潜伏企业的十大网络安全地雷（二）
此类Web应用可以绕过企业的安全过滤网关，或者会打开一条对外的通道，让各种携带病毒或恶意软件的程序进入你的组织。
如果员工在家工作，那么此类风险还会放大。假如他们使用企业的电脑，又在网上做一些个人的事情，那么这些电脑就有可能被入侵。如果他们还把企业的数据带回家——通过e-mail或U盘——那么这些数据就将面临泄密或被窃的危险。
所有这些安全问题都是容易避免的，只要能够执行相应的策略便可，比如要求员工必须通过VPN或其他加密隧道使用安全的邮件客户端，或者不允许他们在工作电脑上安装Web程序，不要拷贝数据到移动存储介质等。此类安全问题可以利用安全策略和系统管理应用来加以管理。不过还是有一个通道是比较难以控制的，那就是员工自己给自己发邮件传送数据，虽然加密技术能够帮上一些忙。
5.要想坏事不发生就不要把事情做坏。
Mandiant公司的CEOKevinMandia忠告说，没有人会故意泄露数据，但是你的行为必须正确才行。Mandiant专门提供数据泄密后的分析服务和软件工具。一切组织或机构都可以采取一些步骤以减少数据泄密一旦发生后所产生的影响。但不幸的是，大多数企业却一直没有采取任何行动，一旦出现了问题再去测试或者创建他们的响应策略，那就太晚了。
每家企业都应该跟踪数据的流动，记录谁在何时接入何种系统使用了什么数据。但实际上很少有企业在这么做。Mandia说，“毫无疑问，*常见的错误就在于没有记录下发生了什么。一旦有人雇佣我们，我们要问的第*件事就是有没有相关记录。而通常的情况是，人们在处理TB级的数据，但却没有正规的记录。所以几乎在每次泄密事件中，当我们进入企业，询问他们到底发生了什么时，得到的总是闪烁其词的回答。”
6.回避或推卸责任的领导方式会让事情更糟。
由于企业通常没有指定一位专门的领导或专门的团队来负责对事件的响应和对重要细节的跟踪，所以严重影响了企业对于泄密事件的响应能力。
在多数企业中，对事件的调查往往会演变为一场推卸责任的游戏，在调查泄密事件的责任时由于牵涉到的人会有很多，所以他们往往会阻碍进行相关的调查。
“虽然我们经常需要做出响应，但却没人真正负责，也没人想负责，结果呢，没人知道事件所涉及的资源到底有多少钱、有多少工具或技术，也没有一个人能算清楚在处理重大事件时到底需要多少资源。”Mandia说。
“而在另一个极端，有些企业会让太多的人来参与决策，却还想做出及时的响应。我们的经验是，假如你需要马上向12个人通报情况的话，那么其中的10个人都是不管事的。”
7.处理泄密事件时不小心为罪犯通风报信。
企业中另一个典型的常见问题就是没有建立一套处理泄密事件的“保密”程序，结果导致进行事件调查时非常困难，因为员工们担心卷入事件，一般都会试图保护自身的利益。
责任编辑：小季 WWW.1168.TV 2010-7-6 9:49:32
如果员工在家工作，那么此类风险还会放大。假如他们使用企业的电脑，又在网上做一些个人的事情，那么这些电脑就有可能被入侵。如果他们还把企业的数据带回家——通过e-mail或U盘——那么这些数据就将面临泄密或被窃的危险。
所有这些安全问题都是容易避免的，只要能够执行相应的策略便可，比如要求员工必须通过VPN或其他加密隧道使用安全的邮件客户端，或者不允许他们在工作电脑上安装Web程序，不要拷贝数据到移动存储介质等。此类安全问题可以利用安全策略和系统管理应用来加以管理。不过还是有一个通道是比较难以控制的，那就是员工自己给自己发邮件传送数据，虽然加密技术能够帮上一些忙。
5.要想坏事不发生就不要把事情做坏。
Mandiant公司的CEOKevinMandia忠告说，没有人会故意泄露数据，但是你的行为必须正确才行。Mandiant专门提供数据泄密后的分析服务和软件工具。一切组织或机构都可以采取一些步骤以减少数据泄密一旦发生后所产生的影响。但不幸的是，大多数企业却一直没有采取任何行动，一旦出现了问题再去测试或者创建他们的响应策略，那就太晚了。
每家企业都应该跟踪数据的流动，记录谁在何时接入何种系统使用了什么数据。但实际上很少有企业在这么做。Mandia说，“毫无疑问，*常见的错误就在于没有记录下发生了什么。一旦有人雇佣我们，我们要问的第*件事就是有没有相关记录。而通常的情况是，人们在处理TB级的数据，但却没有正规的记录。所以几乎在每次泄密事件中，当我们进入企业，询问他们到底发生了什么时，得到的总是闪烁其词的回答。”
6.回避或推卸责任的领导方式会让事情更糟。
由于企业通常没有指定一位专门的领导或专门的团队来负责对事件的响应和对重要细节的跟踪，所以严重影响了企业对于泄密事件的响应能力。
在多数企业中，对事件的调查往往会演变为一场推卸责任的游戏，在调查泄密事件的责任时由于牵涉到的人会有很多，所以他们往往会阻碍进行相关的调查。
“虽然我们经常需要做出响应，但却没人真正负责，也没人想负责，结果呢，没人知道事件所涉及的资源到底有多少钱、有多少工具或技术，也没有一个人能算清楚在处理重大事件时到底需要多少资源。”Mandia说。
“而在另一个极端，有些企业会让太多的人来参与决策，却还想做出及时的响应。我们的经验是，假如你需要马上向12个人通报情况的话，那么其中的10个人都是不管事的。”
7.处理泄密事件时不小心为罪犯通风报信。
企业中另一个典型的常见问题就是没有建立一套处理泄密事件的“保密”程序，结果导致进行事件调查时非常困难，因为员工们担心卷入事件，一般都会试图保护自身的利益。
责任编辑：小季 WWW.1168.TV 2010-7-6 9:49:32