍可能无法恢复运营。身份系统不仅是另一个应用程序。它是声明哪些恢复的组件可以通信和行动的机制的一部分。

这个故事还区分了复制与备份。多个同步的域控制器可提高针对一般硬件故障的可用性。但如果破坏性状态可以触及所有副本，它们并不会创建独立的恢复能力。冗余回答的是“另一个活动节点能提供服务吗？”而备份回答的是“在所有活动节点变得不可信之后，组织能否回到一个已知良好的先前状态？”一份共享相同管理平面、连通性和破坏路径的副本可能是冗余的，但并非可恢复的。

现代指南明确指出了这种独立性。英国国家网络安全中心建议采取离线或隔离备份、多份副本、经过测试的恢复和干净恢复。NIST 的应急规划指南将恢复视为计划、程序和技术措施的协调组合，包括备用设备、手动处理和备用地点。这两份文件都不能证明 Maersk 在 2017 年的情况。但它们提供了一种严谨的方式来评估该事件所展示的问题。

对于一个全球物流运营商而言，可恢复的集合至少包含四个部分。第一是身份和管理控制平面。第二是基础设施配置：网络、安全、云、端点和平台定义，可以在不信任受损资产的情况下重建。第三是运营状态：订舱、舱单、集装箱位置、海关状态、危险品属性、设备分配和客户指示。第四是外部关系图：港口、当局、供应商、客户、银行和应急合作伙伴的验证联系方式和渠道。

每个部分都需要有自己的恢复点目标和恢复时间目标。一份三天前的服务器备份对于静态参考服务可能是可接受的，但对于每分钟都在变化的集装箱事件则不可接受。一份干净的身份备份可以恢复访问，但无法告知终端在中期间手动发生了哪些交易。存储在失效身份提供商后的客户联系列表可能是完整的，但毫无用处。因此，“备份成功”是一个糟糕的董事会指标。有用的证据是，代表性服务是否已在干净环境中、大规模地从受保护的输入重建，且时间在运营网络及其客户可容忍的期限内。

十天是一项成就，而非一个完整的韧性裁决

在 2018 年 1 月的世界经济论坛上，Maersk 董事长 Jim Hagemann Snabe 描述了一项非凡的努力：在十天内重建了 4,000 台服务器、45,000 台个人电脑和 2,500 个应用程序。这一规模被广泛引用，因为它体现了响应的劳动量和紧迫性。后来的《连线》报道称，一些恢复工作持续了更长时间，这与重建核心资产和完成每个应用程序或用户恢复之间的区别相符。

Maersk 自己的2017 年年度报告称恢复速度很快，并报告了 2.5 亿至 3 亿美元的损失，涵盖收入、IT 恢复和异常的运营成本。报告称已实施或计划了立即和长期的举措，以确保数字业务安全、强化基础设施平台、增强 IT 服务连续性和恢复能力以及加强业务连续性计划。公司还购买了网络保险。

这是一项可信的管理层响应，但这并不使恢复速度成为对事件前韧性或事件后保证的充分裁决。英勇恢复与设计韧性是不同的品质。英勇恢复依赖于杰出的人员、紧急采购、广泛的行政权力、供应商支持和持续努力。设计韧性使关键结果较少依赖于特殊条件。它缩小爆炸半径，保护受信任的恢复材料，预先安排容量，并在疲劳和不确定性占据主导之前提供经过演练的决策。

这一区别对员工问责至关重要。对非凡工作的赞扬可以悄然使一种需要非凡工作的运营模式正常化。董事会应询问有多少人工作了不安全的时长、哪些角色没有受过训练的替补、哪些恢复步骤依赖个人知识，以及应急权限是否事后记录在案。韧性计划应保留危机揭示的即兴知识，同时减少重复身体和心理负担的需要。

这也对财务问责至关重要。2.5 亿至 3 亿美元的估计并非全球损害总额。Maersk 描述的是攻击对其自身盈利造成的损失。它并未捕捉到客户和服务提供商所经历的每一次未获补偿的卡车周转、仓库订舱、错过的生产时段、物品变质、延迟的公共采购或营运资金压力。《连线》的报道引用了卡车司机和物流企业主的话，称他们承担了重大损失，但没有审计数据集支持将这些轶事加总为一个全经济数据。

同样，保险仅转移特定的财务后果。它无法恢复一票药品运输、保留一个小进口商的客户，或为港口当局提供实时的货物可见性。一个报告保险限额而不报告运营恢复证据的董事会，是在衡量资产负债表保护，而非服务韧性。两者都很重要，但它们并非替代品。

责任跟随控制，而非靠近恶意软件的距离

“Maersk 是受害者”这种说法正确但不完整。“Maersk 本应做好准备”也是如此。一个有用的问责分配是识别每个行为者在事件前、事件中和事件后本可作出的决定。

这种分配避免了将最近的系统管理员作为系统性事件的道德中心。如果一名当地员工被要求使用乌克兰税务软件，该员工并未决定全球信任架构。如果一名码头员工使用个人渠道抢救了一票货物，这一行动应被审查风险并从中学习，而不是与使其成为必要的条件割裂开来。高级别的问责始于架构、预算、风险接受和服务承诺的授权所在之处。

这也避免为下游组织开脱。一家公共机构或小型进口商无法重新设计一家承运人的身份系统。但它可以决定自身的连续性计划是否假定承运人的门户、客户团队和终端都同时保持可用。它可以将货运标识符和必要文件保存在供应商门户之外，约定紧急联系方式，分类哪些货物值得采用替代路线，并了解其库存或服务承诺能够吸收多长时间的延误。

问责应保持相称。小企业无法经济地维持每条线路上的双份订舱或为普通货物预留空运。市政采购方无法指挥一家全球承运人的恢复顺序。标准不是无限冗余。而是根据后果、时间敏感性、可替代性和可用资源，有意识地选择连续性措施。

港口使私营故障成为公共连续性问题

港口是制度性生态系统。公共港口当局、海关和边境机构、警察、卫生和农业检查员、私营运营的码头、承运人、铁路、卡车司机和货运代理共享同一物理和信息空间。因此，源自一家公司企业网络的故障可能产生公共任务，即使没有政府系统受到攻破。

美国政府问责局 2025 年海事网络安全审查将 NotPetya 作为一个突出的例子，报告称 Maersk 计算机被关闭，包括美国业务在内的港口运营停止，船舶在海上闲置。该报告还发现海岸警卫队在事件清单流程、战略规划和网络劳动力实践方面存在更广泛的差距。其制度意义在于：公共部门不能仅通过假定每个私营运营商已管理好自身依赖关系来履行海事安全和连续性责任。

当 NotPetya 袭击时，国际政策基线已在移动。攻击发生前十天，国际海事组织通过了第 MSC.428(98) 号决议，鼓励在 2021 年 1 月 1 日之后第一次年度验证前，在安全管理体系中处理网络风险。与之相关的2017 年海事网络风险指南围绕识别、保护、检测、响应和恢复组织行动，并包含高级管理层的参与和航运操作的连续性。

这些文书不应被误用。它们是高级别的海事安全指南，而非断定 Maersk 在 2017 年 6 月违反了某一具体码头 IT 规则的追溯性发现。它们的时间确实表明，航运的网络风险并非由 NotPetya 凭空创造。该事件加速了一个该行业已在面对的问责问题：如何将网络治理与海事领导者已经理解的安全和连续性体系联系起来。

后续指南变得更加可操作。欧盟网络安全局制定的港口网络风险指南将风险实践映射到港口安全流程，并强调一个可适配的评估周期。联合国贸易和发展会议的港口韧性指南将承运人、海关、货运代理、货主和内陆物流运营商视为协作的利益相关方。该指南指出，按价值计算，集装箱货物在海运贸易中的占比远高于按体积计算的占比，并且港口可能成为单点故障。

公共连续性规划应将此原则转化为操作性提问。如果承运人平台不可用，海关和码头可以使用哪些最低限度的货物数据？一个港口能否通过独立于受影响运营商身份系统的渠道验证紧急指令？当预约和闸口系统失灵时，谁管理卡车排队？如何在不允许自行声明的优先权压倒流程的情况下，优先处理冷藏、危险、医疗、食品和公共服务货物？何时暂停存储、滞期费或通行规则，谁可以宣布这一决定？

正确的答案很少是一个等待灾难的巨大共享电子表格。一个中央回退方案可能成为另一个共同故障和诱人的敏感贸易数据来源。更好的连续性使用商定的最小数据集、可互操作的格式、受保护的本地提取、明确的法律授权、经过测试的通信路径和一种联邦式的事件核对方式。公共部门的角色是召集和测试没有任何单个公司拥有的接口。

港口数字化使这一点更加紧迫。世界银行将港口社区系统描述为连接海关、港口管理、承运人、物流公司和货运代理的协作平台。此类系统可以降低成本并提高韧性，特别是对较小的参与者而言，但其价值增加了故障或不良整合的后果。效率架构需要降级架构：当共享平台或一个主要贡献者消失时，每个参与者仍能看见和做什么的答案。

小企业对延误的感受不同

Maersk 中断波及小企业在多个角色中：安排货运的货运代理、服务码头的卡车公司、报关行、仓库运营商、出口商、进口商和等待投入品的企业。有些是直接客户；另一些在经济上依赖码头吞吐量，但没有承诺赔偿的合同。他们的连续性问题与 Maersk 的不同。他们不需要重建数千台服务器。他们需要权威的状态、获取货物、一个可信的替代方案以及足够的现金来承受等待。

小企业在结构上面临物流不确定性。经合组织关于中小企业与贸易的工作指出，较小的企业资源较少，难以承担跨境成本，并且更容易受到贸易壁垒的不成比例影响，而贸易便利化和连通性有助于支持及时交付。因此，一场增加电话沟通、存储、重复文件、紧急运输和不确定放行日期的中断，带来的不仅是时间延迟。它增加了固定协调成本，这些成本更难以通过规模来分摊。

对中小企业而言，提供商集中有两层含义。在某一运输线路上，可能只有一家商业上合理的承运人或码头，而几项看似独立的服务可能依赖同一运营商的数据控制平面。通过货运代理购买海运服务，并不一定形成一条独立的路线，如果订舱、码头和客户状态链条都汇聚于同一承运人。连续性映射必须遵循实际的移动和信息路径，而非发票或中介的数量。

实际的应对始于数据保管。小型进口商应在一个无需打开承运人门户的地方保留订舱参考号、提单和商业文件、集装箱和铅封号、海关状态、危险品或冷藏要求、联系方式和承诺的里程碑。这不是试图复制提供商的操作数据库。这是识别货物、证明权限并向另一方寻求帮助所需的最小信息包。

接下来是分类。企业应提前决定哪些货物可以等待，哪些可以改走其他班次，哪些威胁到生产或公共承诺，以及哪些可能值得进行昂贵的空运或陆运替代。答案应包括支出权限。在 Maersk 事件中，稀缺的替代方案和不确定的信息迫使人们在压力下做出决定。一个预先商定的门槛允许运营负责人在创始人、财务主管或公共客户被联系到之前采取行动。

沟通需要与备份相同的独立性。英国国家网络安全中心提供了一份小企业响应与恢复指南，强调准备、角色、联系人、解决、报告和学习。对于物流依赖事件，联系表应超越内部网络响应人员。它应包括承运人的紧急路线、码头、货运代理、报关行、仓库、保险公司、银行、关键客户和相关公共当局。一份打印或独立存储的副本在电子邮件或单点登录是故障的一部分时就显得至关重要。

最后，合同应说明运营公平性的面貌。通知渠道、数据访问、不可通行闸口期间的费用豁免、货物保管责任、索赔文件记录和升级路线，比一项广泛的高可用性承诺更有用。并非每个小客户都能谈判定制条款，这就是为什么港口当局、监管机构、行业协会和大型物流提供商在标准化保护方面应有作为。目标不是为每次延误提供有保证的赔偿。而是一个可预测的流程，不迫使最弱势的一方去证明一次运营商已经知道发生了的中断。

通用的准备资源仍然相关。Ready Business将通信、IT 恢复、连续性计划、培训和演习结合起来，而不是将网络恢复视为一个孤立的技术计划。CISA 致企业领导人的指南同样指出，将韧性投资重点放在关键业务功能上，并在入侵后测试连续性。对于一家小企业，演习可以适度：一小时，团队假设承运人门户、客户代表和主要终端不可用，然后尝试定位两批优先货运并做出有文件记录的改线决定。

手动连续性必须有设计限制

Maersk 的手动变通办法受到恰当的赞赏，因为它们在数字资产被重建的同时保留了大部分服务。它们也表明了为什么手动连续性不能被描述为无限的替代方案。人工吞吐量较低，错误更难发现，并且以后核对所需的记录会迅速倍增。降级模式持续的时间越长，其自身的积压和控制债务就越成为恢复问题。

一个可靠的手动计划有一个最大的范围和时间。它确定必须继续的功能、可以暂停的功能以及没有系统绝不应尝试的功能。它根据安全和后果分配稀缺容量。它规定交易如何授权、记录和检查。即使当地团队使用不同的工具，也要保持单一的事件时钟和顺序。它保留人员进行核对，因为每一份临时记录最终都必须与恢复的系统对接。

该计划还必须经受普通工作场所技术丧失的考验。存储在相同文件共享上的应急表格、在同一身份提供商之后的联系人列表以及依赖同一网络的会议桥，都不是连续性资产。NCSC 的技术响应指南建议组织维护干净的备份、备用设备和可用的日志；更广泛的原则是，响应者需要一套独立的最低限度工具集。对于一家分散的物流公司，这可能包括干净的笔记本电脑、独立的通信、预先批准的外部身份、受保护的配置存储库和区域恢复工具包。

手动操作应与接收方进行演练。一个码头可以开出纸质放行单，但如果闸口工作人员、海关或卡车司机无法验证它，它就没有连续性价值。一家承运人可以通过紧急电子邮件接受订舱，但如果危险品声明无法跟上，则该订舱是不安全的。一个公共机构可以制作一份优先级列表，但如果无法以经过验证的方式将该列表与集装箱匹配，它就会失败。联合演习会在事件造成商业压力以忽视这些界面故障之前发现这些故障。

容量指标应诚实。“码头可以手动操作”说明不了什么。一个更强有力的陈述是，一个指定地点可以安全地处理一个既定类别的移送，以正常吞吐量的一定百分比持续一定小时数，并承担已知的核对负担和明确的除外项。公布所有细节可能产生安全或商业风险，但董事会和相关当局应看到证据。

董事会应要求查看什么

NotPetya 事件后，Maersk 表示加强了网络韧性、基础设施、服务连续性、恢复和业务连续性。公开报告未披露足够的细节以独立验证每项措施的当前状态，而缺乏细节并不证明工作没有完成。这确实意味着外部读者应将一个公开宣布的计划与经过测试的结果区分开来。

第一件董事会应获取的产出是一个服务地图，而不是资产清单。它应从接受订舱、允许卡车进入、读取船舶货物数据、释放集装箱、监控冷藏箱和传达状态等成果开始。对于每个成果，它应识别身份、网络、应用程序、数据、设施、供应商和公共机构的依赖关系。该地图应揭示多个成果共享一个管理平面或本地软件信任路径的时刻。

第二件产出应是破坏性恢复的证据。组织能否在没有任何活动企业服务的情况下构建一个干净的身份环境？凭据、密钥、设备信任、配置和特权工作站是否按受控顺序恢复？备份是否对受攻破的管理员不可访问、保留足够长时间、经过扫描和测试？是否有一个代表性的码头或订舱服务已从受保护的输入中以运营规模重建？

第三件应是降级操作的证据。哪些服务可以手动运行，以何种容量和哪些安全控制？公司何时停止接受新工作以保护已由其监管的货物？手动记录将如何核对？如果企业身份和电话同时丧失，哪些通信渠道仍然可用？该计划上次与港口、海关、大客户和小型物流提供商联合演习是什么时候？

第四件应是第三方后果数据。它应显示不仅是公司的停机时间，还有被拒绝的闸口移车、错失的订舱、失踪的货物、冷藏异常、客户状态延迟、费用争议和索赔。它应区分拥有专门支持的大客户与较小的客户和间接运营商。一个在恢复收入的同时却让客户无法获得权威状态的恢复计划，并未完成服务恢复。

第五件应是闭环证据。每项补救措施应指明观察到的故障路径、负责人、截止日期、测试、例外和独立审核者。降低可能性的控制措施，如打补丁和分段，应与减少后果的控制措施区分开来，如干净的身份恢复和手动终端模式。网络保险应记录为财务转移，而非技术补救。

第六件应是关于人员的学习。哪些决策因为权限不明确而被延迟？哪些响应者掌握了独特的知识？哪些即兴工具被证明有用，哪些造成了不可接受的风险？公司如何在不假设数百人可以再次承受全天候重建的情况下，保持应急能力？运营韧性包括人员配置、供应商动员、签证、差旅、设施、食物、休息和继任，因为一个干净恢复设计仍需由人来执行。

监管正在追赶运营现实

自 2017 年以来，海事网络治理已变得更加具体。在美国，海岸警卫队的《海上运输系统网络安全》最终规则于 2025 年 7 月 16 日生效。它要求适用的美国船旗船舶和设施报告事件，并分阶段实施培训、指定网络安全官员、评估和经批准的网络安全计划。该规则并不能使 NotPetya 的重演变得不可能，但它创建了指定的所有权和可审计的规划，而依赖自愿成熟度已被认为不足。

GAO 2025 年的发现提醒我们，监管也需要运营能力。规定只有在当局能够理解事件、维护可靠的证据基础、在地方层面进行协调并测试计划是否解决实际依赖关系时才有效。当每个实体单独提交一份文件时，港口网络韧性并未实现。它是在计划连接于货物、安全信息和公共当局跨组织交叉的共享接口时才出现。

监管机构还应保持相称性。一家全球承运人和一家小型报关行不能承担相同的控制负担。大型运营商可以合理地预期出具独立的恢复证据、维护干净环境能力并支持联合演习。小型企业需要基准安全、可用的连续性计划和对共同渠道的访问。公共机构可以通过定义最小数据集、共同的事件术语、示范收费政策和演习格式来降低集体成本。

透明度也必须进行校准。发布完整的网络或身份架构会产生新的风险。仅发布“系统已恢复”则带来的问责太少。有用的披露包括受影响的服务和地点、带有时限的恢复状态、客户行动、货物安全或数据完整性是否存在问题、根本原因和控制失效的类别，以及补救措施将如何得到独立保证。特定的敏感细节可保留给监管机构或审计人员。

最终的衡量标准是依赖是否变得可治理

Maersk 在 2017 年的响应展示了令人敬畏的恢复能力。员工保持了船舶控制，即兴建立了服务渠道，并在极端条件下重建了一个庞大的技术资产。公司承受了巨大的财务影响，并随后报告了对网络韧性和连续性的投资。这些事实值得重视。

这些事实并没有抹去核心的问责信号。一个本地必需的软件关系获得了足够的实际触及范围，帮助中断了世界各地的集装箱运营。复制的身份基础设施未必提供了独立的可恢复性。客户和码头合作伙伴不仅失去了对网站的访问权限，而且失去了协调实体商业所需的信息。较小的运营商和公共机构不得不承担 Maersk 报告损失范围之外的后果。

运营韧性常被描述为反弹的能力。对于其他方所依赖的基础设施而言，这个说法过于被动。一个关键运营商必须提前决定它将保留什么，在没有主要系统的情况下可以安全地做什么，谁的需求将被优先考虑，真相将如何传达，以及什么证据将证明恢复。其客户和公共合作伙伴必须决定当运营商本身成为不可用的依赖项时，他们将做什么。

因此，Maersk 案例的持久价值不在于 45,000 台电脑被重装的壮观场面。而在于对一个隐藏层级的暴露。身份必须首先恢复，应用程序才能相互信任。货物数据必须恢复，物理能力才能被安全使用。权威状态必须恢复，客户才能做出理性选择。在系统名义上可用之后，核对仍必须继续进行。每一层都有不同的时钟。

一个成熟的问责机制遵循这些时钟。它不会在第一台服务器恢复时宣告胜利，或将责任归咎于第一个受感染的办公室，或要求小客户从一份企业财务估算中推断连续性。它询问的是：破坏性权限是否已被限制，恢复信任是否存在于故障域之外，手动服务是否安全且可衡量，公共部门和中小企业的依赖关系是否可见，以及补救措施是否已由能够挑战它的人进行了测试。

NotPetya 是一次破坏性的侵略行为。Maersk 的责任不是使这种侵略不可能发生。它的责任过去是，现在仍是，使公司对数字信任的依赖变得可治理：在故障前有限，在故障中可生存，在故障后可重建，并对在全球航运失去记忆时必须继续运营的机构和企业来说清晰可读。