識别和克服網絡安全風險的5個步驟

不管人們喜歡與否，現代企業如果不采取行動保護自己不受黑客攻擊，就會把自己置于風險之中(zhōng)。最近發生(shēng)的一(yī)些全球網絡洩露事件也表明了信息安全對企業的重要性。包括英國國家衛生(shēng)服務局(NHS)在内的一(yī)些組織的損失估計将達到數十億美元。

 

　　WannaCry病毒是感染大(dà)量運行Windows XP系統的計算機的惡意軟件的名稱。用戶如果想到登錄隻能面對贖金要求，在倒數計時器和比特币錢包面前，有的交納了贖金。數以千計的NHS患者的數據已鎖定，其中(zhōng)包括一(yī)些計劃進行的手術。

　　許多中(zhōng)小(xiǎo)企業不了解他們的數據在多大(dà)程度上處于危險之中(zhōng)，并且經常不知(zhī)道從哪裏開(kāi)始處理這個問題。 2015年，英國政府發布新聞稿呼籲，表示企業需要計劃進行網絡攻擊。研究顯示，多達90%的大(dà)型企業和74%的中(zhōng)小(xiǎo)型企業遭受信息安全漏洞的攻擊。

　　可以理解的是，大(dà)部分(fēn)的小(xiǎo)企業主并不十分(fēn)重視這個危險，也許沒有意識到像社交媒體(tǐ)或者U盤這樣的東西留在錯誤的地方就足以讓整個組織處于風險之中(zhōng)。如果你在這個團隊，你應該開(kāi)始審查風險并制定安全程序。這個指南(nán)爲人們提供了一(yī)個起點，可以立即實施五個步驟來提高企業的安全性。

　　1、找出風險，并記錄它們在哪裏

　　确保企業免受網絡威脅的起點是通過全面的風險評估來确定它們的位置。這一(yī)步将向你展示企業所擁有的可能是網絡黑客可能會感興趣的内容。請記住，客戶數據通常是最重要的保護對象，因爲盡管與研究數據或知(zhī)識産權相比，其丢失的直接成本可能很小(xiǎo)，但是企業因爲罰款和訴訟可能會損失更多。此外(wài)，企業的公衆形象的成本和客戶信任的損失可能需要數年才能恢複。

　　考慮企業所有的數據，以及來自哪裏，存儲在哪裏，哪些人可以訪問它們，以及他們必須通過哪些安全程序來實現。這些措施是否足夠安全？是否使用雙因素身份驗證(超出基本密碼保護的額外(wài)安全性)？内部員(yuán)工(gōng)是否值得信賴？企業是否有嚴格的協議，政策或自動限制來保護自己的網絡，電(diàn)子郵件和其他系統？企業是否加密網絡上的數據，是否安全地處理廢舊(jiù)電(diàn)腦？企業的相關管理人員(yuán)應該問自己所有這些問題。

　　如果企業的員(yuán)工(gōng)正在使用個人筆記本電(diàn)腦和手機辦公，那麽可能需要制定書(shū)面政策，以防止他們有影響系統安全性的活動。或者如果他們使用公司提供的設備，企業可能需要關于他們在家中(zhōng)使用的系統的規則，或者他們如何在辦公室使用社交媒體(tǐ)。對于數字安全，定期組織人員(yuán)培訓是任何組織必須的措施。

　　2、跟蹤内部和外(wài)部的風險

　　一(yī)旦企業确定并記錄了所處于危險之中(zhōng)的位置，那麽下(xià)一(yī)步就是将注意力集中(zhōng)在那些可能危及企業業務安全的那些居心不良的人身上。了解可能威脅到企業網絡犯罪的種類，以及它們通常如何進行，以便企業可以更好地保護自己。網絡犯罪分(fēn)子形形色色，雖然企業更有可能受到外(wài)部的威脅，但組織中(zhōng)的内部員(yuán)工(gōng)也同樣具有風險。

　　一(yī)個危險是“秘密黑客”，他們作爲員(yuán)工(gōng)加入公司，以便輕松訪問其安全系統并竊取數據。居心不良的雇員(yuán)也可能願意幫助網絡攻擊者換來一(yī)筆資(zī)金。或者也許一(yī)個感到委屈的工(gōng)作人員(yuán)想争取到業務獲取秘密。這種情況是罕見的，所以企業雖然不必分(fēn)析工(gōng)作人員(yuán)每個行爲，但重要的是要意識到這一(yī)威脅。

　　3、确定系統的薄弱點

　　現在，企業應該明确了解誰可能針對其業務，以及他們在哪裏，企業應該對自己的可能吸引這些攻擊者的資(zī)産進行評估。接下(xià)來，必須先找到數據安全性中(zhōng)的任何弱點。企業可以使用各種方法分(fēn)析自己的系統和網絡的安全性，其中(zhōng)一(yī)些工(gōng)具甚至是免費(fèi)的。這些工(gōng)具可使企業的軟件保持最新狀态，并識别已知(zhī)的漏洞。

　　入侵檢測和預防系統(IDPS)與防火(huǒ)牆類似，除了識别出網絡外(wài)的可疑活動之外(wài)，還可以識别内部威脅。顧名思義，這些系統還可以保護企業的網絡免受其他的威脅。

　　滲透測試是保持系統安全性的另一(yī)種有用方法，企業應該定期使用它。滲透測試模拟攻擊，以檢查企業的IT系統和網絡是否存在網絡犯罪分(fēn)子可能利用的弱點。滲透測試報告還提供了解決方案和建議，幫助企業降低違規風險。

　　4、确定威脅的影響及其發生(shēng)的可能性

　　業務影響分(fēn)析可以幫助企業識别各種網絡安全漏洞的可能結果。這種違規行爲可能會帶來超出經濟損失的影響。例如，企業的業務可能會受到影響，因爲企業采取步驟從影響中(zhōng)恢複，并采取新措施，以防止未來的襲擊，以及對企業的公衆形象的任何損害，信任評級将對企業與現有和潛在的新客戶以及新聞界的關系産生(shēng)嚴重影響。認真對待這一(yī)威脅至關重要：60%的小(xiǎo)公司在網絡犯罪受害者的半年内倒閉了。

　　不同類型的攻擊可能對組織中(zhōng)的不同人員(yuán)産生(shēng)影響，攻擊規模也将決定企業範圍的程序和協議的更改是必要的，或者決定本地團隊是否可以解決問題。制定業務連續性計劃，以準備和處理可能出現的任何問題。或者，如果企業想更進一(yī)步，請考慮實施網絡安全事件響應計劃。

　　5、優先考慮風險并開(kāi)始解決

　　現在企業知(zhī)道可能會失去(qù)什麽，以及如何可能受到攻擊，那麽企業應該可以确定其最緊迫的安全問題。首先制定一(yī)份優先事項清單，逐一(yī)處理，制定必要的措施，使其業務盡可能安全。企業應該廣泛測試其所做的任何更改，以确保它們正常工(gōng)作，并且不會妨礙業務正常運行。其中(zhōng)一(yī)些步驟可能需要外(wài)部援助，可以尋求IT服務提供商(shāng)的幫助，以确保企業的系統安全。

　　盡管網絡黑客最有可能對企業有着很大(dà)的興趣，但請不要忘記，企業的内部員(yuán)工(gōng)仍然是IT安全的最大(dà)威脅。這并不意味着他們會破壞企業運營，但是由于他們不一(yī)定了解所使用的技術或各種網絡威脅，所以需要進行定期的培訓，以确保他們識别和應對最新的風險，意識到風險的重要性。讓内部工(gōng)作人員(yuán)閱讀和簽署制定最佳實踐的策略是鼓勵安全行爲和确保問責制的另一(yī)種方式。

　　企業永遠不能保證自己完全免于網絡攻擊的隐患，所以重要的是，如果發生(shēng)最壞的事情，企業必須做好準備。确保組織中(zhōng)的每個人都知(zhī)道風險，并确切知(zhī)道如何回應。這個過程包括确保他們已經接受了在這項任務中(zhōng)取得成功所需的培訓和資(zī)源。