中小型企业，业务规模小，人员和资金有限，与那些实力雄厚的大企业相比，应对网络攻击的资源和技术可能不多。那么，中小企业应该采用什么方式，以最小的成本维护企业安全呢？这是我们要探讨的问题。麻雀虽小，五脏俱全。小型企业和大型企业的信息安全过程和流程是相似的，但用户在部署安全时往往首先考虑成本、维护费用和其他费用。一些较小的企业没有专门的IT部门，通常依靠办公室管理员或IT人员来处理复杂的安全任务。在某些情况下，资金短缺的企业往往会因为不堪重负而无法保护其网络和数据。过去，由于自身企业规模较小，被攻击的概率相对较小，网络安全方面的投入并不能很快带来明显的回报。然而，在企业的实际运营中，往往会出现网络安全方面的损失，阻碍了企业的成长。当病毒和黑客技术的发展使得网络威胁无处不在时，谁也不能幸免。在网络攻击猖獗的今天，很多大公司都难以防备，更何况是技术落后的中小企业。如果说网络故障导致的信息系统中断对于大公司来说只是一场感冒，那么对于中小企业来说可能就是一场灾难。幸运的是，中小企业网络安全的最佳实践流程比比皆是，技术越来越好，并且越来越倾向于采用正确的思维方式来解决问题。尽管我们在很大程度上仍然是被动的，但仍有希望，定义问题是迈向更好结果的第一步。中小企业驱动世界。与财富500强公司相比，单个公司可能很小，但它们的整体影响力远大于大公司。您的企业可能很小，但对企业主来说意义重大。任何不重视您的服务或技术提供商都不应该为您服务。在提出具体的战术建议之前，先说几个关键的策略：找靠谱的信息安全顾问，说到做到！承担责任。即使有专家建议，也要自己行动！在任何行业，从员工个人到董事会，每个人都有责任，这是维护安全的关键理念。不要指望政府。政府要做和能做的是：（1）制定法律法规，对信息服务提供者/企业提出指导性的最低要求；（二）对违法违规行为进行处罚。采取行动。不要停留在研究上，不要让分析使你瘫痪。立即采取行动——任何行动。如果您找到更好的选择，您可以随时进行调整。外包服务，不要自己做。从单独的安全服务到企业安全/IT基础架构的完整外包，选择范围非常广泛。租用服务而不是购买物理实体。追究员工责任！您负有最终责任，但在此之前，请确保每位员工都明白，他们必须为自己的不当行为/违规行为负责，并为此付出代价。了解完策略后，让我们继续讨论十大关键策略——每个SMB都应采取的十项措施，以确保企业网络安全。这些方法价格低廉、易于理解且易于实施。但是，如果您不这样做，则仅忽略其中一个可能会使您的整个业务面临风险。1.保持合理的硬件更新率。理想情况下，建议企业每年更换新PC，但我们知道这不现实。也就是说，超过3-4年的续签率意味着企业要承担额外的风险。硬件制造商每年投资数十亿美元用于“隐藏”的安全改进，其中许多是用户不知道的。企业所要做的就是使您的IT基础设施（从PC到电话再到服务器）保持最新。2.使用最新的操作系统。本条与第一条同义。如果企业仍在运行Windows7，这将使公司面临不必要的风险——Windows7将在2020年1月14日后停止服务。立即使用Windows10！3.使用高度评价的端点安全解决方案。不推荐任何具体的解决方案，有一个主要原因——所有服务提供商都竭尽全力试图在检测率、性能等方面超越对手。每年都有多次年终评选，排名/评级杀毒，安全服务商等——所以每年都要审核企业选择的服务商的表现，如果有更好的解决方案就换。4.定期下载并安装所有补丁/更新。无论是操作系统、硬件、关键业务软件，甚至是IP摄像头，频繁打补丁对于安全来说都是至关重要的。在计算机领域，“零日漏洞”是指在被发现后立即被恶意利用的安全漏洞，利用该漏洞发起的攻击称为“零日攻击”。此类攻击利用用户意识不强或未打补丁造成巨大损失。零日漏洞一直是黑客的最爱。通常，恶意攻击会在漏洞和安全补丁暴露的同一天出现。及时修补是防止零日攻击的最佳方法，尽管这是一项繁琐的工作，但必不可少。5.坚持良好的密码卫生习惯并使其现代化。始终更改新硬件（如路由器等）和软件购买的默认密码。使用“强密码”并每年更改几次。切勿对多个设备/服务使用相同或相似的密码！为了使所有这些事情变得更容易，您可以使用一个有用的“密码管理器”——一个像Dashlane这样具有硬件优化功能的管理器。6.使用双因素（或多因素）身份验证——也称为“2FA”。如果最终用户和企业都使用双因素（或多因素）身份验证，则可以消除绝大多数数据和隐私泄露。它免费、简单且有效。如果说网络安全有一种“躺赢”的方法，那就是它。此外，与此密切相关的是，根据身份验证的要求，按需选择不同的提供商——从金融服务到办公服务。要求双因素身份验证，并要求提供商具有清晰、易于理解的隐私和安全声明。如果您无法理解声明的内容，或对其中任何一项不满意，公司可以选择下一项。7.电脑必须安全连接到互联网。首先，连接到热点时始终使用VPN。记住。被黑客攻击的主要方式之一是将不受保护的连接到犯罪分子伪造/广播的公共热点。您在连接时已放弃所有密码。最坏的情况是，系统感染了无法检测到的恶意软件（例如键盘记录器等）。如果可能的话，使用蜂窝网络连接也比使用公共热点更好。大多数现代手机都允许自己充当个人热点，企业可以连接PC上的个人热点以连接到Internet。8.备份，备份，备份。除了迫切需要备份数据的所有其他原因，现在我们有了最大的罪魁祸首之一——勒索软件。有许多基于云的备份服务提供商，您必须根据您的业务性质确定最能满足您的功能需求的服务。要坚持的一个重要功能是“无限副本”——也就是说，每次文件更改时，服务都会保留一份副本，而不仅仅是最后一份。这一点很关键，因为在发生勒索软件攻击时，组织需要确定感染发生的确切时间，并选择该时间点之前的备份文件进行恢复。此外，强烈建议使用本地文件备份服务器（网络附加存储或NAS）作为备份-本地备份可以在事件发生后立即保持业务正常运行，而从云服务下载TB数据则需要一段时间.但是，不要只做本地备份，因为可能会发生物理灾难（例如火灾）。备份很无聊、乏味，而且在NAS的情况下，很难安装。9.信任但仔细检查——每年聘请一名审计师。很少有人推荐这样做，但考虑到数据在业务运营中的重要性，我认为这是一项值得的投资。审计公司检查您的补丁，评估您的保护措施，审查您的员工政策，并对您的备份设置进行风险评估。考虑到数据泄露可能导致公司破产、被起诉甚至彻底毁灭，提前审查无疑是一种安心和安心。10.不要忘记基础的网络安全防护，比如为企业网站部署SSL安全证书，为企业邮箱部署邮件证书等，锁定用户隐私数据，并在出现问题时帮你检查网站是否安全用户访问页面，还会防止流量劫持，数据篡改等问题。做好最基本的安全防护工作，才不会损失太大。上述十招，没有高深复杂的技术，也没有独到的创新手法，但其中有不少大事值得一谈。如果这篇文章让每个阅读它的SMB都至少采取其中一项操作，那么它就有意义了。
