許多公司花了一筆錢建置安全機制來抵禦各種威脅，但卻因為一些常見的疏失導致其成效為零，結果導致進退兩難甚至帶來大災難。要避免這些問題在安全專家們眼中並不困難，而且幾乎都不需要額外的花費。(資安之眼編譯)

以下就是你應該要避免的十個常見的安全地雷。

1. 防止公司機密從指尖滑漏

許多最普遍的安全問題可能起源於一些不起眼的技術習慣。例如，微軟Outlook或其他郵件系統中的電子郵件位址具有“自動完成”功能，員工迅速填寫電子郵件位址時，假如輸入一個同事的名字，郵件位址下拉清單中可能會自動出現另一些類似姓名的郵件地址。員工由於不仔細，匆忙中指尖一滑就進行了選擇，郵件便發給了別人，而他還以為自己的郵件只是發給了內部的某個同事。很多人可能都遇到過這樣的危險。要是電子郵件中含有關於公司的敏感資料，那麼商業機密就會外泄。

賽門鐵克公司的行銷與產品高級經理Steve Roop表示，如果更多使用者學會停用微軟Outlook及其他郵件系統中的電子郵件位址“自動完成”功能，就能避免很多起因粗心大意釀成的資料遺失事件。

Roop表示，多達90%的資訊洩漏事件與電子郵件方面的一些用戶失誤有關。其實只需要禁止自動填入之類的功能，儘管今後輸入郵件位址時可能會麻煩些，但這起碼可以讓公司免除許多頭痛的洩密事件，而且無需額外成本。

2. 人們往往會不加思索地洩漏他們的密碼和其他機密資訊

很多時候，其實是企業內部的使用者，而非外部入侵者，要對洩露密碼及個人資訊所導致的外來攻擊承擔責任。

雖然很多人對網路釣魚、間諜軟體和駭客網站早有耳聞，可他們依然會心甘情願地交出自己的個人資訊，無不會想起要檢查一下他們的資訊是否會被用於欺詐的目的。McAfee的安全研發與通信經理Dave Marcus說，“人們總是以為呈現在眼前的網站是合法的，而這在Web世界中恰恰是個最要不得的誤解。竊取某人網路身份的最簡單的辦法就是要求他們提供這些資訊。”

3. 警惕那些你認為靠得住的合作夥伴

Roop認為，另一個常見的安全錯誤出現在這些用戶當中： 他們認為可以把人力資源資料等敏感資訊發送給業務合作夥伴或者外包供應商。要是發送的資訊沒有經過加密，這種危險就更大了。

他說：“人力資源外包服務提供商的人員有可能不會有太強的安全意識，不經意間把試算表發到別處，或者把資料存放到不安全的筆記型電腦上，這就是一種安全隱患。”

4. 基於Web的應用可能會招致資訊洩漏

McAfee公司的安全研究與溝通經理Dave Marcus認為，導致許多安全問題的一種常見行為包括使用網路郵件，或者允許員工從公司網路存取音樂下載及檔案分享服務。

這種Web應用會繞過公司的安全篩檢程式（如同webmail的情況），或者打開連接到外界的通道，進而給公司內部帶來病毒或者更嚴重的威脅。

如果員工把工作帶回家做，這種風險就會大大增強。Marcus認為，如果他們沒有使用公司VPN而直接傳播郵件，關鍵資料就有可能失竊。

其實CIO只要執行安全策略，要求員工在VPN或者加密通道上使用安全郵件用戶端軟體（針對電子郵件）；或者禁止使用者把應用程式安裝到工作電腦上，也不允許他們把資料拷貝到可行動裝置上，就很容易避免這些問題。另外還應該阻止員工使用電子郵件給自己發送資料，以免這些未經加密的郵件被半路截取。

5. 一心祈禱著要避免問題只會讓情況更糟糕

沒有人想要去洩露資料，但是你必須假設有人會這麼做才行，Mandiant公司的CEO Kevin Mandia忠告說。該公司專門提供資料洩密後的分析服務和軟體工具。事實上，每個組織都可以採取一些步驟以減少資料洩密時的影響，但不幸的是，大多數企業卻太晚才去測試或者建立他們的處理策略。

每家企業都應該跟蹤資料流，記錄誰在何時存取何種系統。但實際上很少有企業在這麼做。Mandia說，“毫無疑問，最常見的錯誤就在於沒有記錄下發生了什麼。一旦有人聘請我們，我們要問的第一件事就是有沒有相關記錄。而通常的情況是，人們在處理TB級的資料，但卻沒有正規的記錄。所以幾乎在每次洩密事件中，當我們進入企業，詢問他們到底發生了什麼時，得到的總是閃爍其詞的回答。”

6. 迴避或推卸責任只會讓問題惡化

許多公司沒有任命某個領導人或者小組來負責回應安全事件、調查重要細節，結果也大大限制了回應事件的能力。在許多公司，這成了推卸責任的藉口；而另一些公司讓太多的人參與洩密事件回應工作，結果這麼多的人反而妨礙了相關的調查工作。

Mandia說，“有些公司讓太多的人參與決策過程。我們加入後，得向12個人說明情況，但實際上其中有10個人並沒必要參加。”

7. 處理資料外洩事件時打草驚蛇

另一個常見問題是，許多公司通常沒有針對洩密事件進行保密。這樣一來，員工聽到風聲後，會立即設法保護自身利益，進而增加了調查的難度。

Mandia表示，如果事件牽涉到內部人員，他們知道行蹤敗露後，可能會立即清理掉一些證據（而這些證據原本可以幫助調查人員查明真相），這樣就為釐清責任帶來很大困難。

8. 可信賴的“銀彈”技術其實隱藏了真正的威脅

隨著涉及IT和資料安全人士的法規措施越來越多，許多公司投入大筆資金用於技術性解決方案，以防堵漏洞。但它們通常以為，採用某項技術或者符合某個方面的法規就能高枕無憂了，事實並非如此。

Security Incite公司的分析師Mike Rothman說：“我看到的最主要問題就是，人們以為採取佈署防毒軟體、進行修補和執行漏洞掃描之類的簡單措施後，就真正符合要求了。他們並沒有從風險管理的角度來看待問題。”

不少公司審查了數量有限的安全更新，得到及格分數後就認為再也不需要加強工作。Rothman說：“人們常常以為，一旦進行了積極審查，就大功告成了。之後，駭客們會證明其實並非如此。”

9. 在不該投入的地方浪費了資源

Rothman表示，公司常常會掉入另一個與法規遵循有關的安全陷阱： 不管IT系統對公司的安全和成功具有的重要性如何，一律投入同樣的精力或者費用來保護。

他說：“有些人犯的錯誤就是，對所有安全問題一視同仁；為保護只有五人使用的舊應用系統所投入的時間和資金與所有客戶使用的線上應用系統相同。”

這種做法浪費了資金，一旦預算花光，以後還會留下更嚴重的問題。Rothman說：“安全人員常常不知道如何優先處理重要問題。他們應當關注假設某個方面出現洩密會有什麼樣的後果，然後再考慮如何設定開支。”

10. 放棄不該保存的資料

另一種常見情形給安全人士和法規遵循人士帶來了災難，那就是：許多處理信用卡和金融卡的公司對保存帳戶資訊的交易日誌系統不設防，而這種交易日誌就會導致客戶資料外洩及PCI稽核的失敗。

“他們自然意識不到，就在他們存儲資料時，駭客或心懷不軌的員工就可以複製假信用卡。”賽門鐵克的Roop說。“這是PCI法規的基礎性錯誤。在最近的案例中我們實際上已看到過這種例子。它是個大地雷，極有可能導致無效的PCI稽核。”

就連沒有收集信用卡資料的公司也要確保只保存現階段業務所需的資訊。Roop忠告，如果沒有明確保存資訊的需要，卻保留了可能被攻擊者利用的資訊，那是自找苦吃。如果資料非要保存，就應該確保訂定了保護機制。

2