中小企業資安 - 資安趨勢部落格

《資料外洩》十大員工危險行為 ~員工行動化可能帶來的資料防護災難 [含資料圖表]

2012 年 04 月 23 日2015 年 05 月 29 日趨勢科技 TrendMicro

在資訊安全鏈之中，人是最薄弱的環節。

即使擁有最嚴格的防護和最先進的設備，公司的關鍵資料還是會有被竊取的風險，特別是當你的員工沒有警覺到（或更糟的，不在意）他們所造成的安全風險。透過預防措施可以防止資料外洩事件。可以保護好電腦設備跟系統以防禦來自外部的攻擊。

儘管如此，企業老闆還是要知道人是資料防護裡最重要的一個因素。

為了讓大家可以更了解它的重要性，趨勢科技和研究單位 – The Ponemon Institue合作來讓企業主可以了解這個問題以及解決方法。你可以到這裡來看看我們共同合作的報告摘要。除了這份報告之外，還有一些重要的文章會對你有幫助：

我們的資料風險計算器，讓你可以計算自己的資料風險處在什麼級別
我們的入門書 – 「每個中小企業都該知道的五大資料安全風險」，讓你可以真正了解困擾中小企業的資料安全風險。(中文: 關於資料儲存，中小企業都該知道的五件事-上中下)
我們的資料圖表 – 「資料防護裡最薄弱的環節：人為因素」，可以讓你快速了解你的員工在整體安全防護中所佔的地位。

人為因素:資料防護裡最脆弱的環節

公司最重要的資產是員工，但這同時也可能是最脆弱的一環。特別現在是強調行動資訊，隨時連線以加強生產力的時代。

員工的疏忽讓公司陷入風險。

>78% 的公司曾經在過去兩年內遭受至少一次的資料外洩事件。

雖然現在的網路犯罪日漸猖獗，只有 8% 的公司最後發現資料外洩的主因來自外部攻擊。

員工行動化可能帶來災難。

前三大資料外洩原因

35% – 筆記型電腦或是其他行動裝置遺失
32% – 第三方問題造成
29% – 系統故障

35% 的公司發現筆記型電腦或行動裝置遺失是資料外洩的主因。其中有56% 發生時，員工他們的筆記型電腦、智慧型手機、平板電腦或其他行動裝置存放有機敏資料。

員工不會回報帶有資料的行動裝置遺失事件。

只有 19% 的員工會自動回報資料外洩事件。
56% 的公司承認資料外洩事件都是無意中發現的。

十大員工危險行為

透過不安全的無線網路上網
沒有將非必要但機密的資料從電腦中刪除
將密碼分享給別人
在不同的網站或線上帳號使用相同的名稱密碼
使用隨身碟儲存機密資料卻沒有加密繼續閱讀

員工可能是最大的安全威脅?! 五個建議幫助員工避免網路風險

2012 年 04 月 20 日2012 年 04 月 24 日趨勢科技 TrendMicro

並不是說你的員工不好，他們可能只是不了解他們在工作時上網有多麼的危險。而這就是問題所在：他們的無知，很可能會變成你的頭號網路安全威脅。這裡是五個你可以參考來解決安全問題的建議：

1. 避免員工誤觸地雷網址

網頁過濾技術能夠限制會讓人分心的正常網站（像是Facebook），但也能夠阻止你接觸到令人討厭或惡意的網站，這在粗心的使用者點到他們不該去碰的連結時很有用。網頁過濾技術可以封鎖某些網站，可能是因為藏有病毒，也可能是會讓公司產生法律問題的網站。

2. 使用強密碼

一個無知的使用者無論在哪個網站都用一樣的密碼，而且這密碼可能是一個名字、一組數字排列像是「12345」，甚或就直接用「password」。所以需要建立使用強密碼的政策：要有8-15個字元，夾雜著數字和字母以避免被人簡單的猜中。記住，密碼最好不是使用單字，而是利用某些模式產生。而且密碼應該每隔幾個月就改變一次。
參考文章:
關於密碼千萬不要做的四件事與密碼設定小秘訣
 你可能沒想過的密碼保護秘訣
從Hotmail 密碼外洩事件，看六種密碼被竊的手法(上）
我複製、貼上密碼，他在幕後接收！-從Hotmail 密碼外洩事件，看六種密碼被竊的手法(下）

3. 教導員工分辨假防毒軟體

假防毒軟體彈出視窗仍然困擾著許多中小企業使用者。如果一個人不是特別了解技術，而且也不夠細心的話，當看到螢幕上突然出現一個可怕的警告訊息，很容易就會上當了。請確保員工知道公司內部使用什麼防毒軟體，而且當它進行更新時是什麼樣子。正常情況下它會自動更新，不需要使用者來手動進行。你的員工應該知道，當出現任何要更新他們安全軟體的提示都有可能來自偽造的來源。

: 假防毒軟掃瞄作業結束之後，還會顯示遭到哪些病毒感染

繼續閱讀

小型企業所該了解的關於網站威脅和網路犯罪的五件事

2012 年 01 月 04 日2012 年 12 月 24 日趨勢科技 TrendMicro

對於網路犯罪份子來說，沒有太小而無不去攻擊的目標。但小型企業仍然有著這樣的心態 – 只有跨國大公司才是網路犯罪分子的目標。他們堅信，因為他們很小所以很安全。正因為如此，這些企業老闆往往無視於網路犯罪威脅和安全問題，也讓小型企業成為被垂涎的對象。

不要成為他們的一份子。是時候面對現實了。

現實一

任何企業，無論大小、類型都可能是網路犯罪的受害者

大多數小型企業不相信網路犯罪份子會把目標放在他們身上。根據Visa公司和美國國家網路安全聯盟（NCSA）的調查，^註¹ 一千個小型企業中，有85％認為大型企業是比他們更有可能的目標。超過一半（54％）對於自己比大型企業做好更多準備來保護公司和客戶資料具有信心。

這些小型企業認為自己不會出現在攻擊者的雷達上。他們的想法是，和他們這些小型企業比起來，網路犯罪分子會先針對大型企業或消費者。但在現實中，網路犯罪分子並不會有任何歧視。只要有利可圖，只要有可以攻擊的點，他們就會動手。並沒有所謂的優先順序，只要有安全漏洞就可以了，所以就算是小型企業，網路犯罪份子都會一視同仁。

2010年NCSA VISA 小型企業研究概覽

現實二

網路犯罪份子對於小型企業所掌握的資訊是有興趣的

雖然並沒有大型企業那種規模，但是中小企業（SMB）還是一樣面臨內容安全風險。銀行詐騙攻擊仍是個真實存在的威脅。^註2 中小企業一直都是惡意軟體的目標，像是會竊取密碼的鍵盤側錄程式，讓網路犯罪分子可以去存取其財務帳戶。資料竊盜變得十分猖獗，在二〇一一年，中小企業的銀行帳戶被偷走了超過十億美元。^註3 這表示你的員工和客戶的資料，以及財務帳戶資訊都是網路犯罪分子的首要目標。