企業保護信息安全的12個方法

   信息安全是一個系統性的過程。企業應當以數據為中心構建健全的信息安全機制。保障信息安全除了依靠系統化的策略和方法，還有一些立竿見影的招數。

    1、IT要保證自己知道哪些數據需要保護，數據存在於哪裡，誰需要訪問這些數據。確保部署適當的控制，僅將數據的訪問權限制給授權用戶。

    2、有些IT人員需要管理特權，但卻不需要讀取電子郵件的特權。要確保IT管理員和非管理員的活動都擁有不同的賬戶和口令。要“分而治之”，而不要搞“一鍋粥”。

    3、確保可以監視安全日志，用以保證可以查找發生在網絡上的任何異常或任何不正常的行為。

    4、要保證所有的設備都擁有用戶名和強健的口令，而不是使用默認的賬戶。

    5、實施入口和出口過濾，僅允許業務需要的端口和服務。IT應當經常檢查系統配置是否合規，確保其安全性。

    6、禁用不能與目前的雇員或其它利益關系人發生關聯的任何賬戶，並創建一個在用戶離職時能夠禁用其賬戶的過程。

    7、務必使用Web應用程序防火牆和應用程序層的安全來保護你的應用程序免受SQL注入攻擊、跨站腳本攻擊和其它類型的攻擊。

    8、經常組織安全培訓。要耐心地向雇員講解為什麼要選擇、如何選擇安全的口令，講解點擊陌生郵件中的附件會產生哪些潛在威脅。

    9、禁用所有可移動存儲設備的自動運行功能。

    10、確保在所有系統上都運行反間諜軟件，保證所有的用戶系統都能得到及時更新。

    11、從終端用戶的機器上移除游戲、賭博軟件等與工作無關的程序，從服務器上清除不必要的軟件，禁用不必要的服務。如果機器上需要八個應用程序，就不應當存在十個。為每台機器部署一個標准化的鏡像，在必要時使用此鏡像。並由管理員定期檢查此鏡像的完整性。

    12、確保僅能從內部訪問路由器，要確保防火牆或過濾器能夠丟棄除明確允許的服務和端口之外的所有通信。