来源:计世网　作者:沈建苗

如果员工没有意识到一些潜在的安全隐患，那么就算企业安全信息系统再昂贵，其功能也会化为泡影。其实只要改进一些平时常被忽略的行为，就很容易避免安全威胁，而且几乎不用多花一分钱。

　　许多公司投入很多的资金和人员来建设信息安全系统，希望远离四处潜伏的众多安全威胁。但如果不小心踩到安全“地雷”，所有这些努力都将化为泡影。安全专家们表示，只要人们意识到了这些潜在的陷阱，就很容易避免安全威胁，而且几乎不用多花一分钱就能做到。

　　1. 防止公司机密从指尖滑漏

　　许多最普遍的安全问题可能起源于一些不起眼的技术习惯。例如，微软Outlook或其他邮件系统中的电子邮件地址具有“自动填入”功能，员工迅速填写电子邮件地址时，假如输入一个同事的名字，邮件地址下拉框中可能会自动出现另一些类似姓名的邮件地址。员工由于不仔细，匆忙中指尖一滑就进行了选择，邮件便发给了别人，而他还以为自己的邮件只是发给了内部的某个同事。很多人可能都遇到过这样的危险。要是电子邮件中含有关于公司的敏感数据，那么商业机密就会外泄。

　　赛门铁克公司的营销与产品高级经理Steve Roop表示，如果更多用户学会禁用微软Outlook及其他邮件系统中的电子邮件地址“自动填入”功能，就能避免很多起因粗心大意酿成的数据丢失事件。

　　Roop表示，多达90%的信息泄漏事件与电子邮件方面的一些用户失误有关。其实只需要禁止自动填入之类的功能，尽管今后输入邮件地址时可能会麻烦些，但这起码可以让公司免除许多头痛的泄密事件，而且无需额外成本。

　　2. 警惕那些你认为靠得住的合作伙伴

　　Roop认为，另一个常见的安全错误出现在这些用户当中: 他们认为可以把人力资源数据等敏感信息发送给业务合作伙伴或者外包服务提供商。要是发送的信息没有经过加密，这种危险就更大了。

　　他说: “人力资源外包服务提供商的人员有可能不会有太强的安全意识，不经意间把电子表格发到别处，或者把数据存放到不安全的笔记本电脑上，这就是一种安全隐患。”

　　3. 基于Web的应用可能会招致信息泄漏

　　McAfee公司的安全研究与沟通经理Dave Marcus认为，导致许多安全问题的一种常见行为包括使用网络邮件，或者允许员工从公司网络访问音乐下载及文件共享服务。

　　这种基于Web的应用会绕过公司的安全过滤器(网络邮件就是这样)，或者打开连接到外界的通道，从而给公司内部带来病毒或者更严重的威胁。

　　如果员工把工作带回家做，这种风险就会大大增强。Marcus认为，如果他们没有使用公司VPN而直接传播邮件，关键数据就有可能失窃。

　　其实CIO只要执行安全策略，要求员工在VPN或者加密通道上使用安全邮件客户软件(针对电子邮件); 或者禁止用户把应用程序安装到工作电脑上，也不允许他们把数据拷贝到可移动介质上，就很容易避免这些问题。另外还应该阻止员工使用电子邮件给自己发送数据，以免这些未经加密的邮件被半路截取。

　　4. 思考后再透露密码及用户信息

　　透露密码和个人数据的往往是内部用户，而不是外部入侵者。这样一来，攻击者可以趁机闯入用户的计算机及公司网络，从而为非作歹、破坏声誉。

　　Marcus表示，尽管人们已知道威胁来自于网络钓鱼、间谍软件程序等多方面因素，但还是有许多人在上网时没有养成防护的习惯，他们根本没把这些危险和自己联系在一起，只图方便，因此在接到要求后仍愿意透露数据，并未确信自己没有上当受骗。Marcus说: “人们以为出现在面前的网站就是正当的，这种想法在网络世界里是很危险的。”
　　
　　5. 防患于未然

　　谁都不想遭遇数据泄密事件，专门提供泄密后分析服务和软件工具的Mandiant公司的首席执行官Kevin Mandia忠告，CIO应该对泄密事件发生后的对策有所准备。一旦果真发

　　生了信息泄漏，每家公司都可以采取措施来减轻造成的影响。他说，遗憾的是，大多数公司等到为时已晚的时候，才测试甚至制订响应策略。

　　Mandia说，系统应记下数据流动情况，包括谁在什么时候访问数据、哪些应用软件使用了这些数据，但鲜有公司这么做。他说: “我们看到的最常见错误就是，公司请我们过去，我们首先问的是有没有任何相关文档。对方往往会提供大量数据，却没有正式的文档。技术人员在这方面做得很差，律师也没有要求这样做。所以几乎无一例外的是，我们过去问公司出了什么情况，对方根本答不上来。”

　　6. 泄密后的保密工作

　　许多公司没有任命某个领导人或者小组来负责响应安全事件、查找重要细节，结果也大大限制了响应事件的能力。在许多公司，这成了推卸责任的借口; 而另一些公司让太多的人参与泄密事件响应工作，结果这么多的人反而妨碍了相关的调查工作。

　　Mandia说: “有些公司让太多的人参与决策过程。我们过去后，得向12个人说明情况，但实际上其中有10个人并没必要参加。”

　　另一个常见问题是，许多公司通常没有针对泄密事件进行保密。这样一来，员工听到风声后，会立即设法保护自身利益，从而加大了调查的难度。

　　Mandia表示，如果事件牵涉到内部人员，他们知道行踪败露后，可能会立即清理掉一些证据(而这些证据原本可以帮助调查人员查明真相)，这样就为确定责任带来很大麻烦。

　　7. 装好安全补丁并不等于高枕无忧

　　随着涉及IT和数据安全人士的法规措施越来越多，许多公司投入大笔资金用于技术性解决方案，以堵住漏洞。但它们通常以为，采用某项技术或者符合某个方面的法规就能高枕无忧了，事实并非如此。

　　Security Incite公司的分析师Mike Rothman说: “我看到的最主要问题就是，人们以为采取部署反病毒软件、打上补丁和运行漏洞扫描之类的简单措施后，就真正符合要求了。他们并没有从风险管理的角度来看待问题。”

　　不少公司审查了数量有限的安全补丁，得到及格分数后就认为再也不需要加强工作。Rothman说: “人们常常以为，一旦进行了积极审查，就大功告成了。之后，黑客们会证明其实并非如此。”

　　8. 安全问题不能”一视同仁“

　　Rothman表示，公司常常会掉入另一个与法规遵从有关的安全陷阱: 不管IT系统对公司的安全和成功具有的重要性如何，一律投入同样的精力或者费用来保护。

　　他说: “有些人犯的错误就是，对所有安全问题‘一视同仁’; 为保护只有五人使用的旧应用系统所投入的时间和资金与为保护所有客户使用的在线应用系统所投入的一样多。”

　　这种做法浪费了资金，一旦预算花光，以后还会留下更严重的问题。Rothman说: “安全人员常常不知道如何优先处理重要问题。他们应当关注假设具体某个方面出现泄密会有什么样的后果，然后再考虑如何设定开支。”

　　9. 放弃不该保存的数据

　　另一种常见情形给安全人士和法规遵从人士带来了灾难，那就是: 许多处理信用卡和借记卡的公司对保存账户信息的交易日志系统不设防，任由这些交易日志开着，这会导致客户数据泄密。

　　Roop说: “这些被无意识保存下来的数据可用来伪造信用卡，被黑客或者不怀好意的员工所利用。”Roop说，连没有收集信用卡数据的公司也要确保只保存现阶段开展业务所需的信息。他忠告，如果没有保存信息的明确需要、却保留了可能被攻击者利用的信息，那是自找苦吃。如果数据非要保存，应该确保为此制订了保护措施。