中小企业网络安全：可立即着手的8项基本措施
小企业往往认为自己不会成为攻击目标。但实际上，防护薄弱的系统恰恰是最容易得手的目标，无论是加密文件勒索赎金的勒索软件，还是冒充合作伙伴骗取转账的诈骗邮件。好消息是，只需几项基本措施，就能大幅降低风险。
1. 启用多重身份验证（MFA）
在电子邮箱、会计系统、网上银行以及所有支持该功能的云服务上启用。即使密码泄露，攻击者也很难登录系统。
2. 使用互不重复的密码和密码管理器
多个系统共用同一个密码是一大弱点：一个系统泄露，其他系统也会跟着面临风险。企业版密码管理器可以让员工使用又长又不重复的密码，而无需自己记忆。
3. 定期更新系统和设备
及时安装操作系统、应用软件以及路由器、防火墙等网络设备的安全补丁。对于厂商已停止支持的设备，应规划更换。
4. 备份数据并测试恢复
按3-2-1原则备份重要数据，并至少保留一份勒索软件无法触及的副本。更重要的是定期进行真实的恢复测试，因为无法恢复的备份等于没有备份。
5. 只授予必要的权限
员工只应访问工作所需的系统和数据；管理员账号仅在必要时使用；员工离职时，必须立即停用其账号，并更改共用的密码。
6. 防火墙与网络隔离
配置防火墙，只开放必要的服务；并将访客 Wi-Fi 与办公网络隔离，防止外部设备访问企业的电脑和文件。
7. 防范诈骗邮件
- 为邮件域名配置 SPF、DKIM 和 DMARC，减少他人冒用公司名义发送伪造邮件
- 培训员工识别可疑的链接和附件
- 规定合作伙伴变更收款账号时，必须拨打事先已知的电话号码确认，而不是邮件中提供的号码
8. 制定事件应急预案
事先明确出事时谁该做什么、联系谁、如何将感染恶意软件的电脑从网络中隔离，并保存重要系统的使用日志，以备核查。
与《个人数据保护法》的关联
如果安全事件导致个人数据泄露，并可能危及数据主体的权利，企业有义务在知悉之时起72小时内通报个人数据保护委员会办公室。因此，上述基本措施既有助于预防，也能证明企业已妥善保护数据。
常见问题
小企业必须有自己的 IT 团队吗？
不一定。许多企业委托顾问或外部服务商维护系统，但内部应有一名负责人，清楚有哪些重要系统，并能随时联系服务商。
只装杀毒软件够吗？
不够。杀毒软件只是其中一层防护。大多数攻击始于密码泄露或对用户的欺骗，因此必须配合 MFA、系统更新和员工培训。
多久做一次风险评估？
至少每年一次。此外，每逢重大变化也应评估，例如系统迁移上云、开设新分支机构，或开始让员工在外办公。
让我们协助您评估系统安全
Kerwin & Vance 可按标准评估风险、部署防火墙、管理数据访问权限，并防范网络攻击。如需了解详情，请查看我们的信息技术服务，或与我们预约咨询。