九项企业用不花钱安全措施(2)

　　3. 基于Web的应用可能会招致信息泄漏

　　McAfee公司的安全研究与沟通经理Dave Marcus认为，导致许多安全问题的一种常见行为包括使用网络邮件，或者允许员工从公司网

　　络访问音乐下载及文件共享服务。

　　这种基于Web的应用会绕过公司的安全过滤器(网络邮件就是这样)，或者打开连接到外界的通道，从而给公司内部带来病毒或者更严重的威胁。

　　如果员工把工作带回家做，这种风险就会大大增强。Marcus认为，如果他们没有使用公司VPN而直接传播邮件，关键数据就有可能失窃。

　　其实CIO只要执行安全策略，要求员工在VPN或者加密通道上使用安全邮件客户软件(针对电子邮件); 或者禁止用户把应用程序安装到工作电脑上，也不允许他们把数据拷贝到可移动介质上，就很容易避免这些问题。另外还应该阻止员工使用电子邮件给自己发送数据，以免这些未经加密的邮件被半路截取。

　　4. 思考后再透露密码及用户信息

　　透露密码和个人数据的往往是内部用户，而不是外部入侵者。这样一来，攻击者可以趁机闯入用户的计算机及公司网络，从而为非作歹、破坏声誉。

　　Marcus表示，尽管人们已知道威胁来自于网络钓鱼、间谍软件程序等多方面因素，但还是有许多人在上网时没有养成防护的习惯，他们根本没把这些危险和自己联系在一起，只图方便，因此在接到要求后仍愿意透露数据，并未确信自己没有上当受骗。Marcus说: “人们以为出现在面前的网站就是正当的，这种想法在网络世界里是很危险的。”

　　5. 防患于未然

　　谁都不想遭遇数据泄密事件，专门提供泄密后分析服务和软件工具的Mandiant公司的首席执行官Kevin Mandia忠告，CIO应该对泄密事件发生后的对策有所准备。一旦果真发生了信息泄漏，每家公司都可以采取措施来减轻造成的影响。他说，遗憾的是，大多数公司等到为时已晚的时候，才测试甚至制订响应策略。

　　Mandia说，系统应记下数据流动情况，包括谁在什么时候访问数据、哪些应用软件使用了这些数据，但鲜有公司这么做。他说: “我们看到的最常见错误就是，公司请我们过去，我们首先问的是有没有任何相关文档。对方往往会提供大量数据，却没有正式的文档。技术人员在这方面做得很差，律师也没有要求这样做。所以几乎无一例外的是，我们过去问公司出了什么情况，对方根本答不上来。”