網(wǎng)絡(luò)安全是快速發(fā)展的在線企業(yè)最關(guān)心的問題。隨著越來越多的小企業(yè)在線轉(zhuǎn)移服務(wù)或存儲(chǔ)數(shù)據(jù)，他們將自己置于遭受網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)之中。
在這場(chǎng)打擊網(wǎng)絡(luò)犯罪和黑客的斗爭(zhēng)中，企業(yè)必須通過實(shí)施網(wǎng)絡(luò)安全最佳實(shí)踐來鞏固堅(jiān)實(shí)的防御。本文將介紹每個(gè)公司應(yīng)采取的關(guān)鍵策略，以避免攻擊并減少暴露。
網(wǎng)絡(luò)攻擊的目的是破壞系統(tǒng)并訪問可以貨幣化的相關(guān)數(shù)據(jù)，包括被盜的信用卡信息或身份盜竊憑證。
強(qiáng)大的網(wǎng)絡(luò)安全政策和程序可以為組織節(jié)省數(shù)百萬美元。它確實(shí)需要初始投資來建立穩(wěn)定的網(wǎng)絡(luò)并防止入侵。但網(wǎng)絡(luò)攻擊的嚴(yán)重性和規(guī)模每天都在增加，威脅迫在眉睫。因此，防范此類危險(xiǎn)的必要性至關(guān)重要。
推薦的網(wǎng)絡(luò)安全優(yōu)秀實(shí)踐
采用以下網(wǎng)絡(luò)安全最佳實(shí)踐，讓您的組織做好應(yīng)對(duì)網(wǎng)絡(luò)威脅的準(zhǔn)備，并確保業(yè)務(wù)的連續(xù)性。
1. 創(chuàng)建專門的內(nèi)部威脅角色
內(nèi)部威脅計(jì)劃被認(rèn)為是現(xiàn)代網(wǎng)絡(luò)安全戰(zhàn)略的核心部分。讓有權(quán)訪問數(shù)據(jù)的員工存在風(fēng)險(xiǎn)，因?yàn)樗麄兛赡軙?huì)泄露信息或損壞設(shè)備。對(duì)于擁有敏感數(shù)據(jù)的公司來說，創(chuàng)建內(nèi)部威脅計(jì)劃至關(guān)重要，并且可能會(huì)因內(nèi)部攻擊而導(dǎo)致聲譽(yù)受損。它確實(shí)需要成本，并且可以被視為低優(yōu)先級(jí)任務(wù)，企業(yè)不應(yīng)拖延，而應(yīng)獲得高層管理人員的支持來制定跨所有部門的政策。
2. 進(jìn)行網(wǎng)絡(luò)釣魚模擬
網(wǎng)絡(luò)釣魚攻擊是全球企業(yè)遇到的最普遍的網(wǎng)絡(luò)威脅形式之一。網(wǎng)絡(luò)釣魚模擬應(yīng)該培訓(xùn)員工如何避免點(diǎn)擊惡意鏈接或下載未知文件。提高網(wǎng)絡(luò)安全意識(shí)，例如模擬網(wǎng)絡(luò)釣魚攻擊，可以幫助員工了解網(wǎng)絡(luò)釣魚攻擊的深遠(yuǎn)影響。模擬創(chuàng)造了一個(gè)安全的空間，可以測(cè)試員工的知識(shí)、提出問題并找出最新的技巧。
3. 保障遠(yuǎn)程工作和出差員工的安全
許多企業(yè)員工都有在出差時(shí)通過不安全的公共 Wi-Fi 網(wǎng)絡(luò)訪問企業(yè)網(wǎng)絡(luò)的危險(xiǎn)習(xí)慣。為了方便而犧牲安全性在企業(yè)界是不可接受的，員工應(yīng)該意識(shí)到他們所承擔(dān)的巨大風(fēng)險(xiǎn)。關(guān)于避免風(fēng)險(xiǎn)的預(yù)防措施的培訓(xùn)和教育至關(guān)重要。諸如在旅行時(shí)使用 VPN 上網(wǎng)、安裝反惡意軟件程序等選項(xiàng)將縮小辦公室外員工的安全漏洞。閱讀我們有關(guān) 遠(yuǎn)程訪問安全的文章。
4. 優(yōu)先考慮員工隱私
人們對(duì)數(shù)據(jù)隱私意識(shí)和數(shù)字?jǐn)?shù)據(jù)敏感性的擔(dān)憂空前高漲，新的立法不斷出臺(tái)以更好地對(duì)其進(jìn)行監(jiān)管。可以通過“匿名”其數(shù)據(jù)并采取措施以預(yù)防能力保護(hù)他們免受威脅來優(yōu)先考慮員工隱私。通過研討會(huì)和演示對(duì)員工進(jìn)行有關(guān)不同網(wǎng)絡(luò)安全政策和當(dāng)?shù)胤傻慕逃瑥?qiáng)調(diào)對(duì)其隱私的影響。
5.制定網(wǎng)絡(luò)安全意識(shí)培訓(xùn)計(jì)劃
公司調(diào)查發(fā)現(xiàn)，三分之二的 內(nèi)部威脅事件 是由員工或承包商發(fā)起的，這些事件是可以預(yù)防的 ( ObserveIT )。員工是抵御網(wǎng)絡(luò)犯罪的第一道防線。他們的教育對(duì)于培養(yǎng)保護(hù)組織所需的所有技能和知識(shí)至關(guān)重要。全面的網(wǎng)絡(luò)安全意識(shí)計(jì)劃將創(chuàng)造一種重要的“安全第一文化”。它將解決識(shí)別風(fēng)險(xiǎn)、改變員工行為和跟蹤改進(jìn)指標(biāo)等方面的問題。
6. 告知第三方承包商網(wǎng)絡(luò)安全政策
由于全球化和互聯(lián)性，許多企業(yè)利用將專門工作負(fù)載分配給第三方合作伙伴或外包實(shí)體的優(yōu)勢(shì)。但是，這些第三方承包商必須了解您正在使用的網(wǎng)絡(luò)安全政策。內(nèi)部員工以及第三方承包商都必須了解或接受培訓(xùn)，以遵守已制定的網(wǎng)絡(luò)安全政策。
7. 實(shí)施信息系統(tǒng)治理方法
每個(gè)公司都應(yīng)建立并維護(hù)與企業(yè)現(xiàn)有保障策略相一致的信息安全 (IS) 框架。選擇其中一種方法時(shí)，應(yīng)確保所選計(jì)劃為各級(jí)管理人員提供采用基于風(fēng)險(xiǎn)的方法的能力。該策略使員工能夠更快地發(fā)現(xiàn)事件、調(diào)查并做出響應(yīng)。
8. 監(jiān)控用戶和文件活動(dòng)
惡意內(nèi)部威脅往往會(huì)利用多種渠道來竊取數(shù)據(jù)。開發(fā)一個(gè)良好的用戶和文件活動(dòng)監(jiān)控系統(tǒng)是解決此問題的最佳解決方案之一。現(xiàn)有的 解決方案（例如數(shù)據(jù)丟失防護(hù)）僅關(guān)注數(shù)據(jù)而不關(guān)注用戶活動(dòng)，無法防止系統(tǒng)內(nèi)部的所有惡意內(nèi)部威脅。如果您密切監(jiān)控用戶并了解他們?cè)L問哪些文件，就可以更輕松地對(duì)事件做出反應(yīng)或預(yù)防事件。
9.警惕國(guó)家支持的威脅
有充分證據(jù)表明，醫(yī)療保健、技術(shù)和銀行等高價(jià)值行業(yè)的員工可能會(huì)受到向外國(guó)政府和實(shí)體出售數(shù)據(jù)的金錢激勵(lì)。了解此類實(shí)體的動(dòng)機(jī)和潛在的內(nèi)部目標(biāo)是重中之重，這樣您就可以發(fā)現(xiàn)可疑和不正當(dāng)行為的模式。
10. 強(qiáng)制使用密碼管理器、SSO 和MFA
如今，使用重復(fù)或弱密碼在跨國(guó)公司員工中仍然是一種非常常見的做法。實(shí)施 企業(yè)密碼管理解決方案是應(yīng)對(duì)公司潛在安全弱點(diǎn)的最可行選擇。
11. 審核特權(quán)訪問
對(duì)于公司的主管管理層來說，建議檢查有權(quán)訪問業(yè)務(wù)或數(shù)據(jù)敏感區(qū)域的用戶數(shù)量。授予特權(quán)訪問是一種必要的風(fēng)險(xiǎn)，尤其是在員工變動(dòng)或角色變化等情況下。企業(yè)應(yīng)定期檢查權(quán)限，采用臨時(shí)或輪換憑證系統(tǒng)，或開發(fā)特權(quán)訪問審核系統(tǒng)。
基本網(wǎng)絡(luò)安全實(shí)踐
安全團(tuán)隊(duì)負(fù)責(zé)解決內(nèi)部違規(guī)的風(fēng)險(xiǎn)。要制定針對(duì)內(nèi)部風(fēng)險(xiǎn)的強(qiáng)有力計(jì)劃，請(qǐng)?jiān)诮M織安全措施時(shí)采取系統(tǒng)方法。以下是一些基本的網(wǎng)絡(luò)安全實(shí)踐：
12. 阻止數(shù)據(jù)丟失
企業(yè)經(jīng)常遇到數(shù)據(jù)泄露和被盜造成的問題。現(xiàn)代公司最關(guān)心的安全問題之一是從端點(diǎn)泄露數(shù)據(jù)的行為。公司應(yīng)始終控制訪問、監(jiān)控承包商、供應(yīng)商以及員工，以清楚地了解各方如何訪問和處理數(shù)據(jù)。
13. 檢測(cè)內(nèi)部威脅
雖然訓(xùn)練有素的用戶是公司安全和防御的第一道防線，但技術(shù)仍然是主要工具。公司可以通過定期監(jiān)控用戶活動(dòng)來檢測(cè)未經(jīng)授權(quán)的行為。此策略可幫助公司驗(yàn)證未違反安全策略的用戶操作，同時(shí)標(biāo)記違反安全策略的用戶操作。
14. 備份數(shù)據(jù)
定期備份數(shù)據(jù)應(yīng)該是強(qiáng)制性的做法，尤其是當(dāng)您考慮到“Wannacry”和“Petya”等惡意勒索軟件時(shí)。數(shù)據(jù)備份是一種很好的做法，可以納入基本的安全衛(wèi)生，也可以對(duì)抗新興的網(wǎng)絡(luò)威脅。
謹(jǐn)防社會(huì)工程學(xué)
社會(huì)工程策略被認(rèn)為是一種威脅，幾十年來一直被用來獲取登錄憑據(jù)和加密文件的訪問權(quán)限。此類嘗試可能來自電話設(shè)備、電子郵件、社交媒體資料等。在這種情況下，最好的防御措施是執(zhí)行以下操作：
15. 概述新員工和第三方的明確使用政策
公司對(duì) IT 安全的要求和期望應(yīng)在雇傭合同以及公司可能擁有的各種 SLA 和 SOP 中明確說明。
16. 更新軟件和系統(tǒng)
網(wǎng)絡(luò)威脅和犯罪不斷增加，優(yōu)化的安全網(wǎng)絡(luò)最終可能會(huì)成為其犧牲品。因此，公司的網(wǎng)絡(luò)應(yīng)始終受到保護(hù)。計(jì)劃定期軟件更新并安排硬件安全維護(hù)。
17. 創(chuàng)建事件響應(yīng)手冊(cè)
無論公司采取多少安全措施來應(yīng)對(duì)不斷上升的網(wǎng)絡(luò)犯罪，面對(duì)看不見的威脅的脆弱性仍然存在。因此，公司應(yīng)該制定 安全事件響應(yīng)計(jì)劃 ，以防受到攻擊。該計(jì)劃將使管理層能夠限制安全漏洞造成的損害，從而有效地補(bǔ)救這種情況。
18. 教育和培訓(xùn)用戶
員工應(yīng)該接受如何創(chuàng)建和維護(hù)強(qiáng)密碼、識(shí)別網(wǎng)絡(luò)釣魚電子郵件、避免危險(xiǎn)應(yīng)用程序等方面的培訓(xùn)，確保在遭受外部攻擊時(shí)有價(jià)值的信息不會(huì)流出公司。
19. 保持合規(guī)性
無論公司實(shí)施或已經(jīng)擁有何種級(jí)別的網(wǎng)絡(luò)安全，都應(yīng)始終遵守監(jiān)管機(jī)構(gòu)的要求，例如：HIPAA、PCI、ISO 和 DSS 并遵循他們的最新指南。
準(zhǔn)備就是預(yù)防
企業(yè)在制定安全管理策略時(shí)可以考慮實(shí)施許多網(wǎng)絡(luò)安全最佳實(shí)踐。我們重點(diǎn)介紹了其中十項(xiàng)做法，作為開始保護(hù)其內(nèi)部和在線業(yè)務(wù)和資產(chǎn)的旅程的起點(diǎn)。全面的網(wǎng)絡(luò)安全計(jì)劃將保護(hù)公司免受持久的財(cái)務(wù)后果，并防止聲譽(yù)受損。做好預(yù)防事件和攻擊的準(zhǔn)備至關(guān)重要，也是現(xiàn)代企業(yè)生存的關(guān)鍵。 立即聯(lián)系我們的專家 ，了解如何實(shí)現(xiàn)合規(guī)并更好地保護(hù)在線數(shù)據(jù)。
提高網(wǎng)絡(luò)安全的其他做法
- 選擇工具之前構(gòu)建流程：組織者應(yīng)實(shí)施正式的安全治理計(jì)劃，并在決定工具、設(shè)備或軟件之前仔細(xì)考慮將實(shí)施的策略。
- 招募人力資源人員以阻止數(shù)據(jù)丟失：公司應(yīng)該招募能夠開發(fā)和執(zhí)行更好的離職流程以保護(hù)數(shù)據(jù)的人力資源團(tuán)隊(duì)。他們可以通過系統(tǒng)地刪除已離職或即將離職員工的訪問權(quán)限來做到這一點(diǎn)。
- 優(yōu)先考慮可見性：可以通過持續(xù)監(jiān)控用戶活動(dòng)來防止惡意和意外的內(nèi)部威脅。因此，所選擇的軟件還應(yīng)該為管理提供不受限制的可見性。
- 自動(dòng)化：諸如系統(tǒng)更新之類的小事情永遠(yuǎn)不應(yīng)該取決于用戶的判斷力。只要有可能，自動(dòng)更新、事件檢測(cè)等都應(yīng)該自動(dòng)化，以避免人為錯(cuò)誤的情況。只有復(fù)雜的戰(zhàn)略行動(dòng)以及其他需要人為干預(yù)的活動(dòng)才能依賴員工。
- 遵守 GDPR：通用數(shù)據(jù)保護(hù)條例 (GDPR) 是負(fù)責(zé)監(jiān)管所有歐洲公民數(shù)據(jù)隱私的監(jiān)管機(jī)構(gòu)。大多數(shù)在歐盟境內(nèi)運(yùn)營(yíng)的公司需要確保遵守該法律的指令。
- 使用 HTTPs 保護(hù)網(wǎng)站：公司應(yīng)使用 SSL 證書保護(hù)其網(wǎng)站和用戶。此外，Google 鼓勵(lì)企業(yè)使用 HTTPs 來確保安全和私密的連接，以保護(hù)用戶與其網(wǎng)站的連接。這種額外的安全級(jí)別是實(shí)施站點(diǎn)加密、數(shù)據(jù)完整性和身份驗(yàn)證的基本方法的首要步驟之一。
