最新一项由昆明亭长朗然科技有限公司市场调研部发起的互联网安全研究表明：四分之三的中国人并未像被期待的那样修改他们的在线帐户密码。互联网应用系统使用账户来区分使用者的身份，平均每位国民有10个受密码保护的互联网帐户，但仅有半数国民为个人电脑设置了访问密码。

中国国务院发布了“宽带中国”战略实施方案，提升带宽、降低资费的活动将一直延续下去，我们有理由相信，人们的互联网帐户会越来越多，密码安全问题将直接关乎个人电脑安全以及互联网安全。试想：终端带宽越来越宽，但如果终端安全未得以有效实施，被黑客遥控的僵尸“肉鸡”也会越来越多，黑客便很容易利用它们发起分布式拒绝服务攻击DDoS。

调查同时表明：只有三分之一的手机用户对移动设备设置了访问密码或相关“所知信息”替代品。在移动计算时代，这显然是很不够的，特别对于移动办公用户，密码是保障工作计算设备及信息安全的第一道防线，如果终端设备密码都没有，还谈什么更多的信息安全呢？

同时调查还发现了一些密码特征，不少人喜欢用工作或生活相关的信息来当作密码，使用手机号码、公司名称、孩子或配偶的名字或生日的一部分用来做密码的占了有54%，这实在是令人吃惊！密码这么脆弱，不会被黑客暴力猜解便是被社会工程学攻击者恶意搜集和利用。

而关于对密码的保护，随意张贴的并不多见，分析原因是密码比较简单易记，所以没必要张贴。但是调查发现分享密码是常事，家庭成员之间、工作同事之间的密码分享已经成为常态，似乎人们并不认为密码分享有什么不对，甚至还找出诸如“为了更好地协同工作”之类的理由。当然，分享密码必定有一些理由，但是人们未考虑可能带来的安全问题和事故责任问题，这些做法让IT管理的规范化变得异常艰难。

密码的安全问题并不仅仅是最终用户的问题，IT安全部门对这的理解也需要改变，如何能让人们理解密码安全的重要性呢？如何能让人们设置复杂、强健且容易记忆的密码呢？如何能让人们不同他人分享密码呢？这是一项系统工程，并不是简单设置帐户和密码安全策略便可轻易有效解决的。昆明亭长朗然科技有限公司认为，技术控管层面的变更很容易实现，但是要让用户真心理解和接受，最重要的是强化密码安全意识沟通工作。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频，员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验，便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898

身份和访问管理比以往任何时候都更加重要，因为密码可以在几分钟内被破解，数据泄露每天都会发生，网络犯罪分子已经成功渗透到许多政府和大型企业系统中。只需要攻击拿下一个员工账号，犯罪分子即可远程进入企业网络，这简直太容易了。

由蓝盾、天融信、安恒、启明星辰、奇虎360等国内一众网络安全公司联合发布的一项研究指出，与密码相关的网络入侵行为中，有35％使用了与其他帐户相同的密码。剩余的65％可以用常规的强力破解设备破解。因此，组织面临的挑战是突破简单密码的限制，也要在身份和访问控制方面发力，而这就是访问控制与权限管理的用武之地。

访问控制（如指定管理和基于角色的访问控制）是身份和访问管理解决方案所需的关键功能。用户可通过身份认证进入计算机系统，访问计算机系统中的文件和目录等资源。但具体哪些用户能够访问哪些资源，由信息安全中的访问控制机制来决定。

如何实施访问控制呢？昆明亭长朗然科技有限公司网络安全顾问董志军称：这需要因地制宜，具体情况具体分析，也就是说，我们要有个所谓的安全策略，明确规定按照什么方式来允许谁访问什么内容、如何访问，根据策略制定出具体的规则。

是一些涉及敏感信息的使用场景。管理员会为用户和资源指定不同的密级，系统只允许用户访问相同或更低等级的信息，这种方式在信息安全中被称作强制访问控制。反之，前面那些方式被称作自主访问控制，资源的主人有权决定哪些人可以访问。

使用安卓系统的手机和苹果手机也同样有访问控制。例如，某软件要访问用户的位置信息时，苹果手机会弹出提示，询问用户是否允许。而在使用安卓系统的手机上，每次安装新软件时，系统都会询问用户是否授予该软件某些权限，这些权限会作为该软件访问系统资源时的凭据。

对企业级用户而言，有很多成熟的身份和访问管理解决方案，但是仍然要注意，终端用户的安全意识不容忽视。如LDAP等目录服务以及SSO单点登录可以解决让用户少记密码和账号的烦恼，但是也有缺点，就是一但不法分子突破了某员工的账号密码，则可以轻松用它来访问多个信息系统。

有的系统可以通过登录审计或上次登录信息提醒等方式来强化安全性，但是这些功能要发挥安全作用，也需要使用者的了解、支持和配合。比如对关键系统的登录审核往往需要用户以及其部门上司确认，这无疑增加了用户的工作负担，虽然可能只是简单点击或回复，但很多用户不理解此项工作的重要性，便不会积极配合。

总之，搞好身份和访问管理，是保障信息安全的关键技术措施，但是仅仅依靠技术能不能很好解决的。我们建议，在对用户进行信息系统操作培训的同时，强化安全意识教育，比如发现异常登录情况，比如为什么要设置密码复杂度以及密码过期的要求，为什么不能将密码写下来或与他人随意分享密码，在看到并非自己发起的上次登录提示后，为何应该及时报告信息安全部门，以进行必要的安全事件调查和响应。

如果您觉得在进行用户方面的安全意识教育方面缺乏必要的时间和资源，可以找外部专业的援助。昆明亭长朗然科技有限公司创作了数百部网络安全教育视频课程以及宣传图片，数百万学员通过我们的作品提升了安全防范意识、信息保密意识及合规守法意识，不仅保护好了自己，也给所在工作单位带来了安全收益。欢迎有类似需求的领导们及信息安全产品厂商、服务商、合作伙伴们与我们联系，洽谈业务合作。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898