十措施防止雇员给单位带来的安全损害

申请免费试用、咨询电话：400-8352-114

越来越多的事实证明，公司安全的最大敌人是内部人员。公司网络安全的最大威胁并不是某个神秘的黑客从世界的某个地方发动攻击，而是公司的内部员工。

事实证明，电子邮件是进入网络的一个重要途径。黑客们通过电子邮件把网络搞慢，甚至将整个网络搞垮。

随着时间的推移，黑客们已经将其战略重点从搞破坏转到了赚钱。其技术也发生了变化，而且随着USB移动设备的普及，它日益成为一种窃取数据的快捷有效的手段。

黑客们将键盘记录器软件和其它的恶意软件嵌入到这种设备中，并通过各种途径肆意传播。人们带着这种设备去上班，将其插入到其PC中，却不知道它已经开始感染到自己的计算机。键盘记录器会软件会包含用户名和口令。

据微软的有关安全情报报告，木马下载器和各种形式的恶意软件在2007年下半年增加了300%。这份报告发现恶意软件是犯罪分子用于攻击目标计算机的主要工具。

随着移动工作人员的增加，闪盘成为一种日益流行的数据窃取设备。在用户离开笔记本电脑期间，别有用心的人将闪盘插入到设备中，就可以为所欲为。

不过，Vista用户可以解决这个特定的问题，它可以准许用户禁止没有经过授权的USB驱动器。计算机不会识别没有经过注册的闪盘。

钓鱼阴谋是黑客们的另外一种用于获取个人数据和财务信息的流行诡计。企业的雇员可能并不知道，钓鱼诡计是不断循环往复的。

近来的电子邮件中的钓鱼攻击日益增加。这种电子邮件看似来自客户的银行，它们一般要求用户在电子邮件中单击一个链接，然后将用户带到一个貌似银行网站的网页中，并要求用户更新用户名、口令和其它个人信息。

企业要培训雇员，使其知晓钓鱼攻击的属性，首要的一点，要教育员工不要单击电子邮件中的链接，这有助于防止雇员将公司的关键数据、个人的敏感信息落于犯罪分子之手。

笔者推荐使用较新浏览器中的钓鱼过滤器，或者使用第三方的安全过滤软件。过滤器是通过访问一个已知的钓鱼网站列表来运行的。在用户从一个网站转到另外一个网站时，过滤器会告诉用户某个特定的网站是否安全。例如，如果一个站点位于黑名单中，IE7地址栏会闪烁红色。此外，笔者还推荐以下的十条措施，以作为单位教育雇员安全问题的选择：

要教育雇员目前的威胁类型及其特点、表现形式、手段等。要让雇员知道其行为如何增强或损害网络安全。

要教育雇员从整体上看待网络安全。要紧密关注如何保护现有的架构，包括服务器、桌面机器和手持式移动设备。

要保证雇员所使用的系统拥有完整的、最新的恶意代码保护，这包括反病毒、反间谍软件、反钓鱼软件。

要保障远程雇员的笔记本电脑、桌面计算机和移动设备满足单位的安全要求。要采取措施限制雇员使用家庭中的计算机访问单位网络所造成的风险，如采用SSL VPN技术。否则，其恶意代码有可能感染整个网络。

选用合适的NAC或NAP方案，这种方案能够扫描试图访问公司网络的任何设备。如果设备并不满足安全标准(例如，如果反病毒太陈旧等)，在其满足标准之前，这种设备将被隔离。

配置防火墙或UTM设备等，使其仅接受经准许的互联网使用。

要制定防止随意将软件下载到桌面系统上的强健策略和措施。

要告知雇员遇到哪些可疑情况应该寻求安全管理人员的帮助，要让雇员知道该找谁。

要纠正雇员的一些错误说法和做法，如“强口令很记忆，所以需要写下来”，再如将太多的信息给一个打来电话的人(防止社交工程攻击)等都需要避免。

要警告雇员在外出时如何保护笔记本电脑免受无线威胁损害，如不要随意使用其它不了解的无线网络连接。

从长远的观点来看，雇员和终端用户是对付各种网络威胁的最重要的、最根本的防线。公司机构的安全措施都依赖于雇员遵守和执行相关的规则和策略。（IT专家网）