网络安全–如何保护您的企业

我们审视了复杂的网络安全世界，并说明即使是简单的步骤也能使您的企业更好地免受恶意势力的侵害。

以下公司有什么共同点：玛莎百货、H&M、Co-Op、捷豹路虎、哈罗德百货、现代汽车和阿迪达斯？
答案是：它们都在 2025 年成为网络攻击的受害者。

根据《2024 年英国网络安全漏洞调查》，去年有 74% 的大型企业面临网络事件。但是，网络犯罪分子并不只是针对那些身价数十亿英镑的跨国企业：在 2024 年，70% 的中型企业和 50% 的英国小型企业发现了网络攻击，大约四分之一的英国小型企业实际遭遇了网络犯罪。

英国国家网络安全中心 宣称：”任何企业都不会因为规模太小而成为攻击目标。”
对 FESPA 会员而言，网络安全至关重要，因为他们面临着处理自身业务数据和技术以及供应商和客户数据和技术的三重问题。

因此，我们汇集了您在处理公司自身网络安全问题时需要考虑的一些关键问题，以及在网络安全遭到破坏时应该采取的措施。

企业的网络健康至少在一个方面等同于个人的健康：预防胜于治疗。你为保护企业数据做得越多，你就越不可能面临大规模的网络攻击。

为此，简单的第一步就是使用英国国家安全委员会的免费在线网络行动工具包。该工具包专为小型企业设计，易于上手和操作，并可指导您采取一些重要的个性化行动，从而在您的企业周围形成一个保护层。

这种行动并不一定很复杂。将近 25 年前，英国电脑黑客加里-麦金农（Gary McKinnon）通过寻找带有空白或默认密码的账户，入侵了美国国家航空航天局（NASA）和美国军方的 IT 系统。我们很高兴地认为，从那时起情况已经发生了变化，但网络犯罪分子仍然使用容易识别或泄露的密码来轻松访问。

如果您的密码过于简单，或者在任何其他数据泄露事件中被发现，请立即更改密码。事实上，定期更改密码虽然看起来很麻烦，但却是一个值得养成的好习惯。

顺便提一下，麦金农访问官方计算机的第二种方式是识别那些彻夜开机且无人看管的计算机终端。这是一个简单的步骤，但在一天工作结束后关闭电脑，却能以非常明显的方式防止未经授权的远程访问。

根据《2024 年英国网络安全漏洞调查》，最常见的网络威胁相对来说并不复杂，因此对组织的基本指导包括使用最新的恶意软件保护、确保有云备份、限制管理员权限、安装网络防火墙以及商定处理网络钓鱼邮件的流程等步骤。

到目前为止，网络钓鱼是最常见的网络漏洞或攻击类型，影响了 84% 的企业。其次是其他人在电子邮件或网上冒充组织，影响 35% 的企业，病毒或其他恶意软件影响 17% 的企业。

除此之外，虽然云备份很重要，但也要注意云系统。与密码问题类似，访问云系统和公开访问存储设置的错误配置也是恶意行为者的另一个切入点。确保只有需要访问此类系统的用户才能访问，并默认启用日志记录。

尽管网络安全漏洞的威胁真实而明显，但《2024 年英国网络安全漏洞调查》显示，只有 30% 的企业会定期对其网络安全漏洞进行风险评估，从而使关键漏洞暴露无遗。也许更糟的是，在许多发生网络安全漏洞的案例中，接入点都是之前已经发现但没有纠正的。

根据业务流程外包提供商Invensis 的说法”2025年最具破坏性的网络安全漏洞将不是来自未知的威胁，而是来自尚未解决的已知漏洞”。

这并不意味着你必须在疯狂的恐慌中一下子弥补漏洞；根据业务风险、数据敏感性和可利用性来确定威胁的优先级，并确保首先解决最危险的弱点。

给软件打补丁有一定的讽刺意味：补丁解决了现有软件中已发现的弱点，但补丁的公开发布也凸显了一开始就存在的弱点。因此，延迟打补丁是网络安全的一大风险。

一个组织为什么要推迟打补丁的时间是显而易见的：安装补丁时的停机问题、后续测试要求，以及系统兼容性和补丁后运行方面的遗留问题。然而，攻击者能以惊人的速度对新公布的漏洞做出反应，并制造直接威胁，如针对未打补丁系统的勒索软件活动或供应链攻击。

我们提到，对自己的网络安全进行风险评估非常重要。我们还提到，印刷商有三重问题，不仅要处理自己的系统，还要处理供应商和客户的系统。这两个问题也有交叉。

您必须监控与您合作的机构的网络安全方法，尤其是那些通过集成、远程访问或处理敏感数据为您提供服务的机构。

“随着供应链日益数字化，攻击者越来越多地利用供应商作为进入更大目标的后门。如果没有持续的风险评分、合规性跟踪、供应商分级和合同安全条款，企业仍然不知道供应商的行为如何影响其风险面，”Invensensis 说。

这种威胁并非只是理论上的。2020 年，黑客潜入 SolarWinds 的软件供应链，在其 Orion 软件中植入恶意代码，从而得以访问包括美国政府在内的数千家机构的网络。

最后，您不必孤军奋战。中小型印刷商通常有很多业务活动要处理，不需要成为网络安全方面的兼职专家，因此请专家来帮忙是一个明智的选择。

独立的网络安全公司不仅可以带来他们在现实世界中的知识和专业技能，而且让一双新的眼睛来审视您的系统，还可以发现您忽略的相对简单的步骤。就像保险一样，网络安全方面的投资并不是你真正想要实现的，但专业的安全合作伙伴可以对威胁做出更快的反应，提供更具体的知识，还可以帮助你解决业务发展过程中出现的新问题。

不过，与所有网络应用一样，不能点击一下就忘了。监督至关重要。您必须明确自己想要什么；彻底检查与您合作的组织是否符合您的要求；并确保您始终可以直接访问自己的数据和系统。

航空业在及时、集中和有效地处理迫在眉睫的危险方面一直走在前列。其方法是利用一个关键工具：检查单。

因此，如果您发现了网络安全漏洞，您应该制定一份简单的事件响应清单，指导您采取必要的行动，而不是在恐慌加剧的背景下对看不见的攻击者做出反应，从而不得不在瞬间思考并做出决定。

事件响应清单应包括

除此之外，建议企业定期进行网络漏洞模拟演习。然后，企业应进行模拟后审查，并根据吸取的任何经验教训采取行动。

在网络安全保卫战中，做好准备至关重要。