• 發布單位:TWCERT/CC
• 更新日期:2020-05-28
• 點閱次數:835

1.大多數網路安全漏洞的起因，都可以追溯到人們採取的行動，或是人們沒有採取行動。但更嚴重的錯誤，是相信只要改正不良的行為，企業就可以維持網路安全。

網路安全已經大幅超越了「外部威脅」這個傳統範圍；而傳統範圍的典型例子，就是外部駭客攻擊網路安全漏洞。網路安全的範圍現在也包括內部威脅，這類威脅更複雜得多，也更難管理。最近的研究顯示，內部人員威脅的性質可以區分為惡意、偶然或疏忽，這些情況占所有資料外洩的39％。
以下4點建議可以提供參考：
重新思考員工訓練：一般都會針對公司內部的安全防護措施舉行員工訓練，但這些安全指引通常都被簡略帶過、忽略或完全忽視。若要對員工行為持續產生有意義的影響，組織其實應該考慮改採頻繁和互動式的訓練課程。對於較為抗拒的使用者，可以採用「遊戲化」（gamification）方法實施，讓員工參與實際操作的訓練，也可以提高員工接受度和責任感。
辨識高風險使用者並加以干預：運用現代新的人工智慧分析技術，組織便能夠分析檔案以尋找敏感的內容、檢視使用者的行動，並追蹤整個企業的資料流動；如此一來，網路安全的利害相關人，目前就可以辨識出疏忽或惡意活動的許多常見指標。
依人類使用者的需求來打造解決方案，而不是讓人去配合解決方案：百分之百安全的系統，通常是完全無法使用的。企業必須與最終使用者好好溝通，以了解他們在日常活動中真正願意額外付出多少努力，來支持網路安全工作。換句話說，企業應避免採取需要使用者在本身真正意願之外多做更多的協定。
不斷順應持續變化的威脅：「人人皆會犯錯」這句話說的沒錯，而且人類還是會繼續犯錯。可是，科技和更加精進的實務做法，愈來愈能協助你辨識出最可能讓你公司遭受網路攻擊的那些高風險員工，而且是在網路攻擊變成重大問題之前就這麼做。

參考連結：

https://www.hbrtaiwan.com/article_content_AR0007740.html