灾难与危机期间的数据安全保护启蒙

诸如台风、洪水、地震、瘟疫、战争、骚乱等灾难或危机期间,人们可能会被要求一直呆在家中或室内不准外出。这就迫使人们通过互联网做更多的事情。其中一些幸运地保留了工作,能在家远程工作的人们,更是重度的网络使用者。如果人们被隔离在家的时间太长,无法外出到工作场所就业,则无疑会影响到宏观经济,影响到人们的就业和收入。失去了以往正常时期的工作收入、难以支撑下去的人们可能会积极寻找新的创业或兼职机会,利用网络渠道开辟新的收入来源,也可能会选择使用不法的手段,借助互联网进行钱财的诈骗。对此,昆明亭长朗然科技有限公司网络安全专员董志军补充说:每当灾难来临,经济出现下滑,坑蒙拐骗等公共安全事件就开始飙升,当网络使用越来越深入到人们的生活、学习和工作之时,坑蒙拐骗等事件开始越来越借助网络和基于网络,进而严重影响到互联网的安全性。

一件很有趣的事情是在灾难与危机期间,公共安全、防诈骗机构会高频率地向群众群发送防诈骗警告消息,相信这些警告行动会保护很多国民免于上当受骗导致钱财损失。但是同时,我们觉得这些并不足够,除了电信诈骗之外,很多网络攻击都是同时借助人性弱点和技术弱点的。特别是需要考虑攻击者掌握的受害者大数据技术优势。简单说,只要存在跟踪,Cookie和地理位置,数据保护就一直是一个问题。而掌握了受害者的这些个人数据,狡猾的犯罪分子便有了足够的信息来分析受害者的弱点,进而制定复杂高超的渗透和操控策略。从术语上讲,这就是所谓的“Spear Phishing”,即精准钓鱼、鱼叉式网络钓鱼。

那么现在,对于所有人,保护互联网上的数据比以往任何时候都更加重要。首先自问一下:我们提供了多少信息?您可能会说:我不是互联网的新手小白,我知道正确的手机使用和互联网浏览的姿势,只不小心泄露了我的数据。虽然从某种意义上来说可能是对的,但您需要记住,传统上,弹出广告和计算机病毒是浏览网络时最担心的事情,不过这种日子已经过去了。如今,个人、网站、应用和公司跟踪您的数据的方式要复杂得多,并且经常隐藏于移动应用之中,或被掩盖成为网站的无害部分。接下来,让我们分别从常见的网络跟踪技术领域聊一聊,以便能够知晓“敌人”是如何收集我们的信息数据的。

Cookie

您是否想知道Cookie是什么?可能有人告诉过您,网站使用Cookie来改善您的用户体验,没错,在一定程度上这种说法是正确的。然而,从个人数据的角度来讲,事实真相却是,Cookies是用来记录和跟踪您的浏览习惯的文本信息。阳光的情况下,这些用户信息被各类商家用于进行有针对性的广告活动,阴霾的情况下,收集用户数据的公司便将其出售或提供给网络不法分子,不法分子可以借用此类用户浏览数据,进行批量的定向入侵(筛选),比如假冒电商身份,借助交易退款付款等由头进行诈骗。

地理位置跟踪

网站和移动应用进行的数据收集并非只包含用户浏览数据。一些网站会要求您进行地理位置定位,以期“改善您的用户体验”。虽然地理位置可以改善您的用户体验,但也会曝露您的行动轨迹和常规活动地址。这样一来,网络犯罪分子就可以获取有关您的大量信息,比如您的购买或消费习惯、姓名、电话号码以及许多公开记录的信息。

社交媒体

人们很乐意提供的个人信息的一个渠道就是社交媒体。填写社交媒体个人资料时,您没有意识到会提供多少信息。无休止的签到、问卷调查和弹出式问题都为社交媒体公司提供了个人数据信息。这些公司将这些信息存储并出售给将其用于营销其产品并优化现有结果以符合更好期望的公司,当然也会流出一些给不法分子。更何况“营销”和“诈骗”只是产品和服务是否真实有效和是否值得的差别,在某些情况下并没有严格的区分,比如将价值50元的茶叶卖到5000元的商家,与将纸巾当医用口罩卖的骗子,似乎都是一样的货色。

现在我们基本上了解了“敌人”的搜集和使用我们的个人数据的常规手法,接下来,我们该如何应对呢?董志军表示:如果您希望减少通过使用移动应用或浏览互联网时提供的信息量,您可以采取以下几种措施。

使用虚拟专用网络

虚拟专用网络是解决数据监视问题的一项主动解决方案,甚至可以在问题出现之前解决。虚拟专用网络会更改您的互联网访问源地址,使网站和应用跟踪到的是错误的地理位置来源。不过使用虚拟专用网络要注意遵守适用的法律,不要指望对国家网络安全监管机关保持藏匿,更不要进行非法的网络活动。这是因为几乎所有的虚拟专用网络服务商都可能会配合政府监管机关,在必要的时候,进行非法活动的来源调查。

采取适当的预防措施

浏览互联网和使用移动应用时保护个人信息的另一种好方法是采取所有预防措施,以防止网站和应用收集过多个人数据。您可以采取一些如下合理的措施来保护自己:

  • 安装广告拦截器
  • 修改浏览器设置以拒绝Cookie或使用隐私浏览
  • 注销旧的账号重新注册新的
  • 避免浏览不良网站
  • 只给应用程序最少的信息访问权限
  • 及时删除不常使用的移动应用程序
  • 定期审核移动应用程序的访问权限
  • 避免点击弹出广告
  • 使用防病毒软件

保持安全警惕

请意识到您所有的信息都是非常敏感的,因此请确保尽可能少地提供它们。点击链接或开启下载之前请深思,避免参加签到、弹出式调查调查等,那些蝇头小利就像诱饵一样,想使用钓鱼手段,获取您的个人信息。即使这些信息看起来不多,貌似仅是获取有关您的购买习惯、兴趣和个性的更多信息的策略,以便公司可以增加粘性和消费习惯,并将其用于营销,优化和数据收集目的。

总结与提醒

在灾难和危机时期,网络不法分子更加活跃起来,在数据保护方面表现脆弱的人们很容易成为受害者。因此,我们需要做的重要事情是保护数据安全、防止数据泄露。如果您非常担心在线数据的隐私安全问题,则必须采取适当的措施以确保数据安全。使用可靠的虚拟专用网络、采取适当的预防措施、保持警惕三思而后行。最后,再次提醒,在家远程工作、学习的人们,切记要安全浏览、保护数据、免于受害!昆明亭长朗然科技有限公司专注于帮助各类型组织机构提升职员们的数据安全保护意识,我们帮助客户策划和制定安全意识培训及沟通计划,并提供各种安全意识课程内容资源,以及安全宣传教育活动的支持。欢迎有兴趣和有需要的客户,以及合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898

唤醒员工安全意识降低网络安全风险

云计算和移动化让传统的网络安全控管边界失效,同时也激发了诸如零信任之类的网络安全架构方面的创新,不过尽管如此,创建漏洞的员工们依然是网络犯罪分子突破组织安全防御时的好朋友。对此,昆明亭长朗然科技有限公司网络安全研究专员董志军说:尽管技术型的安全保障很重要,但是在保护工作单位的信息免受各种形式、规模和动机的网络犯罪分子侵害时,员工仍然是安全防线中最薄弱的环节,是木桶中的最短的一块儿板子。

坚定的网络犯罪分子定期通过复杂的网络钓鱼攻击,诱使粗心大意的员工们上钩,通常采取以下破坏安全性的伎俩:

  • 禁用、避开或越过安全管控措施,例如防病毒软件和防火墙软件等等。
  • 从可疑网站下载文件,这些文件会将恶意软件安装到电脑、平板和智能手机等计算设备上。
  • 单击来自陌生或危险域名的网络钓鱼邮件中的恶意链接。
  • 打开包含启动恶意代码的电子邮件附件。
  • 回应仿冒的请求,将重要的信息,比如账户、密码、战略、机密等合盘托出。
  • 误认为受到了上级或供应商的指示,将款项电汇到骗子指定的银行帐户。

以上网络钓鱼的风险非常普遍,我们通过各类媒体,经常都能看到类似的事故。组织需要唤醒员工的安全意识,以更加了解风险并更加警惕保护数据和计算基础架构。以下是针对员工们的安全意识计划宣传方案建议。

实施计算设备使用政策

传统上,由于国内缺乏透明的法治环境,很多企业机构也以“人治”为主,造成员工们不知道哪些信息系统使用行为是应该的,哪些不是,进而给网络犯罪分子以可乘之机。为防止因员工无知带来的网络安全风险,在政策层面,各类型的组织机构应该:

  • 制定可接受的计算机和互联网使用政策。这是为员工们使用信息系统指定一个大的方向,政策应该指定哪些行为是可接受的,比如鼓励员工报告可疑的消息;也应指定哪些行为是不可接受的,比如禁用安全程序或发布不法消息。
  • 确保该政策内容包括关于密码分享的禁令。有些小团队为了协同工作而内部分享密码,这种情况早期很普遍,因此带来不少的安全隐患,必须有政策禁止密码分享,这是提升安全,让员工们担负起保护账户的原则。
  • 让每个员工和承包商阅读并签署政策。如同保密协议一样,信息设备使用政策也需得到签署,以表示员工们对此的认可和承诺。
  • 告知违反政策的行为将记录在人事档案中,这将成为绩效评估、计算奖金、晋升事项和解雇理由的因素。这是确保政策执行力的关键措施,否则人们将会忽视规则,以及网络安全要求。

举行安全意识活动

只靠员工签署信息系统使用政策并不足够,很多员工可能并不会认真地阅读文本,也可能不会很好地理解其中的内容精要,也有一些员工可能会在实际工作时忘掉或者不能将政策与实际工作结合起来。因此,要降低网络安全风险,各类型的组织机构应该:

  • 提供安全意识知识内容。可以自行创作编写,也可以采购专业的网络安全意识作品,包括动画视频、宣传图片和电子课件等等。
  • 让所有员工和供应商每年都参加安全意识刷新。每年进行安全意识刷新,以防止遗忘,并紧跟安全威胁态势的发展,为确保学习质量,需要进行知识能力的考核。
  • 定期沟通讲解电子邮件、社交媒体和互联网使用中的安全风险。安全意识沟通需要长期不断地进行,以让员工们逐渐养成良好的安全习惯,也促进组织机构的安全文化建设。
  • 讨论和分享组织内部和行业发生的安全事件,并从中汲取教训。从安全事件中汲取教训是防止类似网络安全事件再次发生的关键措施,分析安全事件的根本原因,有针对性的提升安全意识。
  • 定期通报对可接受的信息系统使用政策的审查结果。没有检查,没有衡量,就没有效果。定期检查员工们的安全表现,检查计算设备的安全运行情况等等,并进行通报,奖励做的好的员工,带动良好的网络安全文化氛围。

将供应链纳入安全意识计划

现在,大多数组织都允许供应商、分销商和客户有限地访问他们的某些系统。供应商安全管理不当引起的一些安全漏洞,被网络犯罪分子使用获取访问权限的事件偶有发生,需要引起重视。因此,组织机构应鼓励或坚持其供应商和分销商应执行降低安全风险的计划,其中包括互相检查常规的安全控管措施和对供应链相关部分进行安全意识沟通。

进行年度安全意识审核

组织应进行年度审核,以向管理层保证安全意识计划在最大程度地降低网络安全风险和数据泄露风险方面的工作。审核范围应包括对以下内容的审查:

  • 违反可接受使用政策的情况。
  • 适当和不当访问系统的统计。
  • 员工发现和报告安全事件的情况。
  • 安全意识培训活动的参加情况。

唤醒员工安全意识是一件长期而琐碎的工作,不仅需要坚持不懈的努力,也需要良好的沟通技巧和沟通素材。昆明亭长朗然科技有限公司精心创作了大量的网络安全意识宣传培训作品,包括电子课件、动画教程和宣传图片,欢迎有兴趣、有需求的客户及合作伙伴联系我们,进行作品的预览和采购。