打开新闻，每天都有黑客攻击或数据被盗的事故发生。从社会团体到公司企业，再到政府机关，安全事故频发，任何组织都无法幸免。每年由于网络的攻击导致重要数据丢失，导致企业损失惨重，许多接受调查的公司担心技术和网络风险。积极和全面的保护策略可以帮助各类型的组织机构避免外部攻击并保持网络的安全。对此，昆明亭长朗然科技有限公司网络安全专员董志军强调：创建多层防御或“纵深防御”的方法有助于为网络安全提供合理的策略。此方法使用多层安全管控措施，比如设施、产品和制度，而不是依靠单个方法来强制执行安全性。

面对不断变化的网络威胁，安全防御能力也需不断提升。当前，网络安全的内涵和外延在不断扩大，网络环境经历了从互联网到网络空间的演化，互联网时代的安全目标主要是防止数据被破坏、被泄漏和网络瘫痪，网络空间安全时代的安全目标，是包含设施、数据、信息、用户、运维在内整个网络空间的大安全。更是关系到社会稳定和国家安全，因此，如总书记所强调的“没有网络安全就没有国家安全”，网络安全观念也正在经历从外到内的进化。

在保障网络安全的资源方面，大型机构要远比中小型机构有优势。在预算方面，大型机构往往并不差金钱，在人力方面，大型机构不缺优秀人才，在政策方面，大型机构往往是监管的重点。大部分的中小机构显然没有这些网络安全优势，要想在“无国界”的网络空间从林中生存和发展，无疑需要自食其力、自力更生。如下，我们分享一些安全思想，以及一些工作要点和方法，以便中小型机构的IT网络安全管理者参考。

一、加强IT技术人员的权限管控。在政策上，需让IT管理员明白，其“超级权限”是管理层赋予的，所有的重要活动都要有适当的审批授权，所有的关键操作也都需要受到定期审计，不可滥用职权随意作为。IT人员糊弄非技术背景主管领导的事情普遍发生，扮演“内鬼”角色盗窃重要资料、窃取商业秘密和私下搞破坏的情况也时常见诸媒体。与其在出事之后采取行动，搞得雇佣双方“两败俱伤”，不如早期就未雨绸缪，加强IT人员权限管理，防范内部犯罪，达成资方与雇员长期双赢的好局面。

二、加强用户人员的权限管控。在政策上，要让新申请系统账户和访问权限的人员，以及已经拥有系统账户的人员，明白一个道理：其对公司所有系统的访问权限，都应该服务于工作目的。因此，用户必须按照公司的要求，正当地使用其计算设备以及访问权限，同时公司有权监控所有用户的系统使用行为。定期（建议每季度）审核各类系统的账户和权限清单，及时停用或删除没有必要再继续访问该系统的账户，以防离岗离职人员在非授权情况下访问系统，造成数据失窃或系统损坏等事件。

三、实施必要的网络隔离与管控措施，按照部门及业务单元，将内部网络划分成相对隔离的单元，在网络设计和管控方面进行限制，只允许用户访问他们完成工作所需的信息，而不允许他们访问其他与工作无关的信息。当然，对互联网的访问需要进行监控，以符合公安机关的网络审计要求，同时也有利于了解员工们的互联网使用情况，提升员工满意度和生产力。

四、采取最佳安全实践，建立信息资产清单，强化对关键信息系统的保护力度，同时确保计算机系统安装并正确启用防病毒软件，确保信息系统都得到了必要的更新、安全漏洞得以及时的修复，确保用户们拥有良好的安全习惯和安全觉悟，比如使用强密码、保持桌面安全、不随意放置计算设备以及敏感信息等等。

总之，灵活、快速是中小型机构的特点，在安全管理方面可以避免大型机构的教条主义和形式主义，选择最适用的安全控管措施并实践之。中小机构的网络安全管理工作，也是对信息、系统、人员、技术和流程的综合全面利用，在远程工作和移动工作越来越普及的今天，从用户的权限控管、人员的安全意识入手，是成功的要点，也是必要的步骤。子不教，父之过。员工们如果因为没有受到足够的安全政策和安全意识的教育，而犯了错误，无疑也是网络安全管理者与IT负责人的失职。

为了帮助各类型的组织机构提升员工们的安全意识，昆明亭长朗然科技有限公司制作了大量的安全意识教程与安全作业指南，希望对中小企业的网络安全管理者们有所帮助。教程内容包括动画视频、平面设计和互动式电子课件，以及在线学习系统资源。如果您有这方面的兴趣或需求，请联系我们洽谈业务合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898