为积极响应国家和地方政府的抗疫要求,很多企业在近期均开启了延迟或变更了常规的办公作业模式。在数字化经济如火如荼的今天,远程协作或办公已经成为企业运营的新常态。企业根据自身业务发展需求,通过自建或采购网络远程接入或云端办公协作等信息化方案,可以在任何地点、任何时间、使用任何设备实现远程灵活协作及办公,满足大家在邮件/公文沟通,流程/文档协作,视频电话会议,文件共享,以及其他行政管理等方面的需求。

但是,从另一个角度,企业在利用这些网络和数字化技术时,应考虑适当调整企业安全策略,确保网络及信息安全,才能平稳有效地降低疫情对经营和发展造成的风险。

基于德勤在企业网络安全咨询方面的经验,并结合当前的网络安全威胁趋势,我们建议企业关注以下风险:

1、既有安全策略及控制流程,在适配新业务运行场景下的适配性风险可能增加题

随着疫情的演进,越来越多的员工或合作方,将变更既有的业务流程、作业模式,以最大程度的恢复企业运营。而与之对应的安全控制也需要进行响应调整,对应的安全依赖模式或设施也需要更新配置。简单来讲,不能因为在特殊时期就绕过或放弃必要的风险控制措施,相反当前恰恰是更新安全控制方式、提升协作效率的机会。

2、远程访问和协作需求的增加,使得企业远程服务在接入能力和安全保障方面面临压力

相比较平时的远程访问规模,疫情时期,持续且多组织单元的远程访问,需要更大的远程访问能力和容量,也需要企业开放或扩展更多的内部服务接口、数据访问权限到网络边界或Internet公共网络,这些临时调整的网络安全策略,将使得组织或企业自身的网络安全面临新的受攻击威胁。

3、企业敏感数据外泄、或不受信环境落地的风险增加

通过家庭网络、家用设备进行远程访问和协作的机会增多,员工在处理企业敏感数据过程中,可能使得此类数据暴露在未受保护的家庭网络、社交网络或第三方平台和软件上。

4、对疫情的过度关注,造成员工心理压力增大,规范的工作习惯和网络安全意识处于较弱状态

疫情之下,员工将接收到来自内部和外部的众多信息,这可能会对员工进入工作状态构成心理压力,在应对诸如钓鱼攻击、水坑攻击、欺诈电话等威胁方面降低警戒性;缺乏了安全意识环境的约束,在处理业务过程中更容易发生人为操作失误、或将敏感权限/账号共享等错误的行为。

5、家庭网络节点和终端设备的安全风险提升

智能网络的发展,使得众多安全功能参差不齐的智能网络设备进入家庭网络环境,其众多的安全漏洞(路由器、智能音箱等)存在传输安全风险,也已被不同的安全机构警示;同时,企业标准设备也可能面临安全配置更新、未知USB设备接入、设备故障无法及时恢复等维护风险;而对于使用BYOD设备的用户,则更容易因设备缺乏基本的终端防护功能(杀毒软件、补丁更新等)等遭受可能的APT攻击。

6、未恰当使用的第三方平台和工具

企业应根据自身实际需求,合理规划和恰当配置使用第三方平台和工具,例如桌面级的远程控制软件、第三方的网盘、在线项目协作工具等,避免其绕过企业现有的网络安全防护策略,成为企业网络控制的后门或新的shadow IT设施。

7、业务数据丢失风险增加,企业应启动灵活备份策略

在特殊时期,企业为确保数据完整,应根据自身情况及数据级别调整数据备份策略。

综上,短期来讲,企业应快速确认业务安全边界,即梳理核心业务的远程连接需求,明确相关风险,厘清更新后的业务安全边界和底线,尤其是对于特定行业,应合理规避与之相关的业务合规风险。

同时,企业应避免因为次要需求,造成破坏整体安全管控水平的大量例外情况;对于企业内部的IT安全运行来讲,或因受限访问造成某些安全功能失常、安全响应滞后等问题,应予以关注和跟踪,细化安全监控颗粒度,丰富远程运营场景下的监控维度;同时实现企业远程和移动办公在网络威胁方面的最小化暴露窗口,屏蔽任何攻击者可能通过访问传输中的、或在移动设备上的敏感数据,降低企业被攻击的可能性。

除此之外,具体而言,对于不同情况的企业,也应采取不同侧重的安全应对策略:

1、对于未曾实施远程访问和协作方案、不具备规模化远程办公的企业:

根据业务规模和行业特点,评估远程业务协作办公的范围和模式;

根据远程办公平台或软件在使用/合作协议、数据所有权及隐私保护、行业安全认证、可移植性/可替代性、可用性等方面的特点,合理引入适用于特定业务场景的协作工具。避免盲目接入、频繁更换、无人管理维护等情况;

明确接入第三方办公服务的范围,明确与第三方系统集成的边界,加强敏感数据接口的安全访问控制;

增强对企业自有信息化服务及系统的安全监控和防护,并安排与之对应的安全响应及分析角色。

2、对于具备灵活的远程访问和协作方案的企业:

充分开展员工远程业务协作模式的网络安全意识培训,并及时跟踪可疑的安全访问和异常情况;

IT及安全部门应启动特殊场景下远程办公的安全预案,设计与之对应的应急响应流程;

对提供远程接入和协作的服务设施进行重点保障,例如:VPN服务的可用性和安全性,邮件服务及数据的安全性保障等;

增强已开放的远程访问服务及接口的安全保护措施(包括但不限于多因素认证、多维度监控、特权及时注销等),以及对应的服务应急预案,增强业务及网络服务弹性;

强化企业全网的安全监控和分析能力,尤其关注堡垒主机等特权访问行为,并进行跟踪和复合;

重点监控敏感数据的使用和落地情况,尤其是对提供敏感数据传递的核心业务服务(例如邮件、业务运营平台等);

优先选用企业已核准的远程办公及接入方案,组织内尽量避免临时使用第三方软件分享敏感信息;

及时在企业内网云端进行重要数据备份,并提供多个历史备份版本(例如每周备份等)。

3、其他应关注的安全风险场景:

无人值守企业办公室的网络安全:

加强办工场所的物理访问限制;

合理安排远程和现场的值班安全监控,建立符合业务需求的远程/现场的值班制度,确保对机房、网络、系统、应用程序运行状况和资源使用情况均有值班人员实时监测,并对异常情况进行及时响应;

关闭办公场所不必要的周边网络设备和节点。

做好员工个人隐私的数据保护:

响应疫情控制要求,企业在对员工进行健康信息统计和管理过程中,应严格控制此类数据的访问、传输和使用,确保有限的知悉范围;

针对可能的临床和医疗数据,应设置企业重要数据的保护级别,避免第三方平台使用。

随着疫情的逐渐好转,以及正常工作模式的逐渐恢复,企业应做好远程办公阶段的例外情况、特殊规则、临时方案或入口的清理工作,对企业网络安全运行情况进行整体盘点和更新,并对适合业务发展模式、增强安全控制的措施,应面向零信任安全架构,从网络结构、身份认证、应用级访问控制策略等方面,将疫情时期的个别实践进行归拢和整合,实现企业在经营秩序恢复的同时,完成网络安全基础设施弹性能力的优化升级。

声明:本文来自德勤Deloitte,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。