不管人们喜欢与否，现代企业如果不采取行动保护自己不受黑客攻击，就会把自己置于风险之中。最近发生的一些全球网络泄露事件也表明了信息安全对企业的重要性。包括英国国家卫生服务局(NHS)在内的一些组织的损失估计将达到数十亿美元。

　　WannaCry病毒是感染大量运行Windows XP系统的计算机的恶意软件的名称。用户如果想到登录只能面对赎金要求，在倒数计时器和比特币钱包面前，有的交纳了赎金。数以千计的NHS患者的数据已锁定，其中包括一些计划进行的手术。

　　许多中小企业不了解他们的数据在多大程度上处于危险之中，并且经常不知道从哪里开始处理这个问题。 2015年，英国政府发布新闻稿呼吁，表示企业需要计划进行网络攻击。研究显示，多达90%的大型企业和74%的中小型企业遭受信息安全漏洞的攻击。

　　可以理解的是，大部分的小企业主并不十分重视这个危险，也许没有意识到像社交媒体或者U盘这样的东西留在错误的地方就足以让整个组织处于风险之中。如果你在这个团队，你应该开始审查风险并制定安全程序。这个指南为人们提供了一个起点，可以立即实施五个步骤来提高企业的安全性。

　　1、找出风险，并记录它们在哪里

　　确保企业免受网络威胁的起点是通过全面的风险评估来确定它们的位置。这一步将向你展示企业所拥有的可能是网络黑客可能会感兴趣的内容。请记住，客户数据通常是最重要的保护对象，因为尽管与研究数据或知识产权相比，其丢失的直接成本可能很小，但是企业因为罚款和诉讼可能会损失更多。此外，企业的公众形象的成本和客户信任的损失可能需要数年才能恢复。

　　考虑企业所有的数据，以及来自哪里，存储在哪里，哪些人可以访问它们，以及他们必须通过哪些安全程序来实现。这些措施是否足够安全？是否使用双因素身份验证(超出基本密码保护的额外安全性)？内部员工是否值得信赖？企业是否有严格的协议，政策或自动限制来保护自己的网络，电子邮件和其他系统？企业是否加密网络上的数据，是否安全地处理废旧电脑？企业的相关管理人员应该问自己所有这些问题。

　　如果企业的员工正在使用个人笔记本电脑和手机办公，那么可能需要制定书面政策，以防止他们有影响系统安全性的活动。或者如果他们使用公司提供的设备，企业可能需要关于他们在家中使用的系统的规则，或者他们如何在办公室使用社交媒体。对于数字安全，定期组织人员培训是任何组织必须的措施。

　　2、跟踪内部和外部的风险

　　一旦企业确定并记录了所处于危险之中的位置，那么下一步就是将注意力集中在那些可能危及企业业务安全的那些居心不良的人身上。了解可能威胁到企业网络犯罪的种类，以及它们通常如何进行，以便企业可以更好地保护自己。网络犯罪分子形形色色，虽然企业更有可能受到外部的威胁，但组织中的内部员工也同样具有风险。

　　一个危险是“秘密黑客”，他们作为员工加入公司，以便轻松访问其安全系统并窃取数据。居心不良的雇员也可能愿意帮助网络攻击者换来一笔资金。或者也许一个感到委屈的工作人员想争取到业务获取秘密。这种情况是罕见的，所以企业虽然不必分析工作人员每个行为，但重要的是要意识到这一威胁。

　　3、确定系统的薄弱点

　　现在，企业应该明确了解谁可能针对其业务，以及他们在哪里，企业应该对自己的可能吸引这些攻击者的资产进行评估。接下来，必须先找到数据安全性中的任何弱点。企业可以使用各种方法分析自己的系统和网络的安全性，其中一些工具甚至是免费的。这些工具可使企业的软件保持最新状态，并识别已知的漏洞。

　　入侵检测和预防系统(IDPS)与防火墙类似，除了识别出网络外的可疑活动之外，还可以识别内部威胁。顾名思义，这些系统还可以保护企业的网络免受其他的威胁。

　　渗透测试是保持系统安全性的另一种有用方法，企业应该定期使用它。渗透测试模拟攻击，以检查企业的IT系统和网络是否存在网络犯罪分子可能利用的弱点。渗透测试报告还提供了解决方案和建议，帮助企业降低违规风险。

　　4、确定威胁的影响及其发生的可能性

　　业务影响分析可以帮助企业识别各种网络安全漏洞的可能结果。这种违规行为可能会带来超出经济损失的影响。例如，企业的业务可能会受到影响，因为企业采取步骤从影响中恢复，并采取新措施，以防止未来的袭击，以及对企业的公众形象的任何损害，信任评级将对企业与现有和潜在的新客户以及新闻界的关系产生严重影响。认真对待这一威胁至关重要：60%的小公司在网络犯罪受害者的半年内倒闭了。

　　不同类型的攻击可能对组织中的不同人员产生影响，攻击规模也将决定企业范围的程序和协议的更改是必要的，或者决定本地团队是否可以解决问题。制定业务连续性计划，以准备和处理可能出现的任何问题。或者，如果企业想更进一步，请考虑实施网络安全事件响应计划。

　　5、优先考虑风险并开始解决

　　现在企业知道可能会失去什么，以及如何可能受到攻击，那么企业应该可以确定其最紧迫的安全问题。首先制定一份优先事项清单，逐一处理，制定必要的措施，使其业务尽可能安全。企业应该广泛测试其所做的任何更改，以确保它们正常工作，并且不会妨碍业务正常运行。其中一些步骤可能需要外部援助，可以寻求IT服务提供商的帮助，以确保企业的系统安全。

　　尽管网络黑客最有可能对企业有着很大的兴趣，但请不要忘记，企业的内部员工仍然是IT安全的最大威胁。这并不意味着他们会破坏企业运营，但是由于他们不一定了解所使用的技术或各种网络威胁，所以需要进行定期的培训，以确保他们识别和应对最新的风险，意识到风险的重要性。让内部工作人员阅读和签署制定最佳实践的策略是鼓励安全行为和确保问责制的另一种方式。

　　企业永远不能保证自己完全免于网络攻击的隐患，所以重要的是，如果发生最坏的事情，企业必须做好准备。确保组织中的每个人都知道风险，并确切知道如何回应。这个过程包括确保他们已经接受了在这项任务中取得成功所需的培训和资源。

(责任编辑：安博涛)