您的敏感数据安全吗？这并不夸张：任何公司都可能成为网络犯罪的受害者。有关网络攻击的报告来自政府机构、教育和医疗机构、银行、律师事务所、非营利组织和许多其他组织。存在黑客、内部威胁、勒索软件和其他危险。聪明的企业正在加大对网络安全的投资，以消除风险并确保敏感数据的安全，这已经初见成效。查看下面的信息图，了解网络安全的新趋势。下一个问题是：作为企业主，在2019年我可以做些什么来保护我的数据？数量明显下降。不确定从哪里开始加强您的网络安全政策？我们已准备好向您介绍网络安全趋势和新技术。以下是我们2019年的IT安全最佳实践清单：1.考虑生物安全生物识别确保快速身份验证、安全访问管理和精确的员工监控。在提供对有价值资产的访问之前验证用户的身份对于企业来说至关重要。语音识别、指纹扫描、手掌生物识别、面部识别、行为生物识别和步态分析非常适合识别用户是否是他们所说的人。使用生物识别技术提供比密码和SMS验证更安全的身份验证。这就是为什么生物识别技术已成为多因素身份验证的重要组成部分。然而，身份验证并不是生物识别技术的唯一用途。安全人员受益于各种生物识别驱动的工具，这些工具使他们能够实时检测受损的特权帐户。行为生物学分析用户与输入设备交互的方式。如果检测到异常行为，该工具会向安全人员发送警报，以便他们立即做出反应。以下是用户和实体行为分析(UEBA)系统可以使用的一些行为生物识别技术：击键动态-考虑打字速度和在某些单词中犯典型错误的倾向以创建用户行为配置文件鼠标动态-跟踪鼠标之间的时间间隔单击和鼠标移动速度、节奏和模式眼动生物识别——使用眼睛和注视跟踪设备记录眼动视频并检测独特模式Marketsandmarkets预测2018年至2023年显示，生物识别市场将从2018年的168亿美元增长达到418亿美元。因此，请密切关注生物识别安全技术，并为您的用例选择最佳技术。2.创建分层网络安全政策为什么书面网络安全政策如此重要？首先，书面政策可作为贵公司所有网络安全措施的正式指南。它使您的安全专业人员和员工处于同一页面，并为您提供了一种方法来执行保护数据的规则。但是，每个部门的工作流程都可能是独一无二的，并且很容易被不必要的网络安全措施打乱。虽然集中式安全策略作为整个公司的基本准则是有益的，但它不应涵盖每个部门的每个流程。相反，允许您的部门根据中央策略创建自己的安全策略。以这种分层方式确定安全策略有很多好处。通过这样做，您可以考虑每个部门的需求，并确保他们的工作流程和您的底线不会以安全的名义受到损害。伊利诺伊州政府网站提供了一个很棒的网络安全政策模板，可以用作您的层次结构的起点。如果您想了解如何预防、检测和纠正内部攻击，您应该考虑构建一个内部威胁程序。3.采取基于风险的安全方法合规性不会保护您的数据。每个行业都有其特定和隐藏的风险，因此关注合规性和满足所有标准法规不足以保护您的敏感数据。了解您的公司面临的风险以及它们如何影响您的底线。这里更好的工具是全面的风险评估。以下是风险评估允许您做的一些最重要的事情：识别所有有价值的资产、您公司当前的网络安全状况，并明智地管理您的安全策略。适当的风险评估可以让您避免许多不愉快的事情，例如因不合规而被罚款、因潜在泄漏和违规而产生的补救成本，以及因流程缺失或效率低下而造成的损失。找出您的网络安全薄弱的地方并相应地进行调整。此外，请留意使用数据库和框架的新黑客技术，例如用于企业的MITREATT&CK。全面的风险评估将帮助您确定安全措施的优先级，并调整您的战略，以高质量的方式服务于公司的底线。您可以在ComplianceForge网站上找到风险评估工作表和评估报告的实际示例。如果您需要有关如何在您的公司进行风险评估的更多信息，请查看。4、备份数据定期备份数据，确保数据安全。备份数据是近年来变得越来越重要的信息安全最佳实践之一。随着勒索软件的出现，对所有数据进行完整、最新的备份可以成为救命稻草。你用备份做什么？您需要确保它们受到彻底保护、加密并经常更新。在几个人之间分配备份任务以减轻内部威胁也很重要。美国计算机应急准备小组(US-CERT)提供了一份详细说明不同数据备份选项的文档。如果您想了解有关此主题的更多信息，您应该阅读FBI关于勒索软件的优秀文章。5.物联网安全管理今年延续了始于2018年的趋势——物联网设备越来越受欢迎。贝恩公司预测，物联网市场将在2021年增长到约5200亿美元。然而，无论我们多么渴望看到新技术，安全永远是第一位的。物联网设备面临的挑战是它们对敏感信息的访问。安全摄像头、门铃、智能门锁、供暖系统、办公设备——您的业务网络的所有这些小组件都是潜在的接入点。例如，受损的打印机可能允许恶意行为者查看所有正在打印或扫描的文档。以下是企业网络安全的一些良好做法：进行渗透测试以了解真正的风险并相应地制定安全策略。为静态和传输中的数据提供加密（端到端加密）。确保正确的身份验证只允许与端点的可信连接。不要使用默认的硬编码凭据：常用密码很容易在Internet上找到。购买启用防火墙的安全且更新的路由器。开发可扩展的安全框架以支持所有IoT部署。考虑实施端点安全解决方案。6.使用多重身份验证多重身份验证(MFA)是高级安全策略的必备解决方案。虽然这是一个基本实施，但MFA仍然被认为是网络安全最佳实践。它是如此有效，以至于国家网络安全联盟甚至将MFA添加到其安全意识和教育活动中。MFA通过添加额外的安全层帮助您保护敏感数据，使恶意行为者几乎不可能像您一样登录。即使恶意行为者拥有您的密码，他们仍然需要您的第二或第三身份验证“因素”，例如安全令牌、您的手机、指纹或声音。作为一个额外的好处，MFA还允许您清楚地区分共享帐户的用户，从而改进访问控制。另请阅读：双因素身份验证：类别、方法和任务7.处理密码安全性密码和安全密码处理的重要性始终值得一提。密码管理是企业安全的重要组成部分，尤其是在涉及特权访问管理(PAM)时。特权帐户是网络罪犯的宝藏，他们试图访问您的敏感数据和最有价值的商业信息。确保适当安全性的一个极好的方法是使用专用工具，例如密码库和PAM解决方案。这样，您可以防止未经授权的用户访问特权帐户，同时简化员工的密码管理。网络威胁行为者仍在使用密码喷射攻击来窃取敏感信息、扰乱运营并在财务和声誉上损害组织。以下是为员工设置密码要求时应考虑的主要提示：一个帐户使用一个密码。使用易于记忆的短语而不是随机字符的短字符串。使用助记符或其他个人策略来记住长密码。不要彼此共享凭据，无论多么方便。要求员工在一定时间后更改密码。国家网络安全和通信集成中心有一套选择和保护强密码的建议。如果您需要更多详细信息，请查看它们。8.使用最小权限原则注意：有太多特权用户访问你的数据是非常危险的。默认情况下，授予新员工所有权限允许他们访问敏感数据，即使他们不一定需要。这种方法会增加内部威胁的风险，并允许黑客在您的任何员工帐户遭到入侵时访问敏感数据。更好的解决方案是使用最小特权原则。换句话说，为每个新帐户分配尽可能少的权限，并在必要时提升权限。当不再需要访问敏感数据时，应立即撤销所有相应的权限。持续的权限管理可能既困难又耗时，尤其是对于大公司而言，但市场上有许多访问管理解决方案可以使它变得更容易。特别是，当您需要处理不受控制的权限时，专门的PAM解决方案可以证明是救命稻草。最小特权原则似乎类似于零信任安全模型，它也通过显着减少不安全的信任来降低内部威胁的风险。零信任实践意味着只向那些已经在系统中通过身份验证和身份验证的用户和设备授予访问权限。9.关注特权用户拥有特权帐户的用户是贵公司最大的资产之一，还是对数据安全的最大威胁之一？特权用户拥有窃取您的敏感数据并且不被注意的所有必要手段。无论您多么信任拥有特权帐户的员工，任何事情都有可能发生。你怎样才能把风险降到最低？以下是一些简单但有效的步骤：通过实施最小权限原则来限制特权用户的数量。确保在用户终止使用特权帐户时立即删除特权帐户。使用用户活动监控解决方案记录在网络中采取的任何操作。您可以查看PonemonInstitute的这份出色报告，以了解有关特权用户在内部威胁场景中的作用的更多信息。10.监控第三方对数据的访问控制第三方访问是安全策略的重要组成部分。远程员工、分包商、业务合作伙伴、供应商和供应商——这只是可能远程访问您的数据的人员和公司的一小部分。第三方访问不仅会带来更高的内部攻击风险，还会为恶意软件和黑客打开进入您系统的大门。保护您的敏感数据免受第三方访问攻击的一个好方法是监控第三方操作。您可以限制第三方用户的访问范围，并确切知道谁连接到您的网络以及为什么。用户活动监控还应与一次性密码结合使用，以提供所有用户操作的完整日志，以便您可以检测恶意活动并在必要时进行调查。11.提防网络钓鱼您的所有员工都知道网络钓鱼吗？值得注意的是，内部威胁不会以恶意员工告终。更常见的是，好心的员工为犯罪分子提供了进入您系统的途径，从而在不知不觉中帮助了他们。网络攻击者使用垃圾邮件和电话等网络钓鱼技术来获取员工信息、获取他们的凭据，或者用恶意软件感染系统。您的基本防御可以像两个步骤一样简单：获取正确配置的垃圾邮件过滤器并确保始终阻止最明显的垃圾邮件。就流行的网络钓鱼技术以及如何妥善处理这些技术对您的员工进行培训。幸运的是，教育和意识确实发挥了作用，现在对网络威胁的意识要高得多。Verizon的2018年数据泄露调查报告强调指出，2017年有73%的人没有点击任何恶意电子邮件。他们的2019年报告显示，2018年只有3%的网络钓鱼攻击受到攻击。您可以找到有关网络钓鱼的更多信息，包括报告表格，在US-CERT网站上。12.提高员工意识这可能很难相信，但您的员工是保护数据的关键。处理员工监督和安全错误的一个可靠方法是教育他们为什么安全很重要：提高对公司面临的网络威胁以及它们如何影响底线的认识。向您的员工解释每项计算机安全措施的重要性。展示安全漏洞的真实示例、它们的后果以及恢复过程中的困难。询问员工对当前公司安全系统的反馈。询问员工关于如何将强大的安全性和高效的工作流程结合起来的新想法。雇用你的员工作为你辩护的一部分，你会发现疏忽和错误的情况会更少。对您的员工进行适当的培训比处理由意外行为引起的数据泄露要好得多。上述网络安全最佳实践将帮助您保护数据和企业声誉。然而，实现这些目标是另一个挑战。
