不用花钱 教你九项企业级安全防护措施(2)

　4. 思考后再透露密码及用户信息

　　透露密码和个人数据的往往是内部用户，而不是外部入侵者。这样一来，攻击者可以趁机闯入用户的计算机及公司网络，从而为非作歹、破坏声誉。

　　Marcus表示，尽管人们已知道威胁来自于网络钓鱼、间谍软件程序等多方面因素，但还是有许多人在上网时没有养成防护的习惯，他们根本没把这些危险和自己联系在一起，只图方便，因此在接到要求后仍愿意透露数据，并未确信自己没有上当受骗。Marcus说: “人们以为出现在面前的网站就是正当的，这种想法在网络世界里是很危险的。”
　　
　　5. 防患于未然

　　谁都不想遭遇数据泄密事件，专门提供泄密后分析服务和软件工具的Mandiant公司的首席执行官Kevin Mandia忠告，CIO应该对泄密事件发生后的对策有所准备。一旦果真发

　　生了信息泄漏，每家公司都可以采取措施来减轻造成的影响。他说，遗憾的是，大多数公司等到为时已晚的时候，才测试甚至制订响应策略。

　　Mandia说，系统应记下数据流动情况，包括谁在什么时候访问数据、哪些应用软件使用了这些数据，但鲜有公司这么做。他说: “我们看到的最常见错误就是，公司请我们过去，我们首先问的是有没有任何相关文档。对方往往会提供大量数据，却没有正式的文档。技术人员在这方面做得很差，律师也没有要求这样做。所以几乎无一例外的是，我们过去问公司出了什么情况，对方根本答不上来。”

　　6. 泄密后的保密工作

　　许多公司没有任命某个领导人或者小组来负责响应安全事件、查找重要细节，结果也大大限制了响应事件的能力。在许多公司，这成了推卸责任的借口; 而另一些公司让太多的人参与泄密事件响应工作，结果这么多的人反而妨碍了相关的调查工作。

　　Mandia说: “有些公司让太多的人参与决策过程。我们过去后，得向12个人说明情况，但实际上其中有10个人并没必要参加。”

　　另一个常见问题是，许多公司通常没有针对泄密事件进行保密。这样一来，员工听到风声后，会立即设法保护自身利益，从而加大了调查的难度。

　　Mandia表示，如果事件牵涉到内部人员，他们知道行踪败露后，可能会立即清理掉一些证据(而这些证据原本可以帮助调查人员查明真相)，这样就为确定责任带来很大麻烦。