再谈中小机构的网络安全工作

打开新闻,每天都有黑客攻击或数据被盗的事故发生。从社会团体到公司企业,再到政府机关,安全事故频发,任何组织都无法幸免。每年由于网络的攻击导致重要数据丢失,导致企业损失惨重,许多接受调查的公司担心技术和网络风险。积极和全面的保护策略可以帮助各类型的组织机构避免外部攻击并保持网络的安全。对此,昆明亭长朗然科技有限公司网络安全专员董志军强调:创建多层防御或“纵深防御”的方法有助于为网络安全提供合理的策略。此方法使用多层安全管控措施,比如设施、产品和制度,而不是依靠单个方法来强制执行安全性。

面对不断变化的网络威胁,安全防御能力也需不断提升。当前,网络安全的内涵和外延在不断扩大,网络环境经历了从互联网到网络空间的演化,互联网时代的安全目标主要是防止数据被破坏、被泄漏和网络瘫痪,网络空间安全时代的安全目标,是包含设施、数据、信息、用户、运维在内整个网络空间的大安全。更是关系到社会稳定和国家安全,因此,如总书记所强调的“没有网络安全就没有国家安全”,网络安全观念也正在经历从外到内的进化。

在保障网络安全的资源方面,大型机构要远比中小型机构有优势。在预算方面,大型机构往往并不差金钱,在人力方面,大型机构不缺优秀人才,在政策方面,大型机构往往是监管的重点。大部分的中小机构显然没有这些网络安全优势,要想在“无国界”的网络空间从林中生存和发展,无疑需要自食其力、自力更生。如下,我们分享一些安全思想,以及一些工作要点和方法,以便中小型机构的IT网络安全管理者参考。

一、加强IT技术人员的权限管控。在政策上,需让IT管理员明白,其“超级权限”是管理层赋予的,所有的重要活动都要有适当的审批授权,所有的关键操作也都需要受到定期审计,不可滥用职权随意作为。IT人员糊弄非技术背景主管领导的事情普遍发生,扮演“内鬼”角色盗窃重要资料、窃取商业秘密和私下搞破坏的情况也时常见诸媒体。与其在出事之后采取行动,搞得雇佣双方“两败俱伤”,不如早期就未雨绸缪,加强IT人员权限管理,防范内部犯罪,达成资方与雇员长期双赢的好局面。

二、加强用户人员的权限管控。在政策上,要让新申请系统账户和访问权限的人员,以及已经拥有系统账户的人员,明白一个道理:其对公司所有系统的访问权限,都应该服务于工作目的。因此,用户必须按照公司的要求,正当地使用其计算设备以及访问权限,同时公司有权监控所有用户的系统使用行为。定期(建议每季度)审核各类系统的账户和权限清单,及时停用或删除没有必要再继续访问该系统的账户,以防离岗离职人员在非授权情况下访问系统,造成数据失窃或系统损坏等事件。

三、实施必要的网络隔离与管控措施,按照部门及业务单元,将内部网络划分成相对隔离的单元,在网络设计和管控方面进行限制,只允许用户访问他们完成工作所需的信息,而不允许他们访问其他与工作无关的信息。当然,对互联网的访问需要进行监控,以符合公安机关的网络审计要求,同时也有利于了解员工们的互联网使用情况,提升员工满意度和生产力。

四、采取最佳安全实践,建立信息资产清单,强化对关键信息系统的保护力度,同时确保计算机系统安装并正确启用防病毒软件,确保信息系统都得到了必要的更新、安全漏洞得以及时的修复,确保用户们拥有良好的安全习惯和安全觉悟,比如使用强密码、保持桌面安全、不随意放置计算设备以及敏感信息等等。

总之,灵活、快速是中小型机构的特点,在安全管理方面可以避免大型机构的教条主义和形式主义,选择最适用的安全控管措施并实践之。中小机构的网络安全管理工作,也是对信息、系统、人员、技术和流程的综合全面利用,在远程工作和移动工作越来越普及的今天,从用户的权限控管、人员的安全意识入手,是成功的要点,也是必要的步骤。子不教,父之过。员工们如果因为没有受到足够的安全政策和安全意识的教育,而犯了错误,无疑也是网络安全管理者与IT负责人的失职。

为了帮助各类型的组织机构提升员工们的安全意识,昆明亭长朗然科技有限公司制作了大量的安全意识教程与安全作业指南,希望对中小企业的网络安全管理者们有所帮助。教程内容包括动画视频、平面设计和互动式电子课件,以及在线学习系统资源。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

保护中小企业商业安全需要一二三四共四步

small-business-cyber-security
即使中做小生意的中小企业,也面临比如窃贼、自然灾害和不良竞争者等问题。随着国家对中小型企业的更多优惠措施出台,信息化也获得了进一步的发展,中小企业面临的黑客入侵等信息安全问题也越来越突出。

《财富》杂志有过一篇关于美国小微型企业防范互联网安全的专题报道,称77%的小型企业并不了解他们所面临的互联网安全危险,在这其中有83%并没有正式的互联网安全应对计划。中国的信息化程度仍然要落后美国,业务对信息科技特别是互联网应用的依赖程度也不如美国公司那么严重,但这并不是中国小型微型企业可以在网络信息安全上忽视的借口。昆明亭长朗然科技有限公司的总经理董志军说:亭长朗然公司也是一家典型的中小企业,我们的部分业务流程仍然依赖传统的手工方式进行,但是部分工作流程显然已经深度信息化,可以确定的是我们的业务已经无法离开互联网,信息安全对我们来说是个基础。

其实,即使一家和IT无关的小公司,也得和工商、税务、银行、运营商等打交道,电子政务和网上交易让几乎每家公司都少不了互联网的使用,当然更不用说那些依靠互联网来获得客户订单以及提供相关服务的中小企业,可以说网络信息安全已经成为老板们必须考虑的问题。

虽说中小企业“船小好调头”,但严重的信息安全事故无疑也会在一定程度上伤害到公司、客户、供应商及合作伙伴,更会损及商业信誉,在国家不断加大创新支持、商业信誉建设和强化守法经营的今天尤为如此。为了保护好中小企业商业信息安全,亭长朗然公司特向各位企业家们分享如下四点“军规”:

1.设置强健的密码并且定期修改。黑客们早已经开发出一些远程自动扫描探测和自动尝试登录信息系统的攻击工具,简单而脆弱的密码在黑客面前不堪一击,强健的密码需要至少有8位长度,混合使用大小写字母、数字和标点符号等特殊字符。这样,黑客便很难也需要很长时间才能暴力破解我们的密码。此外,黑客们也会使用一些钓鱼手段来哄骗我们的密码,比如建立虚假的页面和发送木马程序等等来企图获取我们的密码,我们得定期修改密码,并在怀疑密码失窃时立即更改密码。

2.定期备份重要的商业数据。除非遭遇严重的教训,否则很多企业主并不能注意到数据备份的必要性,一次灾难性的事故可能让数年的心血付之东流,也可能造成相关证据的丢失,给后期的工作带来无穷的麻烦。备份实际上并不需要麻烦和巨大的投入,使用自动化的,或者基于云的在线数据备份都是经济实用的方案。

3.定期更新安全软件。防病毒和个人防火墙软件已经成为多数电脑的标准配置,如果它们得不到及时的安全更新,它们的安全弱点便暴露给了黑客,仍然很容易被黑客等不良入侵者利用。设置防病毒和操作系统的自动更新,并且定期检查安全状态特别是安全软件更新的状态。

4.教育您的员工注意数据安全。前面我们提到网络钓鱼,实际上,员工们经常会不小心点击垃圾邮件中的恶意链接、使用脆弱的密码、访问不安全的网站或者将公司敏感数据存放在危险的地方等等,这些都会给我们的业务安全带来一定程度的安全风险。花些时间教育我们的员工如何采取正常的信息安全最佳实践,提升安全防范意识,不仅可以帮助保护公司的商业安全,对于员工们也是一件不错的知识和技能培训福利。

一、二、三、四!齐步走,我们发现中国的中小企业逐渐从家族管理“人治”变为“法治”,开始建立大量的标准化工作流程,并且经常召开会议用于工作沟通和员工激励等等,在知识和技能培训方面,也需要强化。昆明亭长朗然科技有限公司深知中小企业在员工培训方面的资源紧缺现状,特制作了针对中小企业的在线互联网信息安全意识培训课件,欢迎免费体验和使用。