确保公司商业安全之道

改革开放30来年了,虽然有国进民退之说,但是不容否认的是现今已经是市场经济时代了,今天开办公司很容易,关闭公司也不太难,难的是生存下来并得以发展壮大。

国内的市场竞争尤为激烈,外资携雄厚的资金、技术和管理渗透进来,本土巨头凭借品牌和规模优势,更是将业务范围越扩越大,相信不少商业精英们碰到的最大问题之一并非这些竞争热烈的商业环境,反而我们应该感谢政府营造的良好经商环境,因为我们每人同时都也是消费者,也都能从开放竞争中获得益处,问题而是受雇于竞争对手的企图窃取机密的商业间谍和歪曲事实、搧风点火并聚众滋事存心捣乱的商业破坏分子。

千万不能小瞧了这些商业间谍和破坏分子,他们如果成功窃取了公司的机密,或进行了重大的破坏,完全有可能令我们丧失核心的商业竞争力,甚至摧毁我们的业务运作。

即使我们身正不怕影子斜,我们遵守基本的商业道德,不诋毁竞争者也不恶性竞争,但是难免不良竞争者会“以小人之心,度君子之腹”,还是俗话说得好:害人之心不可有,但防人之心不可无。想要如何保障业务的安全,防止竞争对手和商业间谍获取它们呢?如何防止商业捣蛋分子破坏它们呢?昆明亭长朗然科技有限公司的安全咨询服务部高级顾问Calvin Chen简单同各位企业界领袖分享如下应对之策:

1.将组织的重要信息系统和信息数据进行安全级别的划分,进行安全分级的好处是可以集中重点资源保护重要信息资产,这和我们做事情有个轻重缓急的优先次序是同样的道理。

2.对攸关商业核心竞争力的重要系统和数据实施多层安全控管措施,除了安装最基本的防火墙、防病毒、防黑客软件之外,更要落实和加强安全漏洞和补丁的管理、安全监控与审计、数据加密和防泄露、数据彻底删除等等。

3.除了技术层面的控管措施,更重要需加强全体人员的安全防范意识,高级的商业间谍并非实施远程攻击来窃取机密资料的黑客,而是通过场所入侵、诈骗电话、网络钓鱼、渗透潜伏等方式的社交工程攻击者。

4.建立和执行异地备份和恢复计划,当然这计划并不仅仅限于对付擅长打砸抢的商业破坏分子的人为破坏,而且也能帮助应付自然灾难。为防止备份数据在传输的过程被窃取,或在异地被窃取或损坏,要使用加密措施和保障安全的异地数据保存环境。

通过将上述几条应对策略应用到公司的信息安全管理之中,企业家们可以将精力集中用在更为关键的商业开拓领域,同时将那些会影响公司正常运作的坏家伙们隔离出去。

网站客服人员应加强安全意识防网络钓鱼

不少网站都有提供在线的“联系我们”功能,包括即时通讯或在线表单,以方便来访者不需通过邮件系统而直接在线提交问题或需求,当然多数也会留有邮件地址以便有客户喜欢通过邮件联系方式。

即时通讯功能有的调取客户端通讯程序协议如QQ,MSN或Skype等,有的使用在线的Web第三方挂件;在线表单提交的结果往往会发送邮件给指定的邮箱或在后台系统中进行记录。

不管何种方式,当在线客服员工获得这些信息时,不论是问题还是需求都会让他们处于兴奋状态,进而放松安全警惕。而狡猾的攻击者则会充分利用这一点,通过伪造邮件和链接等方式对这些员工进行网络钓鱼攻击。

防止在线表单诈骗攻击

具体的方法则如上图所示,攻击者事先伪造一个假冒的网址:http://www.securemymind.com.hackme.hk/about-securemymind.html,然后通过即时通讯发送给客户员工,或通过网站提交留言,更狡猾的网络犯罪分子还会假借目标网站的系统邮箱,收到诈骗链接的客服人员一看地址:http://www.securemymind.com/about-securemymind.html,确实是自己的网址链接,sales@securemymind.com,还是自己人呢!于是便去点击,确实打不开啊,便找相关网站技术人员帮忙检查,其实在“打不开”的时候便不知不觉中了黑客的招儿。

如何能有效防范这些社交骗术、诈骗伎俩或称钓鱼攻击呢?当然首先得保障客户端安全软件的更新,但即使最新的防病毒软件也难查杀到网络犯罪分子特制的恶意程序。所以最重要的是教育员工提高安全警惕,并分享一些攻击信息的样本,还有时不时发动模拟攻击演习,检测一下员工们的安全防范意识,同时也要教育员工如果不慎点击这些钓鱼链接之后该如何进行紧急响应,比如断开网络连接、报告安全服务中心寻求帮助等等。