由于我们的大部分个人和工作生活都与互联网相连，因此遭遇网络安全事件的风险总是在不断增加。

安全事件可能由病毒、蠕虫或勒索软件而导致，但是如果您的亲身经历了对业务的影响，比如系统罢工、业务停顿、机密信息如客户资料失窃、媒体的曝光、执法机关的检查及公司形象和品牌信誉的质疑声，那您将会理解到安全事件能带来的损失是多么巨大。

努力减少网络事件，尽可能早地进行相应规划，以便您知道如果发生网络事件该怎么办，这些都是业务连续性准备工作的重要方面。对此，昆明亭长朗然科技有限公司网络安全防御专员董志军称：为化解安全事件，我们所有人都可以做的事情包括保持警惕并使系统和软件保持最新。

通常来讲，防火墙会阻止恶意软件进入我们的系统，而防病毒软件会清除掉设法渗入系统中的恶意软件。但是恶意软件在不断发展，因此我们使用的软件也需要不断发展并保持领先地位。软件提供商会及时发布和提示我们安装补丁以弥补系统防御中的空白。

除了防火墙和防病毒软件外，良好的计算机习惯也会限制恶意软件渗入系统的能力。良好的计算机习惯包括定期更改密码或密码短语、未经事先批准禁止安装软件和应用程序。使您的软件保持最新，并确保对网络钓鱼邮件和消息保持警惕。

您还认为组织的信息安全只是安全团队和系统的责任？再想想吧。安全事件报告继续警醒着我们，组织内的人为错误涉及大多数安全漏洞。这是什么意思呢？人员的行为会致使组织面临严重的安全风险，这些行为包括：使用弱密码、点击伪装的恶意邮件中的链接、意外地与未经授权的收件人共享文档、在公共区域随意放置笔记本电脑或移动设备、在公共场所通过电话大声谈论内部涉密事宜、在社交媒体网站上发布机密信息等等。这些只是您可能无意中将信息置于风险中的众多渠道中的一小部分。

那你怎么能承担责任呢？请务必完成组织的安全意识培训，以了解有关密码、物理安全、旅行安全、社交媒体行为、移动设备保护和反网络钓鱼等政策和最佳做法的更多信息。通过经常访问新闻媒体并与您组织的安全团队联系，对可疑活动提出质疑或进行报告，及时了解最近的网络攻击。

第二个关键方面是规划您对网络事件的响应。不怕一万就怕万一，防不胜防，您应该制定一个政策和程序，概述要做什么，并且所有员工都应及时做好准备，通过关于网络事件应对的培训和演练可以实现这点。

我们需要克服这种感觉，即这种网络安全灾难可能不会发生，也应该假设它会在某个阶段出现，进而进行相应的灾难恢复计划和业务持续性计划。该计划应概述有关如何最大程度地降低敏感数据的损害和隐私风险的提示。

因此，我们应以安全的方式定期备份所有数据，理想情况下不与Internet连接。恢复计划还应包括有关如何访问此备份数据的说明。

在组织对安全事件做出回应时，您可以继续保持紧急情况下的工作吗？请想一想如何您该做些什么？在紧急响应计划中，我们应该列出所有这些信息以及必要的电话号码和应急物资的位置。

最后，建立一种安全文化非常重要，因为这种信息和规划是每个人教育的一部分。及时了解当前威胁并定期更新您的系统。始终遵循安全的做法并保持警惕，因为安全是每个人的责任。

提前计划，以便在发生网络事件时，您知道该怎么做。如果您需要更多信息，请联系昆明亭长朗然科技有限公司，我们有关于网络安全意识和业务持续性计划的在线培训课程，以及动画讲解视频。这些课程内容可以被用于帮助所有员工做好网络安全事件的防范，以及灾难事件应对准备。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

近期，科技公司博客站点被黑的案子越来越多，造成系统的用户邮箱及密码等信息失窃，相信会给上下游的其它科技公司带来一定的安全管理启示。

关注互联网安全新闻的朋友们应该知道一个常识，就是几乎每周都会有黑客攻击造成密码泄露的安全事故发生。

这些安全事故多数发生在国外，但并不表示国内的事件不多，因为法治严谨的发达国家多会严格规定各组织机构在受到黑客攻击之后要立即通知受影响客户，而相对自由独立的海外媒体会捕捉并公开这些“丑闻”，通过引导大众，进而给那些遭遇安全事故的组织以压力。

国内的组织机构往往担心遭受巨额索赔或罚款，或者怕给商业信誉带来不良影响而喜欢疏通政府和媒体关系，企图通过公关来捂住“丑闻”，进而希望将大事化小，小事化了。

在笔者的安全审计工作中，经常有碰到客户拿出一大堆安全管理文档和流程，但没有相关的记录，就安全事件响应流程方面，多数客户称组织内部并没有严重安全事故发生过，这令人哭不得。

事实上，任何组织难免都会遭遇安全事故，“不经历风雨，怎能见彩虹”，小孩在学习走路掌握身体平衡的过程中必定要经历一些摔打的，那些自称没有经历过严重信息安全事故的组织在安全管理方面肯定是不成熟的，因为成熟的安全事故响应体系会要求有详细的事故响应处理记录、根本原因分析以及防范再次发生的根治措施。没有这些记录或报告，是企图在表明安全运行状态一直很良好呢？还是在从侧面证明安全管理水平一直处于混沌而不成熟的状态呢？

当然，安全事故发生后的响应目标是将损失降至可能最低，这里面的损失最重要的是商业信誉，诚然，目前国内几家互联网公司的流氓黑社会行为很令人不齿，这主要原因是大量的用户都是互联网安全小白，他们缺乏辨识是非正误的能力，以便被绑架了都不知晓。

事实上，那些流氓黑社会尽管短期获得了所谓的“成功”，但一点都不受社会中坚阶层如白领精英们的尊重，随着社会大众的互联网安全意识的提升和中产阶级队伍的扩大，那些没有基本商业道德准则，不讲信誉的流氓行径会受到越来越多人的唾弃，不过我们似乎也应该相信，少部分黑社会也可能会在积累了血泪资本之后通过洗钱等手段而逐渐转向正路。

我们提到的这“正路”，是指尊重比较普世的商业价值，就互联网安全事故来讲，至少有一条，是善待客户，连客户网络帐户被窃的基本知情权都给剥夺了，还谈什么客户至上，提高服务质量，改进客户满意度，超越客户期望，给客户带来最佳体验……

在普世商业价值观的指导下，回到安全事故响应的目标，将可能的损失降至最低，降低谁的损失？有人们往往会错误地将自身和客户的利益对立起来，这是严重违背普世商业伦理的，就比如你不能以更低的价格向客户提供更好的产品或服务，不要坑蒙拐骗，最好在你能做到更有竞争力之前推荐客户去其他家。因为当今竞争激烈，尽管建立客户的忠诚度难，但是你的坑蒙拐骗行为可能无疑是在将难上加难。

当你提供的互联网服务出现问题时，比如用户的密码外泄时，应该马上响应、迅速通知受影响的用户，并在技术层面帮助用户挽回可能的损失，比如要求用户登录之后立即更改密码、加入手机验证码之类的多重身份验证机制、暂时锁定那些未修改密码和确认身份的帐户进行虚拟财产交易、加强异常登录监控等等，这些措施都能够给服务质量带来积极的影响，因为安全事故已经发生，用户能理解而且只能接受现实，良好的补救措施反而会给商业信誉加分。

更多的，就是分析事故发生的根本原因，制定防范措施，相信组织内部的管理和沟通协调不是大的问题。对外，在制定这些安全措施的同时，也需要加强对系统用户的安全意识教育和安全措施使用培训，昆明亭长朗然科技有限公司的安全咨询顾问James Dong认为有有几点是必需的：

1.教育用户密码安全，使用强健的密码，包含大小写字母、数字和特殊标点符号，这些正好也可以结合网站密码强度验证功能；避免和其它网站使用相同的密码；定期更改密码等等。

2.注意防范社交攻击和钓鱼攻击，犯罪分子可能会冒充各类身份使用各种下三滥的手段来入侵用户的大脑和计算终端，甚至包括冒充你的网站服务人员来实施诈骗，教育用户不要随意接收可疑文件或点击网络链接。

3.梳理沟通渠道和紧急情况响应指南，便于用户在发现异常或问题时及时报告，以便采取适当的安全响应措施。

4.注意社交网络安全，动态网站论坛和博客被黑的概率要远高于静态网站，社交网络里的一些互动内容更是不能轻易相信，也不要在社交网站发表可能会犯罪分子利用的言论。

最后相信您已经知道，网站、应用平台和数据的安全维护关键在科技公司，但记住最终客户的水准提升上来，才是保障商业流程安全的核心，因为最终用户的安全意识低下是整体商业流程中最严重的安全漏洞，最终用户可能也是网络犯罪等安全威胁所最为关注的目标，还是一个较为散漫的大群体。