十项关于网络安全的迷思

当前，随着社会生活各领域信息化水平的不断提高，网络安全已经成为了各政企单位都非常重视的管理问题之一。但是，尽管人们越来越关注自身的网络安全，仍然有几种常见的网络安全领域的迷思普遍存在于很多人的意识中。

如果单位的网络安全管理人员或各级员工迷信以下任何一点，都可能为单位的信息系统带来遭受网络攻 击的风险。包括：

step 1

对于单位的网络安全管理而言，设置强密码是一种良好的习惯。但是，强密码策略只能是网络安全工作的起点。要保障单位网络安全，不仅需要要求员工做强密码设置，还需要了解员工的数据访问权限。近期的一项研究发现，41%的企业都向其所有员工开放了1,000个以上敏感文件的访问权限;同时，许多企业也没有采取技术手段对管理员访问进行监控。总之，虽然强密码有助于保证企业网络安全，但是，一旦员工进入系统，风险就会大大增加。

step 2

近年来，不少与网络安全相关的新闻对一些备受瞩目的黑客行为进行了报道，一些中小型企业因此会误以为自身不会成为网络攻 击的目标。实际上，事实恰恰相反。2018年Verizon数据泄漏调查报告表明，58%的数据泄漏的受害者都是小型企业。

这种情况的出现有几个原因：许多小企业受到攻 击并不是攻 击者有意为之，他们只是“喷雾攻 击”的受害者——黑客采用自动系统随机地选择企业实施渗透。由于此类攻 击的随机性，任何业务都有可能遭受攻 击，无论其是大是小。

在攻 击行为中，小企业往往会是那个“软柿子”，因为他们缺乏网络安全资金的投入、没有熟练的安全团队，因此更容易受到攻 击威胁。另外，有针对性攻 击也往往选择小企业为对象，这也是因为它们缺乏安全保护措施。

step 3

有些企业认为自己规模小，不会受到攻 击，还有一些企业则以为自己所在的行业不会受到攻 击，因为他们认为自己的企业没有任何“值得”偷的信息。实际情况是，任何敏感数据，不管是信用卡号码、地址还是其他个人信息，都可能使企业网络成为攻 击目标。

更重要的是，即使目标数据在暗网上没有转售价值，勒索软件也可能使数据无法使用，导致企业业务系统运行停滞，这可能使攻 击行为对网络罪犯而言变得有利可图。

step 4

防病毒软件无疑是保障企业网络安全的重要技术手段，但它不能保证系统免受任何侵害。杀毒软件只是综合网络安全体系的一部分，要实现真正的网络安全保护，需要一套完整的安全体系建设解决方案，内容将涵盖从员工培训到内部威胁检测、应急响应等方面的所有内容。

step 5

虽然来自外部威胁是一个关键问题，但内部威胁同样危险，足以引起同样的重视。事实上，研究表明，在多个数据泄露案例中，内部威胁占比高达75%以上。内部威胁可能来自企业内部的任何人，从心怀不满的员工到没有受到网络安全培训的员工。因此，建立一套阻止和监控内部威胁的体系非常重要。

step 6

虽然信息化部门在实施与保障企业网络安全方面负有重大责任，但是，真正的网络安全工作与企业每位员工密切相关，而不仅仅是信息化部门。

例如，统计数据表明，49%的恶意软件是通过电子邮件安装的。如果企业员工没有接受过网络安全方面的培训，不知道如何发现网络钓鱼诈骗、规避邮件中的不安全链接，则他们的电脑就有可能成为企业受到外部攻 击的入口。

step 7

如果企业的员工经常使用Wi-Fi环境开展工作，他们有可能错误地认为，只要设置了Wi-Fi密码，就能够保证Wi-Fi网络的安全性。实际上，Wi-Fi密码的功能只是限制每个网络的用户数量，使用相同密码的其他用户能够轻易地查看网内正在传输的敏感数据。因此，员工应该采用科学技术接入网络以保证Wi-Fi环境下的数据安全。

step 8

如果是十年前，在电脑遭受攻击或感染病毒时，用户可能会立刻发现——标志性特征包括出现弹出式广告、浏览器加载速度慢，或极端情况下可能出现的系统崩溃。

但是，今天的恶意软件行为更为隐蔽、更难以察觉。很多情况下，计算机在感染病毒后，很可能会继续平稳运行。

step 9

企业员工往往会认为其手机等个人计算设备不需要受企业网络安全规范的约束。然而，自带设备(BYOD)往往可能使企业面临未知的安全风险，因此，使用自带智能设备开展工作的员工也需要遵循企业的各项网络安全要求。

另外，这些要求的适用场景不应仅限于手机和笔记本电脑，还应该覆盖所有互联网访问设备，包括可穿戴设备、物联网设备等。

step 10

网络安全应该是一项持续不断的工作，新型病毒、新的攻 击手段等将不断使企业业务系统与数据面临新的网络安全风险。要真正保持自身企业的网络安全，用户必须对其业务系统保持持续的安全监控，并周期性地对应急计划进行评估与验证。

总而言之，保证企业网络安全是一项需要持续不断付出努力的工作，需要每一位企业员工的认真参与。