中小型企業(yè)應(yīng)如何生存下去？通常我們的關(guān)注點(diǎn)主要聚焦在業(yè)務(wù)規(guī)劃、營(yíng)銷(xiāo)策略、吸引額外投資等方面，但很少有人提及建立穩(wěn)固的網(wǎng)絡(luò)安全系統(tǒng)。然而，缺乏對(duì)網(wǎng)絡(luò)威脅的清晰理解可能會(huì)使中小型企業(yè)喪失成功的機(jī)會(huì)，本文討論了一些典型的網(wǎng)絡(luò)安全錯(cuò)誤，以及應(yīng)對(duì)措施。
典型的網(wǎng)絡(luò)安全錯(cuò)誤
中小型企業(yè)在發(fā)展成為一家成熟企業(yè)的過(guò)程中，可能會(huì)犯哪些網(wǎng)絡(luò)安全錯(cuò)誤？
給予員工過(guò)多的訪問(wèn)權(quán)限
通常來(lái)說(shuō)，當(dāng)中小型企業(yè)員工需要訪問(wèn)公司資源或服務(wù)時(shí)，他們會(huì)立即獲得管理員權(quán)限。共享這些訪問(wèn)權(quán)限的人通常認(rèn)為，在不了解特定員工的真正需求及其職責(zé)的情況下，一次性授予對(duì)所有內(nèi)容的訪問(wèn)權(quán)限要比每周授予新的訪問(wèn)請(qǐng)求更容易。但是，員工擁有的訪問(wèn)權(quán)限越多，出錯(cuò)的可能性就越大。如果企業(yè)想最大限度地減少網(wǎng)絡(luò)事件的數(shù)量，每個(gè)工作流參與者應(yīng)該只擁有其任務(wù)所必需的訪問(wèn)權(quán)限。
缺乏信息存儲(chǔ)規(guī)則
一般來(lái)說(shuō)，這對(duì)任何企業(yè)都是不利的。但在創(chuàng)業(yè)公司，由于存在員工高流動(dòng)率問(wèn)題，企業(yè)可能會(huì)在某一天根本找不到重要的工作文件。它們很可能存在于某個(gè)地方，但究竟在哪里卻無(wú)從得知。也許會(huì)有開(kāi)發(fā)人員或營(yíng)銷(xiāo)實(shí)習(xí)生曾經(jīng)知道這件事，但他們可能在沒(méi)有告知任何人的情況下就離開(kāi)了公司。
密碼管理混亂
另一個(gè)常見(jiàn)問(wèn)題是遺忘了企業(yè)社交網(wǎng)絡(luò)或其他很少使用的服務(wù)密碼。也許一位新員工建立了Facebook或LinkedIn賬戶來(lái)幫助企業(yè)推廣業(yè)務(wù)，但未能與其他員工分享賬戶信息，就匆匆離職或轉(zhuǎn)崗擔(dān)任另一個(gè)角色——登錄憑據(jù)已經(jīng)消失，幾乎沒(méi)有恢復(fù)的機(jī)會(huì)。
有些企業(yè)可能會(huì)認(rèn)為，在員工高流動(dòng)率的情況下，使用共享賬戶可能是個(gè)好主意。但是，知道密碼的人越多，由網(wǎng)絡(luò)釣魚(yú)、疏忽或惡意意圖而發(fā)生數(shù)據(jù)泄露的可能性就越大。此外，當(dāng)安全事件發(fā)生時(shí)，它會(huì)極大地增加企業(yè)對(duì)事件調(diào)查的難度。
另一個(gè)與密碼相關(guān)的錯(cuò)誤是，企業(yè)將某個(gè)文件存儲(chǔ)在云中，這意味著任何知道該鏈接的人都可以訪問(wèn)它。這樣做的明顯好處是，將必要的信息非常方便地傳遞給所有員工。然而，這樣的文檔可以被搜索引擎索引。換句話說(shuō)，包含企業(yè)所有密碼的文件可能會(huì)落入壞人之手。
身份驗(yàn)證不足
如果中小型企業(yè)沒(méi)有忽視工作賬戶的雙因素身份驗(yàn)證，那么與密碼相關(guān)的一些問(wèn)題就不會(huì)那么危險(xiǎn)了。雙因素身份驗(yàn)證使企業(yè)可以保護(hù)重要數(shù)據(jù)免受各種侵害，例如網(wǎng)絡(luò)釣魚(yú)。目前看來(lái)，首先需要進(jìn)行雙重防護(hù)的是金融行業(yè)。
應(yīng)對(duì)網(wǎng)絡(luò)威脅的建議
中小型企業(yè)避免犯“典型”錯(cuò)誤，請(qǐng)嘗試遵循以下建議：
•在授予員工對(duì)資源或服務(wù)的訪問(wèn)權(quán)限時(shí)，應(yīng)該遵循最小權(quán)限原則。也就是說(shuō)，員工必須擁有最低限度的訪問(wèn)權(quán)限——僅足以執(zhí)行他們的任務(wù)；
•準(zhǔn)確了解中小型企業(yè)的重要信息存儲(chǔ)在哪里，以及誰(shuí)有權(quán)訪問(wèn)它。由此，在雇用新員工時(shí)制定指導(dǎo)方針，包括明確定義每個(gè)員工需要哪些賬戶，以及哪些賬戶應(yīng)該僅限于某些角色；
•成熟的企業(yè)網(wǎng)絡(luò)安全文化有助于防范網(wǎng)絡(luò)威脅。例如，可以從為員工創(chuàng)建網(wǎng)絡(luò)安全手冊(cè)開(kāi)始，以便每個(gè)人都能保持認(rèn)知同步；
•所有密碼都必須存儲(chǔ)在安全的密碼管理器中。這將幫助員工不會(huì)忘記或丟失它們，并最大限度地減少外人訪問(wèn)企業(yè)賬戶的機(jī)會(huì)。此外，還應(yīng)盡可能使用雙因素身份驗(yàn)證機(jī)制；
•建議員工在離開(kāi)辦公桌時(shí)鎖定計(jì)算機(jī)，應(yīng)該讓員工記住辦公室可以被各種第三方訪問(wèn)，包括快遞員、客戶、分包商或求職者等；
•考慮安裝防病毒軟件以保護(hù)設(shè)備免受病毒、木馬和其他惡意程序的侵害。
