10项关于网络安全的错误意识

来源:用户上传      作者:

　　随着社会生活各领域信息化水平的不断提高，網络安全已经成为各政企单位非常重视的管理问题之一。如果单位的网络安全管理人员或各级员工“迷信”以下任何一点，都可能为单位的信息系统带来遭受网络攻击的风险。
　　step 1
　　对于单位的网络安全管理而言，设置强密码是一种良好的习惯。但是，强密码策略只是网络安全工作的起点。要保障单位网络安全，不仅需要求员工做强密码设置，还需要了解员工的数据访问权限。近期的一项研究发现，41 %的企业都向其所有员工开放了1 000个以上敏感文件的访问权限；同时，许多企业没有采取技术手段对管理员访问进行监控。总之，虽然强密码有助于保证企业网络安全，但是，一旦员工进入系统，风险就会大大增加。
　　step 2
　　近年来，不少新闻对一些备受瞩目的黑客行为进行了报道，一些中小型企业因此误以为自身不会成为网络攻击的目标。实际上恰恰相反，2018年Verizon数据泄漏调查报告表明，58 %的数据泄漏的受害者都是小型企业。
　　这种情况的出现有几个原因：许多小企业受到攻击并不是攻击者有意为之，他们只是“喷雾攻击”的受害者———黑客采用自动系统随机选择企业实施渗透。由于此类攻击的随机性，任何企业都有可能遭受攻击，无论其是大是小。
　　在攻击行为中，小企业往往是那个“软柿子”，因为他们缺乏网络安全资金的投入、没有熟练的安全团队，因此更容易受到攻击威胁。另外，有针对性攻击往往选择小企业为对象，这是因为它们缺乏安全保护措施。
　　step 3
　　有些企业认为自己规模小，不会受到攻击，还有一些企业则以为自己所在的行业不会受到攻击，他们认为自己的企业没有任何“值得”偷的信息。实际情况是任何敏感数据，不管是信用卡号码、地址或个人信息，都可能使企业网络成为攻击目标。
　　更重要的是，即使目标数据在暗网上没有转售价值，勒索软件也可能使数据无法使用，导致企业业务系统运行停滞，这可能使攻击行为对网络罪犯而言变得有利可图。
　　step 4
　　防病毒软件无疑是保障企业网络安全的重要技术手段，但它不能保证系统免受任何侵害。杀毒软件只是综合网络安全体系的一部分，要实现真正的网络安全保护，需要一套完整的安全体系建设解决方案，内容涵盖从员工培训到内部威胁检测、应急响应等方面的所有内容。
　　step 5
　　虽然来自外部威胁是一个关键问题，但内部威胁同样危险，足以引起同样的重视。研究表明，在多个数据泄露案例中，内部威胁占比高达75 %以上。内部威胁可能来自企业内部的任何人，从心怀不满的员工到没有受到网络安全培训的员工。因此，建立一套阻止和监控内部威胁的体系非常重要。
　　step 6
　　虽然信息化部门在实施与保障企业网络安全方面负有重大责任，但是，真正的网络安全工作与企业每位员工密切相关。
　　统计数据表明，49 %的恶意软件是通过电子邮件安装的。如果企业员工没有接受过网络安全方面的培训，不知道如何发现网络钓鱼诈骗、规避邮件中的不安全链接，他们的电脑就有可能成为企业受到外部攻击的入口。
　　step 7
　　如果企业员工经常使用WiFi环境开展工作，他们有可能错误地认为，只要设置了WiFi密码，就能够保证WiFi网络的安全性。实际上，WiFi密码的功能只是限制每个网络的用户数量，使用相同密码的其他用户能够轻易查看网内正在传输的敏感数据。因此，员工应该采用VPN技术接入网络以保证WiFi环境下的数据安全。
　　step 8
　　如果是十年前，在电脑遭受攻击或感染病毒时，用户可能会立刻发现———标志性特征包括出现弹出式广告、浏览器加载速度慢，或极端情况下可能出现的系统崩溃。
　　但是，今天的恶意软件行为更为隐蔽、更难以察觉。很多情况下，计算机在感染病毒后，很可能会继续平稳运行。
　　step 9
　　企业员工往往认为其手机等个人计算设备不需要受企业网络安全规范的约束。然而，自带设备（BYOD）可能使企业面临未知的安全风险，因此，使用自带智能设备开展工作的员工也需要遵循企业的各项网络安全要求。
　　step 10
　　网络安全应该是一项持续不断的工作，新型病毒、新的攻击手段等将使企业系统与数据面临不断的网络安全风险。要真正保持自身企业的网络安全，用户必须对其业务系统保持持续的安全监控，周期性地对应急计划进行评估与验证。
　　总而言之，保证企业网络安全是一项需要持续不断付出努力的工作，需要每一位企业员工的认真参与。
转载注明来源:https://www.xzbu.com/1/view-14813944.htm