互联网时代做好企业信息安全的八大策略分析

社会主义好

任何企业在经营中都面对着一个相似的课题 – 让客户满意。 但是在互联网时代，小型企业在让客户满意的同时还要保障他们的安全。 这意味着去保护你的关键商业数据(比如客户的财务信息)，并让你的网络远离病毒、恶意木马以及其它来势汹汹的互联网威胁。

　　ePerimeter的首席安全官Kevin Prince指出， “2008年中新的数字威胁种类不会很多。但是现有的威胁将会产生更多的变种。”

　　Prince表示社交网络站点有可能成为新的网络攻击的目标。 任何拥有超大流量的网站，比如Google、Youtube、Salesforce.com、Myspace等，都会成为传播超级蠕虫的僵尸网络(botnet)的首要目标。 “这些攻击手段相比两年前要隐蔽得多，”Prince说道。 “你甚至不知道你的PC已经被感染。”


　　听到这里你或许会想，“如果连电脑被感染了都不知道，这将是一件多么可怕的事。”的确，没有足够的防御措施，你所面对的威胁就会波及到你的客户财务信息，你的商誉，甚至整个企业。 Prince认为，“预防是规避感染的最佳方法。 任何拥有敏感或任务关键数据、客户财务信息、或法规事务的企业都必须采取措施来保护自己，否则他们将面临财务损失的风险。”

　　以下八个步骤将帮助你的企业在2008年中打造一条牢固的安全防线。

　　1. 全面的补丁管理

　　替你所有的硬件和软件打上最新的补丁，并及时更新。 你所需要管理的不仅仅是微软的补丁，此外还有Mac、Linux、Unix系统，或诸如Photoshop、Adobe Acrobat等应用。

　　Prince表示，“你需要针对所有的系统和第三方应用制定一套补丁管理计划。 对管理员来说，他们应当从整个网络的角度来管理电脑与软件的更新。”

　　2. 安全防患培训

　　培养员工对互联网安全和公司个人策略的意识。 Prince认为，“内部人员是对公司网络最大的威胁，因为他们有最大的访问权限。”

　　他表示要强制培训员工如何处理私人数据，如何设置安全密码，以及如何应对社会工程攻击(即假扮客户等来打探问题以求获得敏感信息)。

　　3. 使用基于主机的入侵防御系统(HIPS)

　　Prince 建议在基于网络的入侵侦测系统(比如监控整个网络的威胁)的基础上再使用基于主机的入侵防御系统(HIPS)，以保护那些储存着关键信息的系统。 HIPS可以通过监控特定系统的进出流量来发现反常的行为。

　　Prince表示，“将基于网络和基于主机的入侵防御系统结合使用效果最佳。”

　　4. 内部弱点评估

　　弱点评估可以扫描你的操作系统、网络服务器、工作站和打印机，从而发现缺乏适当保护的区域。 Prince建议将这类系统评估与应用层面的测试结合在一起实施。

　　5. 内容过滤

　　内容过滤可防止网络上的用户访问那些存在安全隐患的站点。 Prince表示内容过滤不仅只关系到员工的生产力。他指出，“有些电脑攻击会引诱用户去浏览那些貌似合规的站点。而这些站点会通过恶意程序去感染浏览用户的电脑。”

　　6. 集中化的桌面保护

　　大部分桌面电脑都有各种类型的防病毒软件进行保护。 集中那些桌面电脑，并通过工作站去进行监管。这样做能让管理员更轻松有效地去安装、管理并维护统一的病毒防护，防止它们暴露在威胁中。

　　7. 策略管理

　　建立并管理安全策略，确保员工遵循这些策略。 这些策略包括定期更改密码，限制以管理权限对电脑进行控制与访问，并及时安装或更新补丁。

　　8. 采用挤压式管理解决方案

　　大部分公司，哪怕是小公司，都会有一些想要保留在内部的敏感信息。 挤压式管理解决方案防止了那些数据流出网络之外(比如通过email)。 “比方说， 挤压式管理解决方案能防止员工将财务数据以email传送到网络外部，”Prince说道。 “它可以让你控制敏感数据的传播。”