企业制定网络安全计划 需要把好7道门

1. “自己人”才是最大、最持久的威胁

安全链中最薄弱的一环永远是终端用户，企业的安全事件有许多都是内部员工有意或无意所导致的，因此IT管理人员制定安全计划时不要因为害怕用户的抵触情绪而觉得某项安全策略不适用于用户，降低了安全的标准。在某种程度上，即使是对专业人士，遵从安全策略也是应该自动强制执行的，更别说终端用户了。

针对于此，小编推荐了图文档安全卫士Agile DG,采用的是一种主动的安全策略，从文件创建到删除的整个生命周期都对其进行安全保护，且不会改变员工的正常操作模式，从“内部控制”的层面对现有安全系统进行了重要的补充，有效防止企业内部有意或无意的数据泄露。

2. 发现可疑问题要做明确处理

据说，美国零售商发生信息泄密事件时，其销售系统收到了问题警报，但是警报发起时恰逢购物的黄金时间。收到警报的人，既没有权限让系统下线并进行问题排查，也找不到任何有权限的人，于是泄密灾难随即降临。

当第一次发现问题时，如果有人采取了相关措施，问题是可以得到控制的，所以一定要确保员工知道谁有权限，并在问题发生的第一时间做出强制呼叫，并要一定程度上赋予非权限人员自行处理安全问题的相关权限。

3. 分散权限构建双重保险机制

拿战争中发射导弹的事情来说，有两名军官负责发射发射导弹，如果其中一名军官因为不太确定，而没有输入启动指令，那么另外一名军官必须要要权限点击启动按钮。分权的好处是克服个人主观因素导致的失误，企业网络安全系统相对重要，要考虑双重身份验证，构建双重保险机制。

4. 小心控制要下载的东西

严格控制员工自己下载东西和安装软件等，对这方面的管理通过设备控制就可以实现，与数据泄露后的修复和网络感染的影响相比，管理好公司所拥有的及所连接的设备只不过是小事一桩，但对企业的网络安全，却有重要的意义。

5. 记录并追踪所用的开源代码

大家都想有个白名单，但是对于新上的软件产品或应用程序，还是要有一个适当的申请和审查机制，才可以进行安装。许多软件产品都部分乃至完全基于开源代码，所以要对其开源组件进行追踪。如果你连哪里使用了开源组件都不知道，一旦日后发现漏洞，你将面临无法估量的风险。

6. 确保用户安全上网

控制员工下载和安装软件能降低安全风险外，对于用户的上网行为的管理也是关键点。IT管理人员必须掌握用户的网页浏览情况，许多破坏性的网站看起来很正常，但其杀伤力是无法预估的。保护网络安全的方式使对网页浏览进行毫无例外的严格控制，一方面确保安全上网，另一方面也大大提高工作效率。

7. 掌握公司用户设备的使用情况

除了在企业范围内管控网络安全外，还要考虑到流动设备的管理。如果企业为员工配备了手提电脑，那么即使电脑不在企业范围内，也必须确保它的安全。所以，掌握公司设备的使用情况要考虑内外不同的环境。

企业安全防御跟人生病一样，小病不治成大疾，不仅费时费力费钱，而且不一定能治好，企业的安全防御同样如此，等到泄密事件发生才进行安全部署，不仅收效甚微，且许多工作都为时已晚。事后补救不如事中控制，事中控制不如事前预防，企业网络安全部署，宜早不宜迟。