确保公司商业安全之道

改革开放有几十年了,虽然不时有国进民退之说,但是不容否认的是现今已经是市场经济时代了,今天开办公司很容易,关闭公司也不太难,难的是生存下来并得以发展壮大。

国内的市场竞争尤为激烈,外资携雄厚的资金、技术和管理渗透进来,本土巨头凭借品牌和规模优势,更是将业务范围越扩越大,相信不少商业精英们碰到的最大问题之一并非这些竞争热烈的商业环境,反而我们应该感谢政府营造的良好经商环境,因为我们每人同时都也是消费者,也都能从开放竞争中获得益处,问题而是受雇于竞争对手的企图窃取机密的商业间谍和歪曲事实、搧风点火并聚众滋事存心捣乱的商业破坏分子。

千万不能小瞧了这些商业间谍和破坏分子,他们如果成功窃取了公司的机密,或进行了重大的破坏,完全有可能令我们丧失核心的商业竞争力,甚至摧毁我们的业务运作。

即使我们身正不怕影子斜,我们遵守基本的商业道德,不诋毁竞争者也不恶性竞争,但是难免不良竞争者会“以小人之心,度君子之腹”,还是俗话说得好:害人之心不可有,但防人之心不可无。想要如何保障业务的安全,防止竞争对手和商业间谍获取它们呢?如何防止商业捣蛋分子破坏它们呢?昆明亭长朗然科技有限公司的安全咨询服务部高级顾问Calvin Chen简单同各位企业界领袖分享如下应对之策:

1.将组织的重要信息系统和信息数据进行安全级别的划分,进行安全分级的好处是可以集中重点资源保护重要信息资产,这和我们做事情有个轻重缓急的优先次序是同样的道理。

2.对攸关商业核心竞争力的重要系统和数据实施多层安全控管措施,除了安装最基本的防火墙、防病毒、防黑客软件之外,更要落实和加强安全漏洞和补丁的管理、安全监控与审计、数据加密和防泄露、数据彻底删除等等。

3.除了技术层面的控管措施,更重要需加强全体人员的安全防范意识,高级的商业间谍并非实施远程攻击来窃取机密资料的黑客,而是通过场所入侵、诈骗电话、网络钓鱼、渗透潜伏等方式的社交工程攻击者。

4.建立和执行异地备份和恢复计划,当然这计划并不仅仅限于对付擅长打砸抢的商业破坏分子的人为破坏,而且也能帮助应付自然灾难。为防止备份数据在传输的过程被窃取,或在异地被窃取或损坏,要使用加密措施和保障安全的异地数据保存环境。

通过将上述几条应对策略应用到公司的信息安全管理之中,企业家们可以将精力集中用在更为关键的商业开拓领域,同时将那些会影响公司正常运作的坏家伙们隔离出去。

实实在的信息安全综合解决方案拒绝忽悠

APT,Advanced persistent threat,高级可持续性威胁,是目前信息安全领域比较热门的一个词汇,不过不要被它那华丽的字眼和恐怖的描述所吓倒,当然,在遭遇黑客攻击之后也不要立即宣称受到APT攻击,企图受到谅解或蒙混过关。

让我们先看看它的定义,它通常指一个群体,例如外国政府,有能力和意图长期而有效地针对特定的目标(发动渗透攻击),这样说来单个黑客甚至小型的黑客团队即使再厉害,也算不上APT,因为他们力量微薄,攻击的方式方法有限,也不具有持续性。

除了在国家政治军事层面,目前比较公认的震网(Stuxnet)病毒属于APT,在商业领域,APT也经常会被用称呼基于互联网的商业间谍攻击,具体的方式包括:病毒感染、供应链渗透、社会工程等。

想主动利用病毒感染这种传统的方式入侵目标系统并不容易,多数商业组织都有安全网关,它往往使用特定的安全操作系统,只要更新及时并做好基本的安全加固,并不容易受到病毒的感染,而在网关的保护下,内网的计算系统往往不会被互联网直接访问到,直接进行病毒攻击也很难得逞,所以在国外流行扔U盘或其它终端计算设备,利用它们来感染拾到者的电脑,当然我们相信正常的防病毒系统会查出已知的病毒程序,而且新型防病毒系统也有些未知病毒的识别功能,不过要彻底防范,还需更多安全控制措施,更需要教育用户的安全防范意识。

通过供应链渗透则更是费事,多数组织在供应链及合作伙伴的安全管理上并非无所作为,通常会设置防火墙访问控制策略,并且在应用系统中设置帐户和数据的访问权限,所以想借助供应链从网络和应用系统层面入侵的成功性很小,但是不排除利用组织内部员工,比如假借供应链关系,通过收买或贿赂等手段在组织内部安放潜伏人员,这些招数也只能通过安全意识教育、安全行为监控、安全人员管理比如员工背景审查、签定保密协议等手段来约束。

社会工程防范基本上不能信赖技术控管措施,对组织并不熟悉的网络钓鱼、诈骗电话等等伎俩实际上很容易被内部员工识别出来,但前提是他们要有相关的安全防范意识,敢怀疑和挑战可疑的信息索取请求。

接连几年,知名信息安全公司Verizon持续进行着数据安全泄漏情况的调查,结果显示每年的数据泄露原因都无差别,大部分的受害者并没有受到未知的不明的或不可阻止的攻击,而是员工不小心插了受到感染的拇指硬盘、在电话里向坏家伙们提供了敏感信息、向“朋友”分享了进入系统的密码、点击了邮件中的钓鱼链接、或者放“合同工”或“同事”进入了组织的设施内部。

诚然,我们可以通过技术手段来控管这些ATP所借助的攻击渠道,比如禁用USB接口、过滤和实时监听电话交谈内容、使用多因素认证系统、监控邮件外发和接收、实施防尾随及防带人安保措施等等,然而这样做的代价太大,成本太高,而且仍然防不胜防,比较经济实用的防范方式是加强员工在安全防范方面的意识认知,提高其警惕性和对可疑人物及行为的识别能力。

亭长朗然科技有限公司的安全研究员James Dong称:“尽管企业很难成为APT的攻击目标,但是仍然可以从APT攻击手法中吸取适当的教训用于防范各类安全攻击,最重要的是要员工认识到安全不是其他人的问题或职责,而是自己的职责,只有每位员工都保护好了自己,并且积极帮助他人,组织才能获得全面的安全。”

别再拿APT忽悠一般商业客户了,他们根本不会成为APT攻击的目标,而且信息安全防范并不需要什么故弄玄虚的高招,脚踏实地遵循业界最佳操作实践,真心诚意为客户解决安全问题的方案,即使您的产品和服务并不能全面帮助客户,也应该让客户了解事实真相,这才是获得客户长久信赖的上策。