识别网络安全风险：企业实用指南

本文原刊于 IndustryWeek。客座作者 Traci Spencer，TechSolve Inc. 资助项目经理，俄亥俄 MEP 西南区域合作伙伴，属 MEP 国家网络^TM。

据 IBM 赞助的 Ponemon Institute 2018 年研究，全球数据泄露平均成本 386 万美元，折合每条被盗记录近 150 美元。若你是中小制造商，可能觉得这些统计与己无关。但报告涵盖 17 个行业，受冲击最大的竟是金融、服务、制造业。

因制造商在信息安全投入较少，成为网络犯罪热门目标。一次网络攻击就能摧毁小型制造商整个运营系统。网络化机械、供应商、分销商甚至客户，都可能通过制造设施内一台电脑/设备被攻破。

其他风险包括：

庆幸的是，在国家标准与技术研究院（NIST）帮助下，你可学会保护运营。NIST 开发了适用于任何规模企业的五步网络安全框架，在线可获取。你当地 MEP 国家网络代表——推进美国制造业的首选专家——可进一步解读。也可查阅《制造商网络安全指南》（链接待定），获取建立网络安全计划所需基础实践和工具。

准备好迈出数据安全第一步了吗？过程始于识别风险。

控制谁能访问你的信息

列出有电脑访问权的员工，含所有业务账户、访问类型（物理或密码），不用时物理锁定所有笔记本和移动设备。让员工使用隐私屏或调整屏幕角度防路人窥视，并设置离开时自动锁屏。

不允许未授权人员物理接触电脑或系统，如：

犯罪分子只需几秒即可访问未锁定机器。别让他们轻易窃取敏感信息。

背景审查是识别网络安全风险的关键。对所有将接触电脑和公司系统设备的求职者或其他人，应进行全美范围搜查。

审查应含：

也可考虑对自己做背景审查，能快速警示你是否不知情成身份盗窃受害者。

若发生数据丢失或未授权数据篡改，无个人账户难以调查。为每位需访问的员工和承包商建立独立账户。要求为每个账户使用强且唯一的密码。

限制拥有管理员访问权的员工数量，尤其非日常工作必需者。为访客或客户考虑仅含互联网访问的访客账户。

创建首个网络安全政策虽显艰巨，但 MEP 国家网络有大量易遵循贴士助你起步。也可咨询熟悉网络法的法律专业人士审核政策，确保符合当地法律法规。

新网络安全政策应含：

将签署协议存档于各员工人事档案。至少每年审查政策一次，公司技术变更时更新。随后可用政策培训新员工信息安全责任，设定全业务可接受实践。

现在你已学会识别风险和评估资源，该考虑如何保护它们了。系列第二篇将演练保护宝贵数据和信息免受网络威胁的关键步骤，敬请期待 MEP 国家网络“制造商网络安全”五部分系列。

工业技术