信息安全成中小企業(yè)的阿喀琉斯之踵

申請免費試用、咨詢電話：400-8352-114

從整體來看，中小企業(yè)群體無疑是國家經(jīng)濟中最具成長性和活力的巨人，然而，信息安全卻成為影響這個巨人進一步發(fā)展的“阿喀琉斯之踵”，隨著信息化、網(wǎng)絡化的深入普及，這一問題也變得日益嚴重，什么才是針對中小企業(yè)信息安全的最佳實踐呢？

深陷泥沼

近年來，多個權(quán)威調(diào)研機構(gòu)的信息安全調(diào)查報告都為我們顯示了一條令人不安的曲線，那就是全球范圍內(nèi)針對中小企業(yè)的安全事件持續(xù)攀升，盡管在這方面的投入不斷增多，但情況依然難以令人樂觀。

從外部環(huán)境來看，威脅中小企業(yè)信息安全的因素正變得越來越復雜，在傳統(tǒng)的概念中，病毒是導致安全問題的罪魁禍首，大多數(shù)中小企業(yè)決策者認為，只要防止病毒傳播就可以完全保障業(yè)務運行的安全性。然而，實際情況是，中小企業(yè)的信息化環(huán)境正因業(yè)務擴張而變得復雜。而環(huán)境越復雜，風險就更具多樣性。所以僅僅防止病毒傳播的單一防護手段，已經(jīng)遠遠不能保障中小企業(yè)運營環(huán)境的安全。 

除了病毒和蠕蟲之外，現(xiàn)代中小企業(yè)需要面對的安全威脅還包括：

間諜軟件與木馬  這些軟件程序可以捕捉密碼和其他個人信息，使未授權(quán)的遠程用戶能夠訪問安裝了特洛伊木馬的系統(tǒng)。

混合型威脅  蠕蟲、病毒如果和其他安全威脅組合起來，其危害性將會加倍。

拒絕服務攻擊  如果企業(yè)的運營離不開對外的商業(yè)Web服務器，那么拒絕服務攻擊將是嚴重的威脅，此類攻擊會向服務器發(fā)出大量偽請求，造成服務器宕機。

電子郵件威脅和網(wǎng)頁仿冒  互聯(lián)網(wǎng)上大多數(shù)的安全威脅是通過電子郵件傳播的，網(wǎng)頁仿冒是一種新的但卻發(fā)展迅速的現(xiàn)象，它試圖通過電子郵件來盜取重要信息。

來自內(nèi)部的威脅  公司員工也可能帶來風險。危害公司或盜取公司信息的威脅可能來自外部，但更常見的是問題源自于疏忽，或者不應該參與信息管理的人卻掌握了它。

從上述的多種安全威脅中我們可以看出，中小企業(yè)在信息安全問題上，正在陷入前所未有的困境挑戰(zhàn)之中。

從“痛點”到“拐點”

中小企業(yè)的信息安全問題之所以棘手，來自一個顯而易見的矛盾：一方面，中小企業(yè)在資源投入上相對匱乏，沒有充裕的專項資金和專業(yè)的安全管理團隊；另一方面，如上所述，中小企業(yè)和大型企業(yè)同樣處于復雜多變、充滿風險的環(huán)境中，安全威脅并不因企業(yè)的規(guī)模而放大或縮小。這種投入與需求上的矛盾，使得面向中小企業(yè)的安全解決方案必須有著很強的針對特性。

然而從現(xiàn)實情況來看，很多廠商的中小企業(yè)方案只是簡單地將面向行業(yè)用戶、大型企業(yè)用戶或者個人用戶的方案簡單修改、更換包裝，這顯然不能為中小企業(yè)提供完善的防護。

賽門鐵克認為，面向中小企業(yè)的方案，必須充分發(fā)掘中小企業(yè)的應用方式及習慣，設計出體現(xiàn)其規(guī)律和特點的真正適合中小企業(yè)的產(chǎn)品，才能從根本上滿足中小企業(yè)信息安全需求。

對于中小企業(yè)來說，信息安全雖然日漸復雜難以應對，但廠商提供的方案并不該牽扯他們過多的精力，因為中小企業(yè)更需要把主要的精力都放在他們的主導業(yè)務上，和大公司相比他們也沒有那么多的資金人力投到加強安全方面。

所以，賽門鐵克的中小企業(yè)方案將抓住這些特性，開發(fā)易于管理而且安全級別比較高的產(chǎn)    另外，對于中小企業(yè)而言，運營的最大資本莫過于客戶信息和用戶記錄，以及與戰(zhàn)略計劃和財務運營密切相關(guān)的數(shù)據(jù)。這些數(shù)據(jù)如果被破壞或丟失，不但會使中小企業(yè)的整體業(yè)務受到影響，阻止利潤增長，也將導致客戶和合作伙伴關(guān)系的流失。因此，針對中小企業(yè)的安全方案，必須從多個渠道、多個角度考慮到對于這些寶貴數(shù)據(jù)的防護，只有采取多種安全手段來保證業(yè)務數(shù)據(jù)和信息的安全，才能使公司網(wǎng)絡遠離惡意代碼和入侵者。

顯然，低成本、高集成、易管理的防護理念如果完全實現(xiàn)，不但會治愈中小企業(yè)在信息安全問題上的“痛點”，更可以以此為契機，依賴網(wǎng)絡快速發(fā)展主營業(yè)務，從而在受到同樣困擾的競爭企業(yè)中脫穎而出。那么這套理想中的“安全鎧甲”究竟應怎樣獲得呢？

完美鎧甲

在為中小企業(yè)尋求貼身的“安全鎧甲”之前，首先要細化其與運營環(huán)境相關(guān)的風險要素，主要包括下面幾部分。

互聯(lián)網(wǎng)接入  今天，大多數(shù)小型公司都連接到了互聯(lián)網(wǎng)。小型公司只要在線，就會面臨多種互聯(lián)網(wǎng)威脅。

遠程訪問  如果能夠在旅途中或家中訪問與工作相關(guān)的重要文件，將可以提高一家小型公司的工作效率。

無線網(wǎng)絡  對中小企業(yè)而言，無線網(wǎng)絡因其靈活性和相對便宜的價格，而被視為高性價比的互聯(lián)網(wǎng)選擇。不過，無線網(wǎng)絡帶來的問題是，企圖非法利用無線網(wǎng)絡的人在增加，因為入侵者不需要以物理方式接觸到企業(yè)的硬件，所以無線網(wǎng)絡更易于被非法利用。

在化解上述風險要素時，就必須采用多元化的防護措施，對以下每一部分的防護仔細甄選，才能為我們帶來真正的“完美鎧甲”：

防病毒  安裝防病毒軟件任何時候都非常重要。防病毒軟件應該安裝在所有的桌面和便攜計算機上，包括那些在辦公室之外用于建立網(wǎng)絡遠程連接的設備。一個好的防病毒解決方案，不僅能有效查殺各種病毒、蠕蟲，還應該能夠檢測到間諜軟件和廣告軟件。

防火墻  通過阻止未經(jīng)授權(quán)的訪問企圖，將入侵者擋在企業(yè)的網(wǎng)絡之外。今天一些復雜的互聯(lián)網(wǎng)威脅能夠逃避市場上的基本防火墻產(chǎn)品。所以中小企業(yè)需要尋求能夠提供入侵防護技術(shù)的高級防火墻，以主動阻止入侵威脅。

內(nèi)容過濾  通過安裝內(nèi)容過濾軟件防止有害內(nèi)容進入，并防止將保密信息發(fā)送到網(wǎng)絡之外。

入侵檢測  對計算機或網(wǎng)絡中發(fā)生的事件或流量進行監(jiān)視，檢測各種攻擊和惡意行為，這樣就可以在攻擊發(fā)生之前將其阻止。

VPN  VPN 對建立安全的遠程連接來說至關(guān)重要。通過用戶授權(quán)以及對流出和流入企業(yè)內(nèi)部IT 系統(tǒng)的數(shù)據(jù)進行加密，VPN 可作為進入企業(yè)網(wǎng)絡的安全“隧道”，同時保護企業(yè)機密數(shù)據(jù)的安全性和完整性。

由于中小企業(yè)用戶關(guān)注的不應該僅僅是網(wǎng)絡邊界的安全。集成的、統(tǒng)一管理的安全控制平臺將可以以更低成本、更高效率保護中小企業(yè)不受惡意威脅的侵害。賽門鐵克的Symantec Gateway Security300提供了上述集成的安全功能，包括防火墻、入侵檢測、入侵防護、內(nèi)容過濾、VPN和無線局域網(wǎng)安全等6 項安全功能。這種中央集成和配置的方案，可以大大縮減中小企業(yè)的管理時間。通過使用預先打包的三種設置，在不犧牲安全保護的情況下占有最少的客戶端資源。集成的解決方案還可以做到事前防治混合威脅，因為多種的安全功能集成使得系統(tǒng)在遭受惡意攻擊時可以以單點信息包的形式提供快速全面的更新，這種更新方式更有效。也使得中小企業(yè)以最簡化的方式，最大限度保障業(yè)務運營的安全性。(cnw-ccw)