6个最大业务安全风险以及解决办法

在2014年安全泄露事故依然接二连三地发生。尽管多年来安全泄露和分布式拒绝服务(DDoS)攻击占据头条新闻，安全专家也一再告诫企业(和个人)需要更好地保护敏感数据，但很多企业仍然没有准备好或无法正确地抵御各种安全威胁。

事实上，根据Trustwave最新发布的《2014年度风险状态报告》显示，大多数企业没有或者只部署了部分系统用于控制和追踪敏感数据。该报告采访了476名IT专业人士对安全问题的看法。

那么，企业应该怎样更好地保护自己及其客户的敏感数据免受安全威胁呢?对此，我们询问了几十位安全专家和IT专家来寻找答案。下面是安全泄露事故6个最有可能的来源或者原因，以及企业应该怎样做来抵御这些风险。

风险No. 1：心怀不满的员工

“内部攻击是企业数据和系统面对的最大威胁之一，”Green House Data公司首席技术官Cortney Thompson表示，“心怀不轨的员工可能造成严重破坏，特别是IT团队的成员，他们了解并可以访问网络、数据中心及管理员账户。”据传言称，索尼遭受的攻击不是源自朝鲜，而其实是内部攻击。

解决办法： CyberArk公司执行副总裁Adam Bosnian表示：“缓解特权账户利用风险的第一步是发现所有特权账户和登录凭证，并立即终止那些不再使用或涉及已离职员工的账户。”

“下一步是密切监测、控制和管理特权登录凭证以防止被利用。最后，企业应该部署必要的协议和基础设施来跟踪、日志记录特权账户活动，以及创建警报，以在攻击周期的早期阶段快速应对恶意活动和减小潜在的损害。”

风险No. 2：粗心大意或不知情的员工

SafeLogic公司首席执行该Ray Potter表示：“粗心大意的员工将自己未加密的iPhone遗忘在出租车上，这与泄露信息给竞争对手的心怀不满的员工一样危险。”同样地，没有学习过安全最佳做法的员工，他们使用低强度密码访问未经授权的网站，和/或点击可疑电子邮件中的链接或打开电子邮件附件，这也会给企业系统和数据带来巨大的安全威胁。

解决办法： “对员工进行培训，让他们学习使用安全最佳做法，并为他们提供持续的支持，”RoboForm公司市场营销副总裁Bill Carey表示，“有些员工可能不知道在网上如何保护自己，这可能让企业数据面临风险。因此，企业应该提供培训课程，帮助员工学习如何管理密码以及避免网络钓鱼和键盘记录等攻击。并且，提供持续的支持以确保员工拥有他们所需要的资源。”

此外，确保员工在所有设备使用高强度密码。密码是第一道防线，所以要确保员工使用包含大写和小写字母、数字和符号的密码。

同样重要的是，在每个注册的网站使用单独的密码，并每隔30到60天更改密码。密码管理系统可以自动化这个过程，而不需要员工记住多个密码。

加密也是必不可少的。

“只要你已经部署了经验证的加密作为安全战略的一部分，就还有希望，”Potter继续说道，“即使员工没有部署个人防护措施来锁定其手机，IT部门可以撤销用于解密企业数据的密钥，从而进行选择性的数据擦除。”

BeyondTrust公司产品经理Rod Simmons表示，为了加强安全性，企业可以部署多因素身份验证，例如一次性密码(OTP)、RFID、智能卡、指纹读取器或视网膜扫描，以确认用户的身份。这可以帮助缓解密码导致的数据泄露事故。

风险No. 3：移动设备(BYOD)

“当员工使用移动设备(特别是他们自己的设备)共享数据、访问公司信息或没有定期更改移动密码时，非常容易发生数据盗窃，”BT Americas公司首席技术官兼安全部门副总裁Jason Cook表示，“根据BT的研究显示，在过去12个月中，移动安全泄露事故影响着全球三分之二(68%)的企业。”

Yottaa公司产品营销副总裁Ari Weil表示：“随着越来越多的企业拥抱BYOD趋势，员工设备进入企业网络(防火墙背后，包括通过VPN)，当应用程序安装恶意软件或其他木马软件可访问设备的网络连接时，可能给企业带来很大风险。”

解决办法： 确保你有一个全面的BYOD政策。“通过BYOD政策，员工可以更好地学习如何正确使用设备，而企业则可以更好地监控电子邮件以及下载到企业或员工设备的文件，”赛门铁克公司全球产品营销高级主管Piero DePaoli表示，“有效监控可以让企业了解其移动数据丢失风险，当移动设备丢失或被盗时，让他们可以快速找出风险。”

同时，企业应该部署移动安全解决方案来保护企业数据以及对企业系统的访问，同时通过容器化来保障用户的隐私权。通过分离用户设备中的企业应用程序和企业数据，容器化可以确保企业内容、登录凭证和配置保持加密，在IT控制中，这增强了防御。通过权件oli Code42公司首席执行官兼联合创始人Matthew Dornquast表示，你还可以通过混合云来缓解BYOD风险。“随着未经批准的消费者应用程序和设备不断进入工作场所，IT应该考虑使用混合和私有云来缓解这种趋势带来的潜在风险。这两种方法都可以提供公共云的容量和弹性来管理海量设备和数据，同时，还提供增强的安全性和隐私性(例如无论数据存储在什么位置，加密密钥都保存在内部)来管理企业内的应用程序和设备。”