保护企业：制造商专家级网络安全策略
本文原刊于 IndustryWeek。客座作者 Traci Spencer，TechSolve Inc. 资助项目经理，俄亥俄 MEP 西南区域合作伙伴，属 MEP 国家网络TM。
这是“制造商网络安全”五部分系列第二篇，概述最佳实践。建议遵循 NIST 网络安全框架。
系列第一篇讲了如何发现打开网络攻击大门的基础设施弱点。缓解威胁不止单次防病毒升级，需持续警惕。但保护系统不必复杂。以下是起步指南。
限制员工对数据和信息的访问
限制对宝贵公司数据的访问可降低人为错误风险，这是头号信息安全威胁。员工仅应拥有完成工作所需的系统和特定信息访问权。
员工离职或调动他处，立即采取保护行动：从所有系统删除密码和账户，收回公司 ID 徽章和门禁钥匙。
访问预防的一盎司，抵得上保护的一磅，特别是限制不满前员工影响时。
安装浪涌保护器与不间断电源
不间断电源（UPS）在断电时提供足够电池续航和时间保存数据。检查 UPS 类型和规格是否符合公司标准和要求。
每台电脑和网络设备都应插在 UPS 上。对低敏感度电子设备和非网络设备，标准浪涌保护器足矣。按制造商建议测试和更换每个 UPS 和浪涌保护器。
定期修补操作系统与软件
若不定期修补和更新员工使用的每台设备上所有软件，每个新应用都可能打开网络攻击大门。
购买新电脑或安装新软件系统时务必检查更新。注意软件供应商无义务为不再支持的产品提供安全更新。例如 Microsoft® 将于 2020 年 1 月停止支持 Windows 7，若未升级，现在就是时候。
别拖延下载操作系统更新。这些更新常含新或增强安全功能。
安装并激活软硬件防火墙
防火墙能挫败恶意黑客、阻止员工浏览不当网站。在每台员工电脑、智能手机、网络设备上安装并更新防火墙系统。
含异地员工，即使使用云服务提供商（CSP）或虚拟专用网络（VPN）。也可考虑安装入侵检测/防御系统（IDPS）以提供更高保护级别。
保护所有无线接入点与网络
安全无线网络的路由器最佳实践：
- 修改新设备管理员密码
- 设置无线接入点不广播服务集标识符（SSID）
- 路由器设为 WiFi Protected Access 2 (WPA-2)，采用高级加密标准（AES）加密
- 避免使用 WEP（有线等效隐私）
若为客户或访客提供无线上网，确保其与业务网络隔离。
设置网页与邮件过滤器
使用邮件和网页浏览器过滤器阻吓黑客、防垃圾邮件堵塞员工收件箱。可下载“黑名单”服务屏蔽用户访问带恶意软件风险的高风险网站。
警示员工避免访问常与网络安全威胁关联的网站，如色情网站或社交媒体。这看似常识；但只需一名员工误访错误网站，即可能无意下载恶意软件到公司系统。
对敏感商业信息使用加密
对所有电脑、平板、智能手机使用全盘加密。将加密密码或密钥副本保存在独立于存储备份的安全位置。
邮件接收方通常需相同加密能力才能解密。切勿将密码或密钥与加密文档放同一邮件。通过电话或其他方式提供。
安全处置旧电脑与介质
捐赠或丢弃旧电脑前，必须擦除硬盘所有宝贵信息。删除旧光盘、U 盘或其他旧介质上的敏感商业或个人数据。然后销毁这些物品或交给专业粉碎公司。用交叉切碎机或焚烧炉销毁敏感纸质信息。
培训员工
网络警觉员工是抵御信息安全威胁的最佳防线。
每位员工应知：
- 办公室或家中允许的业务和个人邮件用途
- 如何处理办公或家中的业务信息
- 发生网络安全事件时该怎么做
培训每位新员工保护宝贵数据并签署信息政策。用通讯和/或持续培训强化网络安全文化。
现在我们已覆盖保护宝贵数据和信息的关键步骤，第三篇将展示如何安装检测和识别网络攻击的机制，敬请期待 MEP 国家网络“制造商网络安全”系列。
欲获取更多制造商网络安全最佳实践建议，请联系当地 MEP 中心的网络安全专家。
工业技术