2011年剛過了一半不久,世界各地的企業(yè)信息安全事故便已接二連三爆發(fā), 其中不少受害機構更是知名企業(yè), 互聯網安全解決方案供應商Check Point 軟件技術有限公司指出，此等網絡犯罪案件有其共通性,企業(yè)應該從中學習預防之道。

社交工程攻擊

梁國賢表示，此等攻擊的另外一個相似之處，是它們都采用社交工程技巧。網絡罪犯先鎖定及操縱企業(yè)內部的員工，以“破解人心”的方式滲透進公司系統(tǒng)。不幸地是，用戶通常是公司安全系統(tǒng)中最脆弱的一環(huán)。黑客永遠都能找到有漏洞可攻擊的使用者：或許是安全意識不足的新進員工，或是過度熱心，以致于不小心透露太多信息的秘書。一旦進入公司系統(tǒng)后，黑客就會不動聲色地運作。他們會在被偵測到且公司開始進行調查之前，盡可能潛伏并竊取最多的信息。有時甚至可能長達數年。

此外，這些網絡罪犯不再是各自獨立的業(yè)余黑客。他們類似恐怖份子，具有資金、動機及目標，組成精密組織。黑客部署相當多的智慧、時間及資源，精心策劃社交工程攻擊及收集信息財產。其造成的損害大小，完全取決于攻擊者的主觀意愿。

黑客的金礦：信息
梁國賢指出，財務信息不是唯一值得竊取的高價值數據。從這些入侵事件中所見，攻擊者尋求較多的是一般的客戶信息，而少為特定的賬單或信用卡數據，這類信息對垃圾郵件寄發(fā)者而言非常值得利用。

企業(yè)的客戶數據庫記錄，包括通訊方式、姓名及電子郵件等，就等于擁有許多寶貴的信息。此信息可用來制作自定義化的垃圾郵件，加注用戶的姓名、詳細數據及興趣后，便顯得十分逼真可信。比起一般的垃圾郵件，容易使得使用者開啟自定義的垃圾郵件并按下鏈接，使垃圾郵件寄發(fā)者的獲利。

亡羊補牢未為晚也
梁國賢表示，公司不應抱持著已善盡本份，因此不會受到攻擊的錯誤觀念。鎖定目標的攻擊日益增加，沒有任何公司能完全幸免。企業(yè)必須在網絡罪犯及其公司網絡和資產之間，盡可能建構更多的屏障。

保護應從涵蓋網絡、端點，以及連接網絡等多重安全性裝置間部署清晰安全策略開始。企業(yè)需要進行多層保護，包括功能強大防火墻及入侵防御系統(tǒng)(IPS)來偵測混合威脅；全面化端點安全解決方案，以保護端點及行動裝置安全；預防性的數據外泄解決方案來保護信息資產。安全策略必須配合公司商務目標，并讓內部員工充分了解。此外，企業(yè)應該重新仔細檢視數據資產的取用方式，以重新評估如何做出最妥善的保護。

梁國賢表示，在關閉對預設攻擊者的“大門”外，企業(yè)也必須努力防備其長期的“后門”—也就是使用者本身。人為錯誤是技術無法單獨解決的安全問題，因為它沒有確切的修補方法。這必須依賴公司主動地敦促、訓練和教育員工，讓他們變成真正的公司信息安全衛(wèi)士。

梁國賢總結說，Check Point提倡的“3D 安全”方針就是要協助企業(yè)應對此等挑戰(zhàn)，這個理念的要點是指出安全保護應該是一個三維的立體商業(yè)流程，通過整合安全政策、人員以及到位的執(zhí)行力，為各個層面提供固若金湯的安全防護。憑著3D安全方針，企業(yè)能夠掌握及實施一個超越技術層次的安全藍圖，確保得到周全的信息安全。