中小企业如何重视安全来降低风险

ZDNet安全频道原创翻译 转载请注明作者以及出处

　　今天的中小型企业(SMBs)在安全方面有很多担心，当前经济危机下利用用户的行为模式可以带来广泛的威胁。

　　迈克菲亚太地区反恶意软件研究经理王景荣表示，利用经济衰退的威胁已经出现，为了增强对中小企业的吸引力，它们经常采用提供法律、金融、招聘之类的前瞻性报告，甚至免费安全工具的内容来作为掩饰。

　　“很多情况下，计算机用户都没有意识到，犯罪分子是隐藏在貌似正当服务的背后，”王景荣在新加坡总部接受电子邮件采访时说。钓鱼网站、垃圾邮件和虚假的安全软件都是为了寻找真实信息，在某些情况下，黑客会渗透到合法网站中，并利用这些信息来隐藏恶意软件，他补充说。

　　安全威胁也正在经历某种形式的本地化。王景荣说，在过去威胁并不针对特定区域、文化或语言，还有一种说法互联网威胁的是英语使用者。

　　“（但现在），恶意软件已经成为坏家伙用来赚钱的一种方式，我们已经看到可针对专门目标群体的威胁，”他警告说。　“在英语不是母语的地区，它们可能会陷入在汉语、日语、印尼语或其它当地语言造成的威胁中。”

　　并且网络犯罪分子已经开始利用在线资源在中小型企业之间传播蠕虫，举例来说，小型公司用来降低成本提高效率的在线社区和招聘网站就受到了重点关注，王景荣说。

　　安全面临的风险

　　赛门铁克公司南亚副总裁兼全球客户负责人埃里克·何说，越来越多的消费设备开始在工作场合使用也给安全带来了巨大的威胁。

　　何在电子邮件中说，服务器、笔记本和台式计算机正日益成为安全攻击的对象和数据窃取的目标。他说，随着用户需求的增加，通过虚拟专用网络(VPN)进行远程连接，基于网络的远程办公和无法管理的设备，让安全面临的威胁正变得更加复杂，特别是对于移动设备来说。

　　他还补充说，工作团队流动性的增加也为信息安全带来了新挑战。

　　“移动设备的应用，导致生产力和灵活性都获得了提高，但由于它们非常容易丢失或被盗，如果没有适当的安全工具，它们中存储的数据也很容易被未经授权的第三方访问。”他指出。

　　王景荣说，新技术无疑将带来新的威胁。“这是毫无疑问的，便携式USB设备正日益普及，尤其是在中小型企业里。可移动硬盘、U盘甚至MP3播放器、数字相机和手机...正在成为W32/Autorun.worm病毒传播的通常渠道，它可以从计算机上复制自身到计算机使用的便携式设备中”，他说。

　　王景荣指出，对用户进行IT技术面临的风险教育仍然是关键，特别是在减轻社会化工程和有针对性的风险威胁方面。　“公司内实施和执行IT项目的最佳做法，是确保使用强密码，限制用户访问关键资源，只安装必不可少的软件，”他说。

　　根据何的观点，中小型企业往往将安全策略作为一个单独的部分进行处理，并没有认识到应该将其纳入到日常业务运作中去。

　　他补充到，对于中小型企业来说，即使IT预算通常是有限的，也不能忽视安全方面的开支。“制定适当的安全解决方案将帮助中小企业降低风险，在出现停机、身份盗窃等问题时减少声誉和收入方面的损失，”他说。”

　　中小型企业依赖免费安全软件的话，就只能获得基本水平的扫描和保护，而这些工具不提供这些业务所需要的安全，何说。

　　“在今天的网络世界中，确保信息和交易的安全比‘内部’安全更重要，”何说。“这就需要综合性的产品和服务，为企业提供全面的安全状况分析。这需要确定风险的解决方案，以便尽早采取步骤，以减轻和防止攻击。”

　　风险最小化的途径

　　1、分层安全：为员工安全采用“防御纵深”策略，其中包括安全补丁升级。部署一个个人防火墙来控制网络流量。　在网络浏览器中启用安全设置并禁用文件共享。指导用户建立包含至少8个字符其中含有了数字、字母和特殊字符组合的密码。密码应每45至60天更换一次。

　　2、网络访问控制：所有连接到网络上的计算机和输入/输出流量都应该进行监测，以防止出现未经授权的恶意活动。确保受感染的计算机将被清除出网络并进行杀毒处理。同时，创建并执行确定和限制应用程序访问网络权限的策略。

　　3、定点通知：几个安全厂商在其网站上公布报告，帮助中小型企业确定安全威胁。

　　4、物理安全：中小型企业的员工可以选择使用常规的物理安全策略，协助增强公司的安全防卫。这些措施包括了当用户远离计算机时锁定屏幕，一天工作结束后切断计算机电源，使用链锁保护笔记本，并更加关注手持设备的物理安全。

　　5、备份：IT系统可以因为各种原因，如灾害、人为错误和硬件故障出现问题。因此，关键是要定期备份重要数据，实现信息异地额外备份。