向网络安全专家必问的 5 个关键问题

几乎每周都听闻又一家公司或组织遭遇网络攻击。我们知道网络犯罪分子更执着，我们需要更勤勉地保护信息。

我想在个人生活中，我们大多数人都在努力更小心。希望“将所有个人密码设为 123456”的日子一去不复返。然而，我们似乎没把同等关注带进办公室。既然 IT 专业人员肯定掌控我们的网络安全，我就不必担心……对吧？

事实是，我们作为员工在保护所在公司中扮演关键角色，一次错误点击就可能危及业务。Willis Towers Watson 近期研究发现，90% 网络事件索赔源于某种人为错误或行为。以下五个问答助您踏上让公司更安全的旅程。

1. 我公司面临的主要网络风险是什么？

公司风险因独特运营环境而异，有许多因素待评估考量。

您有许多使用邮件的员工？鱼叉式网络钓鱼可能是您的头号风险。车间每个有 IP 地址的设备都安全吗？若不，恶意代码、未授权访问和使用、数据渗出可能是主要风险。

执行网络安全风险评估应是组织信息安全管理计划的关键部分。大家知公司关键资产、数据、信息资产和设施面临一定风险。但如何量化和准备应对网络安全风险？IT 安全风险评估的目的是确定公司关键资产面临的安全风险，并知晓应投入多少资金和精力保护它们。

NIST 风险管理框架（RMF）是极佳起点。RMF 为管理公司可控系统和业务流程产生的风险部分，提供结构化且灵活的方法。

虽然用密码管理器管理个人在线账户是保持安全的绝佳方式，但在工作中使用任何软件前，请先查看公司政策。

密码管理器能帮您存储密码、为每个网站生成唯一密码。但将所有密码集中存放有风险。重要的是了解密码如何受保护、是否加密。市面有多种支持多设备、多浏览器的商业产品，自行研究找到最适合您需求的。

保护知识产权和敏感客户员工信息，能给您和客户安心。从财务影响、生产力下降、信任丧失看，这也是稳健商业实践。

对国防部（DoD）供应链企业，此类保护是绝对必须。这些公司必须满足国防联邦采购法规补充（DFARS）最低安全标准，否则面临失去 DoD 合同风险。

以下几个安全框架或标准帮助您理解和缓解风险：NIST 网络安全框架、NIST SP 800-53《信息系统和组织安全与隐私控制》、NIST MEP 网络安全自我评估手册、支付卡行业数据安全标准（PCI DSS）。易混淆该参考哪个文件，故补充说明：

框架比 NIST SP 800-53 更高层（更简练），后者是安全隐私控制目录。框架更适合可能无技术背景的高管决策者。也聚焦如何评估和优先排序安全功能，引用现有文件如 NIST SP 800-53，后者最适合将实施安全、能理解其详细控制选择实施信息的技术人员。
NIST MEP 网络安全自我评估手册帮助公司符合 NIST SP 800-171《保护非联邦系统和组织中的受控非密信息》修订版 1 中的安全要求，以应对 DFARS 网络安全要求。手册提供分步指南，评估中小制造商信息系统对照 NIST SP 800-171 rev 1 安全要求。

支付卡行业数据安全标准（PCI DSS）是广泛接受的政策程序集，旨在优化信用卡、借记卡、现金卡交易安全。2004 年由 Visa、MasterCard、Discover、American Express 创建。所有存储、处理或传输持卡人数据的公司必须维护支付安全。持卡人数据泄露或窃取影响整个支付卡生态系统。对公司影响示例：客户信心丧失、销售下降、欺诈损失、法律成本、罚款、终止接受支付卡能力。处理支付卡的公司维护 PCI DSS 合规对长期成功至关重要，保持网络防御就绪应对窃取持卡人数据的攻击。大多数小公司可用自我验证工具评估持卡人数据安全水平。

双因素认证（2FA）是额外安全层，确保您是您声称的那个人。问题在于用户名和密码易被猜测，人们在多网站重复用同一密码。公开披露事件显示，每分钟泄露 5,518 条记录。

2FA 阻止他人轻易访问您账户。启用 2FA 后，您在登录页输入用户名密码。然后不是立即获得访问，而是需提供另一信息。第二因素可为：

若不确定您的网站或应用是否有 2FA，访问 TwoFactorAuth.org 查询。

为所有账户开启 2FA。参考 Telesign 分步启用 2FA 指南：https://www.turnon2FA.com。

大多数公司有关于如何采购软件（盒装/在线或云端外部托管）的政策。重要的是知晓哪些应用可立即使用，哪些需进一步调查以确保对您用途和将处理/存储的数据足够安全。知晓要求，与网络安全专业人员合作走完必要流程，确保信息妥善保护。

若想更好了解您的网络安全风险，可使用 MEP 国家网络™ 网络安全自我评估工具。若有问题或想咨询网络安全专业人员，请联系您当地的 MEP 国家网络中心。

工业技术