麻雀雖小，五臟俱全，小企業(yè)和大企業(yè)實現(xiàn)信息安全的過程、流程都是差不多的，只是SMB用戶在進行安全部署時往往首先考慮成本、維護費用等支出。

     一些規(guī)模更小的企業(yè)并沒有專門的IT部門，通常依靠辦公室的行政人員或一名IT人員處理復(fù)雜的安全性任務(wù)。在某些情況下，資金較短缺的企業(yè)由于不堪重負(fù)，容易疏于保護他們的網(wǎng)絡(luò)和數(shù)據(jù)。

     在過去，因自身企業(yè)規(guī)模較小受到攻擊的概率相對較小，網(wǎng)絡(luò)安全的投入均不能迅速帶來顯而易見的回報。但在實際企業(yè)運營過程中，又常常有來自網(wǎng)絡(luò)安全的損失阻礙著企業(yè)成長。當(dāng)病毒、黑客技術(shù)的發(fā)展使得網(wǎng)絡(luò)威脅無處不在，誰也不能幸免。

在網(wǎng)絡(luò)攻擊肆掠橫行的今天，許多大公司都防不勝防，更不要說技術(shù)與之相去甚遠(yuǎn)的中小企業(yè)了。如果說網(wǎng)絡(luò)失守造成的信息系統(tǒng)中斷對大公司來說只是一場感冒，那么對中小企業(yè)則可能是滅頂之災(zāi)。

     幸運的是，中小企業(yè)網(wǎng)絡(luò)安全最佳實踐流程比比皆是，技術(shù)變得越來越好，而且越來越傾向采用正確的思維方式來處理問題。盡管我們在總體上仍處于被動之中，但是充滿希望，而如何界定問題是邁向更好成果的第一步。

中小企業(yè)驅(qū)動著世界。與500強企業(yè)相比，單個企業(yè)可能規(guī)模較小，但總體而言，其影響遠(yuǎn)遠(yuǎn)大于大型企業(yè)。你的業(yè)務(wù)可能很小，但對企業(yè)所有者是意義重大的。任何不重視你的服務(wù)或技術(shù)提供商，都不應(yīng)該為你服務(wù)。

在提出具體的戰(zhàn)術(shù)建議之前，讓我們先談?wù)剮c關(guān)鍵的戰(zhàn)略：

     · 找到可靠的信息安全咨詢顧問，并按他們所說的做!

     · 承擔(dān)責(zé)任。即使有專家為你提供意見，行動也要靠自己!人人都應(yīng)承擔(dān)起責(zé)任——在任何行業(yè)，小到個人員工，大到董事會，這是維護安全的一個關(guān)鍵理念。

     · 不要指望政府。政府要做的并且能做的事情就是：(1)制定法規(guī)，對信息服務(wù)商/企業(yè)，提出指導(dǎo)性的最低要求;(2)懲處違反法規(guī)者。

     · 采取行動。不要只停留在研究，不要讓分析癱瘓。采取行動-任何行動-不要拖延。如果找到更好的選擇，則以后可以隨時調(diào)整。

     · 服務(wù)外包，不要自己動手做。從單項安全服務(wù)到企業(yè)安全/ IT基礎(chǔ)設(shè)施的完全外包，可選擇范圍非常大。租用服務(wù)而不是購買實體。

     · 讓員工負(fù)責(zé)!你負(fù)有最終責(zé)任，但在那之前，請確保每個員工都知曉他們必須為自己的不當(dāng)行為/違規(guī)行為負(fù)有責(zé)任，并付出代價。

     說完了戰(zhàn)略，讓我們進入關(guān)鍵的十大戰(zhàn)術(shù)——

     每個SMB應(yīng)該采取這十個項目來保障企業(yè)網(wǎng)絡(luò)安全。這些都不貴，都是易于理解、易于執(zhí)行的。然而，如果你不這么做，只要忽視了其中一項，就等于將整個企業(yè)置于危險之中。

1. 保持合理的硬件更新率

      這一條的意義和第一條相同。如果你仍在運行Windows 7，那么會使公司面臨不必要的風(fēng)險——Windows 7在2020年1月14日之后將停止服務(wù)。上Windows 10，就現(xiàn)在!

3. 使用評級較高的端點安全解決方案

      不推薦任何具體的解決方案，有一個主要原因——所有服務(wù)商都竭盡全力試圖在檢測率，性能等方面超越對手。每年都有多個年終評選，對防病毒、安全服務(wù)商等進行排名/評級——因此每年審查你選擇的服務(wù)商的性能，如果有更好的解決方案，請切換。

4. 定期下載并安裝所有補丁/更新

      無論是操作系統(tǒng)、硬件，還是關(guān)鍵業(yè)務(wù)軟件，甚至是IP攝像頭，勤打補丁對于安全性都是至關(guān)重要。在計算機領(lǐng)域，“零日漏洞”指被發(fā)現(xiàn)后立即被惡意利用的安全漏洞，而利用這種漏洞發(fā)起的攻擊則被稱為“零日攻擊”。這種攻擊利用用戶缺少防范意識或未裝補丁，造成巨大破壞。零日漏洞一直是黑客的最愛，通常在漏洞與安全補丁曝光的同一日內(nèi)，惡意利用程序就會出現(xiàn)，及時打補丁是防范零日攻擊的最好方法，盡管這是一項無聊乏味的工作，但卻是必不可少的。

5. 遵守良好的密碼衛(wèi)生習(xí)慣，并進行現(xiàn)代化管理

     始終為購買的新硬件(如路由器等)和軟件更改默認(rèn)密碼。使用“強密碼”，并每年更改幾次。切勿對多個設(shè)備/服務(wù)使用相同或相似的密碼!為了使所有這些事情變得更容易，您可以使用實用的“密碼管理器”——如Dashlane之類具有硬件優(yōu)化功能的密碼管理器。

6. 使用雙重(或多重)身份驗證——也稱為2FA

      如果最終用戶和企業(yè)都使用雙重(或多重)身份驗證，可以消除絕大部分?jǐn)?shù)據(jù)和隱私泄露隱患。這是免費、簡單、有效的方法。如果要在網(wǎng)絡(luò)安全方面選一個“躺贏”的方法，那就是它了。此外，與此密切相關(guān)的是，根據(jù)身份驗證的要求，按需選擇不同的供應(yīng)商——從金融服務(wù)到辦公服務(wù)。要求雙重身份驗證，要求供應(yīng)商有清晰的，易于理解的隱私和安全聲明。如果你看不明白聲明的內(nèi)容，或者對其中的任何內(nèi)容不滿意，這不是你的錯，而是供應(yīng)商的錯，你可以選擇下一家。

7. 計算機務(wù)必安全地聯(lián)網(wǎng)

      首先，連接到熱點時務(wù)必使用VPN。切記。被入侵的主要途徑之一就是無保護地連接到犯罪分子偽造/廣播的公共熱點。你在連接的時候就已經(jīng)放棄了所有密碼。最壞的情況是，系統(tǒng)感染了無法檢測的惡意軟件(例如，鍵盤記錄程序等)。如果可能的話，使用蜂窩網(wǎng)絡(luò)連接也好過使用公共熱點。大多數(shù)現(xiàn)代手機都允許自己作為個人熱點，您可以在PC上連接個人熱點連接到互聯(lián)網(wǎng)。

8. 備份，備份，備份

      之所以迫切地需要備份數(shù)據(jù)，拋開所有的其他原因，現(xiàn)在我們有了一個最大的元兇——勒索軟件。有許多基于云的備份服務(wù)商，你必須根據(jù)你的業(yè)務(wù)性質(zhì)，確定最符合你功能需求的服務(wù)。需要堅持的一項重要功能是“無限制拷貝”(unlimited copies)——即每次更改文件時，服務(wù)都會保存一份副本，而不僅僅是最后一份。這一點至關(guān)重要，因為一旦遭遇勒索軟件攻擊，你需要確定感染發(fā)生的確切時間并選擇此時間點之前的備份文件進行還原。另外，強烈建議使用本地文件備份服務(wù)器(網(wǎng)絡(luò)附加存儲或NAS)作為備份——本地備份可以使你在事件發(fā)生后立即備份并運行，而從云服務(wù)下載TB數(shù)據(jù)需要一段時間。但是，不要只做本地備份，因為可能會遭遇物理災(zāi)害(例如火災(zāi))。備份是無聊，乏味的，而且對于NAS來說，安裝起來很困難。但是，你不得不這么做，某些本地服務(wù)商可以幫助設(shè)置NAS，你也可以自己進行云設(shè)置。

9. 信任但要審查——每年聘請一名審計師

      很少有人建議這樣做，但是考慮到數(shù)據(jù)在業(yè)務(wù)運營中的重要性，我認(rèn)為這是值得的投資。審計公司會檢查您的補丁程序，評估你的保護措施，審查你的員工政策，并對備份設(shè)置進行風(fēng)險評估?？紤]到發(fā)生數(shù)據(jù)泄露可能會導(dǎo)致你的公司破產(chǎn)，被起訴或甚至徹底毀掉你的生活，提前審查無疑是省心又安心的辦法。

10. 不要忘記保險!

      很多服務(wù)商提供身份信息保護/恢復(fù)保險，而且非常便宜。同樣，更多樣的網(wǎng)絡(luò)保險也變得越來越普遍，值得評估。

總結(jié)

      以上提到的十個戰(zhàn)術(shù)，并沒有高深復(fù)雜的技術(shù)，也沒有獨樹一幟的創(chuàng)新方法，但其中很多重要的事項是值得老生常談的。如果這篇文章使每個讀到它的中小企業(yè)至少采取了其中一項行動，那么它就是有意義的。