企业面临的六大安全问题及解决方案

ZDNET至顶网CIO与应用频道 04月15日 编译（文/邓晓蕾）：本文中，IT安全专家讨论安全漏洞的主要原因，并建议企业如何规避风险。

安全漏洞在过去的2014年可是大新闻，尽管多年来安全专家一再告诫，企业（或个人）需要对保护敏感数据做的更好，许多企业仍然没有准备好应对安全威胁。

事实上，根据Trustwave的近期2014年风险报告，共调查476名 IT专业人士对安全薄弱环节，大多数企业没有或只有部分系统到位，用于控制和跟踪敏感数据。

那么，公司可以做什么以更好地保护自己和客户的敏感数据所受的安全威胁？以下是最有可能发生的六个安全漏洞的的来源，，或许企业CIO可以提前做点什么？

风险1：心怀不满的员工

“内部攻击是数据和系统的最大威胁之一，” Green House Data的CTO说， “员工是IT团队中获取网络，数据中心和管理帐户的特别成员，可能会导致严重的伤害，”事实上，“有传言称，索尼黑客并没有攻击朝鲜，但其实内部工作有。”

解决方案： “减轻特权帐户风险的第一步是要确定所有特权帐户员工不再在公司那需立即终止，”CyberArk执行副总裁Adam Bosnian说。

“下一步，密切监测，控制和管理特权凭证，防止注销。最后，企业应实施必要的协议和基础设施来跟踪，记录特权帐户活动和创建警报，允许快速应对恶意活动和攻击周期的早期阶段减少潜在的损害。“

风险2：粗心大意或不知情的员工

“一个员工不小心忘记了解锁iPhone的密码，像心怀不满的用户恶意泄漏竞争对手一样的信息一样险，”SafeLogicCEO的Ray Potter 说。同样的，访问未经授权的网站或点击可疑电子邮件、打开电子邮件附件链接的员工给公司的系统和数据带来了巨大的安全威胁。

解决方案： “培训员工并提供持续的支持， RoboForm. 市场营销部副经理 Bill Carey说“有些员工可能不知道如何在网上保护自己，让业务数据存在在风险”他说。因此，网络安全培训是必不可少的持续课程，帮助员工学习如何管理密码，避免黑客通过钓鱼和键盘记录诈骗。然后提供持续的支持，以确保员工拥有他们所需要的资源。“

此外，“确保员工在所有设备上使用强密码，”他补充道。“密码是防守的第一道防线，因此要确保员工使用有大写和小写字母，数字和符号的密码，”Carey 说。

“同样重要的是每个注册的网站，使用一个单独的密码，并每隔30～60天改变它，”他继续说，“密码管理系统，可以通过自动化这个过程，省去了员工记住多个密码的麻烦。”

加密也是必不可少的。

“只要你已经部署了验证加密作为安全战略的一部分，是有希望的，” Potter说。“即使员工没有采取个人防护措施，来锁定自己的手机，你的IT部门可以通过执行吊销专门用于公司数据的解密密钥的选择性擦拭。”

为了更加安全，“实施多因素身份验证，如一次性密码（OTP），RFID，智能卡，指纹读取器或视网膜扫描，以确保知道他是谁，BeyondTrust.的产品集团总经理Rod Simmons补充说：“这有助于减轻违反应该密码被泄露的风险。”

风险3：移动设备（BYOD）

“员工使用移动设备共享数据，访问公司信息，或忽视改变手机的密码，这时最易发生数据盗窃” , BT Americas的首席技术官和副总裁Jason Cook解释说， “根据BT的研究中，移动安全漏洞已经在过去12个月影响超过三分之二的全球性组织（68％）。”

事实上，“随着越来越多的企业接受BYOD，他们面临着来自企业网络上的这些设备的风险（在防火墙后面，包括通过VPN）中的应用程序安装恶意软件或其他木马软件，可以访问该设备的网络连接的情况下，” Yottaa. 产品营销副总裁Ari Weil。

解决方案：请确保有一个完善的BYOD政策。“有了BYOD政策，员工更好地在使用设备，企业可以更好地监控电子邮件和正在下载到公司或员工自有设备的文档学历，”赛门铁克的高级总监Piero DePaoli, “如果移动设备丢失或被盗，有效的监控将提供可见性的移动数据丢失的风险，并让他们能够迅速找出风险。”

同样，企业应该“实施访问企业系统时保护双方数据，同时还制定尊重用户的隐私移动安全解决方案，” Good Technology的 CTONNicko van Someren建议，“通过在用户的设备安全分离业务应用和业务数据，确保企业的内容，证书和配置保持加密和被控制下，增加防御。”

您也可以“缓解BYOD与混合云的风险，Code42的CEO和联合创始人Matthew Dornquast补充说：“由于未经批准的应用程序和移动设备继续蔓延到职场，IT应该着眼于混合云和私有云为减轻这一职场趋势所带来的潜在风险，”他说。“两个选项一般提供公共云的能力和弹性的管理设备和数据，但增加了安全性和保密性，例如，在整个企业用于管理能力的应用程序和设备，无论何处的数据被存储，都能保证及时的加密密钥。”