赋能员工：构筑网络安全的第一道防线

我们都熟悉“防火熊”Smokey 和“只有你能防止野火”的标语。2015 年，Smokey 形象更新，新广告“接受熊抱”全国播出。广告中，Smokey 从树林跑出，给正确检查营火余烬的露营者一个大大的熊抱。新版更可爱的 Smokey 以奖励负责任的决定取代斥责，激励预防野火。恐惧和焦虑并非最佳激励，许多人对通过意识活动进行的正向激励反应更好。

十月是全国网络安全意识月。2003 年设立该月旨在确保美国人拥有在线安全所需资源。十月是中小制造商（SMM）教育员工的绝佳时机，让他们了解在保护企业免受网络攻击中的关键作用，同时传递积极的网络安全信息。好的做法是制定网络安全事件响应计划，并传达每位员工在预防和应对事件中的关键角色。

网络安全事件定义为：“实际或潜在危及信息系统或其处理、存储、传输信息的机密性、完整性、可用性的事件，或构成违反或迫在眉睫的违反安全策略、安全程序、可接受使用策略的威胁。”示例包括：

• 未经授权来源尝试访问系统或数据。
• 服务意外中断或拒绝服务。
• 未经授权处理或存储数据。
• 未经授权更改系统硬件、固件或软件。

事件响应计划是一套书面指令或程序，用于公司检测、响应并限制恶意网络攻击的后果。计划包含准备、检测分析、遏制、根除和恢复。事件响应计划应在攻击发生前建立，以限制损害，并有助于减少恢复时间和成本。

1. 准备

网络安全的一个好经验法则是：为最坏情况做打算。网络攻击呈上升趋势，SMM 因缺乏足够预防措施而成为网络犯罪分子的主要目标。您快速（且适当）响应的能力有助于减轻损害。您需要确定须通知的关键人员，每人应理解并接受培训，明确事件发生时的角色和职责。您还需建立并维护资产清单——帮助公司维持日常运营的人员、流程和技术。

2. 检测与分析

安装并定期更新防病毒、反间谍软件和其他反恶意软件程序至关重要，因为计算机定期面临新病毒和网络犯罪战术的威胁。同时，应维护和监控日志，日志自动记录计算机及其用户的操作，如访问网站、创建和修改文件。日志提供详细活动记录，可用于重建已被攻陷的网络或系统的事件序列。利用日志文件可追踪和分析时间线、污染源头及受污染设备或服务器。这不仅有助于检测事件，还能识别潜在漏洞并加以修复。

3. 遏制

利用收集的信息，您需要遏制和应对事件。有人需要有权就遏制事件所需步骤做出快速决策。如果您已预先确定应通知的关键人员，这将更易管理。务必定期更新联系信息，并确保必要人员易于获取。正常运营活动可能需暂停，直到事件解决。

4. 根除与恢复

遏制事件后，您需要移除病因并将系统恢复正常功能。这可能仅需从服务器或设备清除病毒，也可能意味着从备份恢复数据。系统可能需分阶段上线。因此，安排增量备份至关重要，因为事件随时可能发生。事后您还应汲取教训，改进流程、程序或技术。

事件响应计划实战案例

近期，一家 SMM 遭遇鱼叉式网络钓鱼攻击。鱼叉式钓鱼旨在通过看似无害的邮件窃取敏感公司信息（如财务数据）或访问公司网络。一名制造商员工收到供应商邮件，PDF 文件中隐藏恶意代码。邮件看似合法，实为回应该员工前一天发出的真实邮件。攻击者利用社会工程学定制邮件，针对负责支付发票的会计部门员工。员工打开 PDF 后，恶意代码植入公司网络。

所幸，该制造商刚与当地 MEP 中心合作改善网络安全。公司已制定并实施事件响应计划，培训员工识别钓鱼攻击及应对网络安全事件。公司从恶意代码中检测到威胁，凭借新计划立即响应。员工知晓职责，拿出计划迅速行动。因仅一台电脑被感染，IT 团队将其从网络隔离，阻止了恶意代码扩散。

员工的关键作用

您的员工是抵御网络攻击的第一道防线。制定事件响应计划并培训员工如何响应，提供了积极的网络安全方法。许多 SMM 仍未意识到或不关心其网络风险。所有记录在案的攻击中 34% 针对制造商，SMM 尤其脆弱。网络犯罪分子常将这些公司视为进入供应链的便捷入口。超 90% 的恶意软件通过邮件投递，一次错误点击即可能危及您的业务。犯罪分子知道若攻入您系统，可访问您的网络并收集客户及其客户的敏感信息。

虽然您可能不认为犯罪分子盯上您的公司信息，但您可以确信：他们对您掌握的客户及其客户的敏感信息感兴趣。虽然强调威胁的统计数据和意识活动可能在 SMM 中引发恐惧，但不一定转化为行动。我认为我们需要转向对员工更积极的网络安全信息。就像 Smokey 一样，让我们从可怕的熊转向温暖的大熊抱。

了解更多，请访问 NIST MEP 网络安全资源页面，或联系您当地的 MEP 国家网络™ 中心寻求问题解答或支持。