談到移動(dòng)設(shè)備安全，我們自己就是最大的敵人。研究人員表示，盡管很多人已經(jīng)7×24小時(shí)離不開(kāi)移動(dòng)設(shè)備，但大多數(shù)人似乎并沒(méi)有在安全上變得更聰明些。賽門鐵克2014年4月份發(fā)布的一份安全威脅報(bào)告指出，2012年有44%的用戶沒(méi)有意識(shí)到移動(dòng)設(shè)備上有安全解決方案，到2013年這個(gè)數(shù)字上升到57%。研究人員說(shuō)部分原因在于缺乏這方面的教育和培訓(xùn)。例如，那些多年來(lái)使用功能手機(jī)的用戶由于沒(méi)有什么安全需求，在轉(zhuǎn)向智能手機(jī)后也根本意識(shí)不到要安裝安全軟件。
就長(zhǎng)期來(lái)看，安全專家認(rèn)為，隨著使用者在他們的手機(jī)上保存越來(lái)越多的敏感信息，針對(duì)移動(dòng)設(shè)備的惡意軟件會(huì)越來(lái)越多。而這些移動(dòng)設(shè)備經(jīng)常會(huì)接入公司的網(wǎng)絡(luò)，從而讓企業(yè)數(shù)據(jù)也處于威脅之中。
企業(yè)安全面臨的另一個(gè)威脅是遺失手機(jī)數(shù)量的不斷攀升。根據(jù)Consumer Reports最近的一個(gè)調(diào)查，全球在2013年有140萬(wàn)智能手機(jī)丟失再也不曾找到，2012年這個(gè)數(shù)字是120萬(wàn)。
鑒于太多種情形讓設(shè)備和企業(yè)數(shù)據(jù)處于威脅之中，因此并沒(méi)有一種完全的方法可以解決所有移動(dòng)安全問(wèn)題。
“至今并沒(méi)有一個(gè)真正完美的解決方案能保證員工手中的移動(dòng)設(shè)備的安全。”從事醫(yī)療服務(wù)的WellPoint公司IT副總裁Jamisson Fowler說(shuō)，“因?yàn)閱T工可能犯各種各樣的錯(cuò)，沒(méi)有哪一種工具能給移動(dòng)設(shè)備加上一把絕對(duì)安全的鎖。”
不過(guò)，幸好還是有些方法可以讓員工對(duì)移動(dòng)安全多一份了解，同時(shí)也對(duì)設(shè)備多一份安全保護(hù)。以下提供了5個(gè)方法，分別針對(duì)5類容易置企業(yè)數(shù)據(jù)于危險(xiǎn)之中的員工，用以幫助他們認(rèn)識(shí)到移動(dòng)設(shè)備面臨的安全風(fēng)險(xiǎn)并采取措施防范這些風(fēng)險(xiǎn)。
對(duì)無(wú)戒心的人
有些人很容易被社會(huì)工程學(xué)或者釣魚行為所騙，因?yàn)樗麄兏揪蜎](méi)有意識(shí)到其中可能存在的陷阱。對(duì)于這些人如何讓他們認(rèn)識(shí)到風(fēng)險(xiǎn)，從而避免成為惡意者不斷變化的伎倆的受害者?
解決辦法:讓他們體驗(yàn)釣魚誘騙
網(wǎng)絡(luò)黑客們一直在不斷尋找計(jì)算機(jī)之外的下一個(gè)目標(biāo)，移動(dòng)設(shè)備就是其中之一。他們正在把在PC上已獲得成功的欺騙手段復(fù)制到手機(jī)上，看是否會(huì)取得同樣的成功，而大多數(shù)手機(jī)用戶還沒(méi)有意識(shí)到存在風(fēng)險(xiǎn)。“黑客們一直在尋找鏈條上最弱的一環(huán)，然后把他們昔日成功的手段應(yīng)用到這一環(huán)節(jié)。”安全分析人士如此評(píng)價(jià)說(shuō)。
在德國(guó)醫(yī)療設(shè)備制造商Karl Storz GmbH公司，對(duì)2200名移動(dòng)設(shè)備的安全管理采取了與其內(nèi)部的業(yè)務(wù)系統(tǒng)完全一樣的策略。
“我們希望讓員工們意識(shí)到釣魚攻擊的存在。”公司企業(yè)技術(shù)總監(jiān)David O’Brien說(shuō)。對(duì)企業(yè)內(nèi)部的應(yīng)用系統(tǒng)，該公司采用了來(lái)自PhishMe的培訓(xùn)課程，該課程模擬利用電子郵件和社會(huì)工程學(xué)來(lái)引誘員工。在一開(kāi)始有高達(dá)70%的人會(huì)被一些最常用的釣魚騙局所欺騙，會(huì)點(diǎn)擊釣魚鏈接，并輸入賬戶和密碼等信息，其中甚至包括一些高級(jí)的IT人員。
當(dāng)然，惡意者不只是通過(guò)電腦來(lái)進(jìn)行社會(huì)學(xué)工程引誘，同樣還會(huì)利用移動(dòng)設(shè)備來(lái)進(jìn)行，他們誘騙那些使用者不經(jīng)意地點(diǎn)擊某個(gè)鏈接下載惡意代碼，然后借助惡意代碼入侵企業(yè)網(wǎng)絡(luò)，竊取企業(yè)數(shù)據(jù)。
Karl Storz公司所進(jìn)行的釣魚測(cè)試讓公司的員工認(rèn)識(shí)到其中的陷阱，也讓他們知道如何避免“中招”。“此類攻擊可能針對(duì)所有類型移動(dòng)設(shè)備，無(wú)論是iOS還是安卓或者Windows。”O’Brien說(shuō)，“在我們的測(cè)試中，中招的最終用戶中近20%的用戶使用iOS設(shè)備，我敢肯定如果繼續(xù)測(cè)試未來(lái)還會(huì)有更多移動(dòng)用戶中招。”
在技術(shù)型公司Raytheon這里，安全已經(jīng)成為一種企業(yè)文化。這個(gè)在全球擁有6.3萬(wàn)名員工的公司大約1/3的員工使用公司配備的智能手機(jī)或者平板電腦。
“涉及到安全，人的因素總是最先要考慮的。”公司IT部門全球業(yè)務(wù)服務(wù)部副總裁Jon Aliber說(shuō),“我們必須讓每個(gè)員工都了解釣魚欺騙是什么樣。”
Aliber介紹說(shuō)，該公司使用一種社交系統(tǒng)和博客工具讓員工了解什么是釣魚欺騙，每年公司還會(huì)要求每位員工參加在線安全培訓(xùn)課程。
對(duì)剛拿到移動(dòng)設(shè)備的新手
由于沒(méi)有意識(shí)到其中存在的安全風(fēng)險(xiǎn)，那些第一次拿到智能手機(jī)或者平板電腦的人可能會(huì)成為安全漏洞。
解決辦法：耐心，不能歧視他們
WellPoint公司給旗下的500多名醫(yī)生配備了iPad，這些醫(yī)生負(fù)責(zé)為居家的老人、殘疾人和盲人提供醫(yī)療服務(wù)，其中大部分使用者對(duì)技術(shù)并不了解，甚至對(duì)使用iPad有一點(diǎn)抵觸。
Fowler驚訝地發(fā)現(xiàn)，部分醫(yī)生不好意思或者害怕告訴技術(shù)部門他們把iPad弄丟了。“有人會(huì)過(guò)一天甚至三天后才來(lái)告訴我們，他們把iPad弄丟了，或者他們現(xiàn)在才想起來(lái)找iPad，但找不到，他們認(rèn)為是丟了。”Fowler回憶說(shuō)，“有時(shí)候是真丟了，有時(shí)候則是把iPad落在家里了，我們可以通過(guò)位置定位服務(wù)來(lái)找到設(shè)備。但這段時(shí)間意味著設(shè)備和敏感信息處于高度不安全狀態(tài)。”
為此，F(xiàn)owler的團(tuán)隊(duì)提出兩個(gè)解決辦法。首先，降低醫(yī)生們因疏忽而把iPad落在家里的可能性，IT部門為醫(yī)生們配備了一個(gè)手包，可以裝下iPad和他們常用的一些工作資料。同時(shí)，對(duì)醫(yī)生們進(jìn)行培訓(xùn)告訴他們一旦找不到自己的iPad就一定要及時(shí)告訴IT部門。其次，對(duì)IT部門進(jìn)行培訓(xùn)，要求IT部門不要嘲笑他們，并要安慰醫(yī)生們不要因弄丟了設(shè)備而不好意思。
“我們不會(huì)對(duì)任何丟失設(shè)備的醫(yī)生進(jìn)行喊叫，IT部門都知道不應(yīng)該這樣。”Fowler說(shuō)，“當(dāng)醫(yī)生向iPad組報(bào)告設(shè)備丟失后，IT人員會(huì)表示很樂(lè)意為他們提供幫助，一旦發(fā)現(xiàn)設(shè)備真的的丟失，我們會(huì)啟動(dòng)安全步驟，對(duì)設(shè)備上的敏感內(nèi)容進(jìn)行擦除。”
為了降低設(shè)備丟失以后存在的安全風(fēng)險(xiǎn)，IT部門會(huì)對(duì)初次使用iPad的醫(yī)生進(jìn)行培訓(xùn)，告訴他們密碼的重要性，并指導(dǎo)他們?cè)O(shè)置比較復(fù)雜的密碼。“我們有一個(gè)完整的培訓(xùn)流程，通過(guò)在線視頻進(jìn)行，不僅有關(guān)于設(shè)備的使用也有密碼的設(shè)置，以及密碼與設(shè)備要分開(kāi)放置等。” Fowler解釋說(shuō)，“我們還會(huì)列出一些具體的例子來(lái)說(shuō)明某些不安全的行為可能帶來(lái)的麻煩。”
比如，一封帶有釣魚鏈接的郵件可以把用戶在Facebook上的行為攝錄下來(lái)，或者一個(gè)假的銀行郵寄讓用戶提交個(gè)人信息。通過(guò)這些培訓(xùn)讓醫(yī)生們意識(shí)到，如果自己的iPad開(kāi)機(jī)密碼和設(shè)備上安裝的應(yīng)用軟件登錄密碼同樣或相似，就會(huì)讓病人的信息處于高度危險(xiǎn)之中，公司也處于高度危險(xiǎn)之中。
對(duì)神經(jīng)“大條”的人
大多數(shù)人認(rèn)為自己的個(gè)人信息是無(wú)價(jià)的，會(huì)緊緊守護(hù)它，但也有一些人對(duì)自己和企業(yè)的數(shù)據(jù)滿不在乎。
解決辦法：游戲化地不斷提醒。
密西根州政府需要跟蹤被政府員工使用的1.7臺(tái)智能手機(jī)和平板電腦。去年，員工共丟失了256臺(tái)政府配備的移動(dòng)設(shè)備，包括手機(jī)、平板電腦和筆記本電腦。
“坦白地說(shuō)，過(guò)去我們?cè)?a href=http://www.yizongshi.cn/index.php?m=content&c=index&a=infolist&typeid=1&siteid=1&type=keyword&serachType=2&key=%E5%AE%89%E5%85%A8 style='color:#57A306' target='_blank'>安全方面的培訓(xùn)是很失敗的。”密西根州政府首席安全官Daniel J. Lohrmann說(shuō)，過(guò)去只是準(zhǔn)備了一個(gè)PPT，讓那些有關(guān)的員工來(lái)聽(tīng)一個(gè)小時(shí)的演講。他很懷疑到底有多少人真正聽(tīng)進(jìn)去了，現(xiàn)在他們準(zhǔn)備徹底拋棄這一做法而重新建立一套培訓(xùn)方法。參加培訓(xùn)的人也表示，過(guò)去的辦法很無(wú)趣、難以接受，也并沒(méi)有教給他們什么有用的知識(shí)。
現(xiàn)在他們的目標(biāo)是要讓培訓(xùn)變得更簡(jiǎn)短、更具交互性、更有趣，尤為重要的是，要想方設(shè)法告訴員工他們以前所不知道的東西。為此，技術(shù)部門選擇了一家培訓(xùn)服務(wù)商來(lái)做這件事，該服務(wù)商利用一個(gè)游戲視頻來(lái)進(jìn)行培訓(xùn)。
Lohrmann表示，他最喜歡的一部分內(nèi)容是讓員工能與他們?cè)跈C(jī)場(chǎng)被盜或者丟失的手機(jī)取得聯(lián)系，擦除其上的內(nèi)容。這是非常重要的一部分知識(shí)，根據(jù)2012年Credant技術(shù)公司(如今被戴爾收購(gòu))的一份統(tǒng)計(jì)，僅僅在芝加哥、丹佛、舊金山、邁阿密、奧蘭多、明尼阿波利斯、夏洛特等七大機(jī)場(chǎng)就撿到8016臺(tái)無(wú)線設(shè)備，其中智能手機(jī)和平板占45%，筆記本電腦占43%。有一半的設(shè)備最后歸還給失主，剩下的捐給了慈善組織或者被拍賣。
培訓(xùn)課程介紹了這些數(shù)據(jù)，然后一步步地告訴員工們?nèi)绾伪苊膺@類事情的發(fā)生。最有趣的部分是，在一個(gè)在線游戲中，員工們扮演一個(gè)角色。有90秒鐘的時(shí)間利用剛剛學(xué)到的知識(shí)尋找12臺(tái)遺失或被盜的手機(jī)。員工控制的這個(gè)角色會(huì)在機(jī)場(chǎng)穿梭，要經(jīng)過(guò)登機(jī)手續(xù)辦理處、美食廣場(chǎng)、行李輸送帶以及不同登機(jī)口之間的穿梭小火車，每使用一種工具他就會(huì)得到一個(gè)“贊”。
“沒(méi)有人第一次就能完成任務(wù)，他們都會(huì)想再來(lái)一次。”Lohrmann說(shuō)。
密西西比州現(xiàn)在正在針對(duì)所有員工開(kāi)展這個(gè)培訓(xùn)課程，Lohrmann希望每個(gè)員工都能像他一樣對(duì)這次培訓(xùn)能留下深刻印象。“對(duì)我而言，這次培訓(xùn)效果很明顯，如今每次到機(jī)場(chǎng)我都會(huì)想到這次培訓(xùn)，這種培訓(xùn)或多或少都會(huì)改變?nèi)藗兊囊恍┬袨榉绞健?rdquo;他說(shuō)。
對(duì)技術(shù)達(dá)人
員工中那些對(duì)技術(shù)非常在行的用戶對(duì)于企業(yè)安全而言可能是一個(gè)噩夢(mèng)，特別是在他懂得如何重新配置智能手機(jī)來(lái)獲得系統(tǒng)管理員級(jí)的操作權(quán)限時(shí)。
解決辦法:要比他們更聰明
通過(guò)獲得管理員操作權(quán)限，惡意軟件可以在移動(dòng)設(shè)備上更隨意地進(jìn)行操作。Gartner預(yù)計(jì)，到2017年，75%的移動(dòng)安全漏洞源于應(yīng)用程序的不恰當(dāng)配置。
對(duì)Karl Storz公司這方面的威脅非常大。“我們是一個(gè)工程公司，員工都非常懂技術(shù)。”O’Brien 說(shuō)，“從公司開(kāi)始給員工配智能手機(jī)以來(lái)，我還沒(méi)有看到員工們自己刷機(jī)，但是他們有這個(gè)能力。一旦他們這么做了，他們手機(jī)上的信息IT部門就無(wú)法掌控了。”
根據(jù)Gartner的研究，對(duì)移動(dòng)平臺(tái)最大的威脅可能就是對(duì)iOS的越獄或者安卓設(shè)備的“Rooting”。因?yàn)樵姜z或者“Rooting”后，用戶可以直接訪問(wèn)之前所無(wú)權(quán)訪問(wèn)的資源，這會(huì)讓設(shè)備處于危險(xiǎn)境地，它讓這些數(shù)據(jù)不再受應(yīng)用或者操作系統(tǒng)所提供的“沙漏”的保護(hù)。這也很容易就讓惡意軟件被植入到設(shè)備上，從而為更多的惡意行為開(kāi)綠燈，包括提取公司信息。這些被越獄的設(shè)備還很容易被暴力破解密碼，對(duì)此最佳的防護(hù)辦法就是通過(guò)MDM工具和策略來(lái)嚴(yán)格限制設(shè)備被破解。在此之上，通過(guò)應(yīng)用程序“外殼”和“容器”來(lái)進(jìn)一步保護(hù)重要的數(shù)據(jù)。
另外，IT安全負(fù)責(zé)人也需要借助網(wǎng)絡(luò)訪問(wèn)控制技術(shù)，阻止那些被懷疑正在進(jìn)行惡意操作的設(shè)備接入公司的業(yè)務(wù)系統(tǒng)。Raytheon同時(shí)還對(duì)員工進(jìn)行認(rèn)真培訓(xùn)，以確保他們了解公司對(duì)于安全使用這些設(shè)備的一些規(guī)定。
“如果放任他們?yōu)樗麨?，就?huì)把整個(gè)公司信息置于非常危險(xiǎn)的境地。”Aliber說(shuō)，這些規(guī)定還應(yīng)該成為公司整體信息安全策略的一部分，它與設(shè)備管理軟件來(lái)控制設(shè)備的配置、把數(shù)據(jù)保存云端而不是在手機(jī)上等共同來(lái)確保企業(yè)數(shù)據(jù)的安全。
對(duì)迷戀分享一族
社交媒體的出現(xiàn)給員工的溝通和交流帶來(lái)很大方便，越來(lái)越多的員工習(xí)慣于在社交媒體上與朋友們分享。不過(guò)，有些員工過(guò)于迷戀社交媒體，換句話說(shuō)，他們?cè)谏缃幻襟w上分享了一些不該分享的內(nèi)容。另外一個(gè)不安全的行為是，讓家人和朋友使用他的設(shè)備。
解決辦法：堵住安全漏洞。
隨著千禧一代開(kāi)始進(jìn)入社會(huì)，社交媒體對(duì)與企業(yè)信息安全的威脅開(kāi)始顯現(xiàn)出來(lái)。作為善于利用社交媒體的年輕人，它們習(xí)慣于分享，這給企業(yè)帶來(lái)了很多挑戰(zhàn)。特別是那些擁有大量年輕員工的企業(yè)，它們突然發(fā)現(xiàn)公司很多信息被社交媒體公開(kāi)，而且這種趨勢(shì)才剛剛開(kāi)始。
實(shí)際上，隨著更多年輕一代參加工作，這一點(diǎn)將會(huì)更為明顯，企業(yè)必須認(rèn)真應(yīng)對(duì)這個(gè)問(wèn)題。“有太多信息已經(jīng)被員工透過(guò)社交媒體發(fā)布出去了，而一旦發(fā)布出去，就不可能退回，所以必須提前預(yù)防。”位于亞特蘭大的安全咨詢公司C G Silvers 首席安全專家Chris Silvers表示。
那些愿意借助社交媒體分享而且常常過(guò)于隨意與人分享的員工，很容易成為那些黑客們攻擊的對(duì)象。這些黑客常常假裝是合作伙伴或者其他熟悉的人來(lái)誘使這些員工分享其敏感信息，包括密碼和公司敏感信息。
“任何時(shí)候把工作郵箱或者某個(gè)活動(dòng)與社交媒體綁定，對(duì)企業(yè)數(shù)據(jù)而言都是一個(gè)潛在的威脅。”咨詢和培訓(xùn)公司Social-Engineer首席安全專家Chris Hadnagy表示，他們發(fā)現(xiàn)那些在LinkIn和Facebook中使用公司郵箱的人，很容易招致黑客順著其郵箱來(lái)追蹤其發(fā)布到網(wǎng)上的信息，包括微信、博客以及發(fā)布到各種論壇中的帖子，通過(guò)這些內(nèi)容黑客們可以輕易找到它們感興趣的信息，包含其個(gè)人的和其工作單位的。
對(duì)于他們，培訓(xùn)和教育是關(guān)鍵。“員工需要一個(gè)好的教育和培訓(xùn)課程，讓他們認(rèn)識(shí)到，如果他的個(gè)人信息被公布在某個(gè)網(wǎng)站的某個(gè)地方，那么很有可能一些黑客會(huì)參考這些信息借助社交媒體或者通過(guò)郵件來(lái)欺騙你。”Hadnagy說(shuō)。他建議，公司應(yīng)該為員工在工作時(shí)使用社交媒體制定一些規(guī)范。如果可能，員工應(yīng)該在社交媒體上分別建立工作賬號(hào)和個(gè)人賬戶。此時(shí)，黑客仍然可以通過(guò)技術(shù)來(lái)跟蹤員工，但畢竟難度要大大增加。
過(guò)度分享有時(shí)還會(huì)以一種看似無(wú)辜的方式出現(xiàn)。Lohrmann介紹說(shuō)，有些父母親為了取悅孩子，讓孩子們?cè)谄涔ぷ饔玫氖謾C(jī)或者平板電腦上玩游戲或者看視頻，這會(huì)讓這些設(shè)備處于威脅之中，最糟糕的是，黑客可能誘使孩子們進(jìn)入惡意網(wǎng)站并借此獲得對(duì)設(shè)備的訪問(wèn)權(quán)限。為了避免這種情況的出現(xiàn)，員工應(yīng)該簽訂一些安全協(xié)議，禁止把公司設(shè)備給他們的朋友和家人使用。
本質(zhì)上，安全問(wèn)題最終都是靈活性和安全可控之間的平衡。對(duì)靈活性追求高就要犧牲一些安全性，反過(guò)來(lái)也是如此。“我們的確應(yīng)該允許一定靈活性，讓員工可以在他們的智能手機(jī)上做他們想做的。”Aliber說(shuō)，比如下載一些App，但是為了保護(hù)企業(yè)數(shù)據(jù)的安全又不允許過(guò)多靈活性存在，于是，我們就必須把握好這個(gè)度，既能保證安全同時(shí)也能方便使用。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。