盡管近年來數據泄露和黑客攻擊事件頻發，但讓高級管理人員認真對待計算機安全對于很多組織來說是一個難題。

英國政府的計算機安全機構國家網絡安全中心(NCSC)日前列出了五個有關計算機安全的問題清單，旨在啟動組織高管與計算機安全團隊之間的“建設性”討論。

NCSC表示，組織中三分之二的董事會成員沒有接受任何培訓以應對網絡事件，10%的董事會成員沒有制定應對措施的計劃。這些對話的啟動者旨在彌合不了解安全問題的高管與難以發表意見的IT部門之間的差距。董事會成員需要以理解財務風險或健康與安全風險的方式理解網絡風險。

NCSC首席執行官Ciaran Martin說：“在網絡安全方面沒有愚蠢的問題。而在沒有了解問題的情況下放棄或逃避是一種愚蠢的行為，因為這意味著不知道如何處理這一核心業務風險。”

NCSC對董事會成員應該從計算機安全團隊期望的回復提出了一些建議，并列出了以下五個問題：

(1)如何保護我們的組織免受網絡釣魚攻擊?

網絡釣魚向組織的員工發送虛假消息，這仍然是黑客試圖訪問組織的計算機系統最常見方式之一。網絡攻擊者可能希望員工點擊電子郵件中的鏈接，在他們的計算機上安裝惡意軟件，或者點擊鏈接將他們引導到提供敏感信息的虛假網站(例如銀行帳號等詳細信息)。一個常見的騙局是‘CEO-Fraud'，犯罪分子發送網絡釣魚電子郵件，聲稱是組織內部高級管理人員，要求員工轉移資金，然后欺詐者將其據為已有。

雖然此類消息可以通過短信、社交媒體或電話等手段進行傳播，但最可能的攻擊途徑是通過電子郵件。

NCSC表示，更好的答案包括過濾或阻止接收網絡釣魚電子郵件，確保外部電子郵件被標記，阻止攻擊者發送欺騙性電子郵件，并讓員工接受相關安全培訓。

組織還可以通過使用代理服務器來限制網絡釣魚的攻擊，該代理服務器可以阻止訪問已知的不良網站，確保員工不會瀏覽網頁或瀏覽具有管理員權限的帳戶的電子郵件，并在重要帳戶或服務方面使用雙因素身份驗證(2FA)措施。

(2)我們的組織如何控制特權IT帳戶的使用?

NCSC警告說，組織應該嚴格控制和管理授予提升的系統權限。如果需要具有更高權限的帳戶開展業務，則員工應使用標準用戶帳戶進行日常工作，例如電子郵件和Web瀏覽。 NCSC表示，在設置員工賬戶時使用“最低權限”的政策是一個很好的答案，可以最大限度地減少特權賬戶的使用，并保持人力資源流程與IT之間的緊密聯系，以便員工離開時賬戶不會保持活躍狀態。

(3)我們如何確保軟件和硬件的更新與升級?

修補軟件和硬件升級是一個耗時且繁瑣的過程，但跳過補丁程序可能會給組織帶來災難性后果。如果組織的軟件補丁時常更新為最新版本，那么大部分WannaCry勒索軟件攻擊都可以避免。

NCSC表示，對這個問題的良好答案包括制定流程以識別、分類和修復任何漏洞，并通過定期審計來確保遵循補丁政策，就像組織對關鍵財務政策的要求一樣。組織應該對不再受支持的設備和軟件制定壽命終止計劃，并確保其網絡架構最大限度地減少攻擊可能造成的危害，例如“零日”攻擊利用漏洞能夠避開防御措施。NCSC還建議組織使用基于云計算的應用程序，云計算供應商通常能夠實施安全更新：“允許云計算提供商提供計算服務，可以讓組織將稀缺的安全資源集中在保護其定制應用程序和用戶設備上，而這些只有組織自己才能做到。”NCSC指出。

(4)如何確保合作伙伴和供應商保護我們與他們共享的信息?

與供應商或客戶的任何連接都可能為組織的系統提供攻擊路徑，而且這是一個經常被忽視的薄弱點。NCSC表示，組織將應該安全納入所有協議，所有控制措施都需要檢查和審核。組織還應確保盡量減少所暴露的服務數量和交換的信息量。

(5)使用哪些身份驗證方法來控制對系統和數據的訪問?

采用密碼是一種良好的訪問控制措施，但不是唯一的，它們需要由其他控件進行補充以保護組織的業務安全。NCSC表示，組織應該鼓勵使用合理的密碼，并確保更改所有默認密碼。為了避免對用戶提出不切實際的要求，組織應該只在真正需要的地方強制執行密碼訪問，NCSC表示，只有在有懷疑存在泄露或攻擊的風險時才會強制執行常規的密碼更改。

“組織還應該提供安全的存儲空間，這樣工作人員就可以記下密碼，并保證密碼安全(但不能保證設備安全)。工作人員有時會忘記密碼，因此需要確保他們可以輕松重置自己的密碼。”NCSA建議。組織還應考慮在可能的情況下實施雙因素身份驗證(2FA)。“設置2FA保護重要帳戶是最有效的措施，并且應盡可能推廣到員工和客戶帳戶中。”NCSA指出。

總結

以上是生活随笔為你收集整理的你必须知道如何回答的五大计算机安全问题！的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。