有組織的犯罪集團(tuán)正在使用越來越復(fù)雜的網(wǎng)絡(luò)攻擊手段。這些犯罪集團(tuán)在網(wǎng)上的自由職業(yè)市場中招募黑客，藉以攻破IT系統(tǒng)并進(jìn)行定制化的網(wǎng)絡(luò)攻擊。諸如銀行、政府機(jī)構(gòu)和零售商等業(yè)務(wù)涉及在線交易的企業(yè)，都面臨著重大的風(fēng)險(xiǎn)。

[[118756]]

亞太區(qū)的在線交易數(shù)量大幅增長，且沒有減緩的跡象。以零售業(yè)為例，F(xiàn)orrester Research預(yù)測，在中國、印度、日本、韓國和澳大利亞等亞太區(qū)五大市場的電子商務(wù)規(guī)模已接近美國和西歐在線零售業(yè)務(wù)的總額。預(yù)期到2018年，這五大市場的在線零售額將達(dá)到8,580億美元，是2013年的兩倍多[1]。然而，與此同時(shí)，復(fù)雜的網(wǎng)絡(luò)犯罪正以指數(shù)增長。

先進(jìn)的、精通技術(shù)的犯罪網(wǎng)絡(luò)已經(jīng)崛起，其利用信息共享和數(shù)據(jù)盜竊工具來繞過安全系統(tǒng)。一項(xiàng)對福布斯全球2,000強(qiáng)企業(yè)的調(diào)查發(fā)現(xiàn)，92%的受訪企業(yè)在過去12個(gè)月內(nèi)出現(xiàn)過數(shù)據(jù)泄露[2]，而全球網(wǎng)絡(luò)犯罪黑市目前在每年帶來大約1,040億美元的損失[3]。

然而受到威脅的并非只有這些大企業(yè)，中小型企業(yè)也特別容易受到網(wǎng)絡(luò)攻擊，原因在于他們通常缺乏資源和專業(yè)知識來分析流量模式并發(fā)現(xiàn)網(wǎng)絡(luò)異常活動。在這樣的環(huán)境中，從事在線交易的企業(yè)需要考慮的不是他們是否會成為攻擊對象，而是何時(shí)會成為攻擊對象，并制定相應(yīng)的計(jì)劃。

狡猾的敵人正在不斷演進(jìn)

任何收集個(gè)人信息或財(cái)務(wù)信息的在線交易都面臨被侵襲的危險(xiǎn)。有組織的網(wǎng)絡(luò)罪犯不斷尋找更聰明的方式來攻破安全系統(tǒng)，從而盜取信息。

另外一個(gè)讓人不安的趨勢是，企業(yè)經(jīng)常在最需要安全防護(hù)的時(shí)候(高峰期)放松警惕。許多企業(yè)為了避免主要系統(tǒng)中斷，選擇暫停對IT安全系統(tǒng)的變更和更新，形成“IT封鎖”。結(jié)果，防護(hù)變得更加脆弱，并有可能面臨災(zāi)難性的后果。

管理威脅

無論規(guī)模大小，任何需要收集客戶機(jī)密信息的企業(yè)都必須確保合規(guī)并達(dá)到可接受的安全標(biāo)準(zhǔn)，以盡可能減少欺詐和網(wǎng)絡(luò)犯罪。

企業(yè)還需要明白，如果出現(xiàn)錯(cuò)誤，其聲譽(yù)和品牌形象將面臨風(fēng)險(xiǎn)。對于在線交易，客戶希望自己的信息得到良好的保護(hù)，而他們對信任的品牌和機(jī)構(gòu)更有特別高的期望。為此，企業(yè)更應(yīng)當(dāng)積極地保護(hù)他們的系統(tǒng)，避免自己的信譽(yù)和銷售受到嚴(yán)重影響。

打擊網(wǎng)絡(luò)犯罪需要綜合的安全措施，包括主動規(guī)劃和風(fēng)險(xiǎn)管理策略，以破解攻擊的整個(gè)生命周期。這意味著加強(qiáng)投資，在應(yīng)用層以及硬件和軟件接口進(jìn)行預(yù)防和實(shí)時(shí)威脅檢測。在發(fā)現(xiàn)攻擊或預(yù)測到潛在攻擊時(shí)，企業(yè)的應(yīng)對措施非常重要，需要立即做出反應(yīng)以遏制攻擊。

企業(yè)需要確保他們擁有如下防御手段以抵擋網(wǎng)絡(luò)攻擊：

在信任的同時(shí)驗(yàn)證——確保用戶使用雙因素認(rèn)證或其它有效的認(rèn)證方法登錄，或進(jìn)行賬戶訪問驗(yàn)證。

辯識威脅和漏洞——掃描應(yīng)用和網(wǎng)絡(luò)以預(yù)防入侵。這應(yīng)當(dāng)包括修補(bǔ)已知的漏洞、更新企業(yè)防火墻和防入侵系統(tǒng)，以及定期進(jìn)行滲透測試以確保漏洞已被修復(fù)。

使用網(wǎng)絡(luò)應(yīng)用掃描與監(jiān)測——在線交易的好處是24小時(shí)服務(wù)，但這也意味著需要全天候的安全監(jiān)測。持續(xù)的安全測試對于移動應(yīng)用也很重要。

為最壞的情況制定應(yīng)對計(jì)劃

由于各種原因都可能造成安全事故，企業(yè)很難預(yù)防所有入侵。但通過綜合的方法，可以降低風(fēng)險(xiǎn)和安全相關(guān)的成本，并更好地控制局勢。

企業(yè)應(yīng)當(dāng)制定跨越整個(gè)安全生命周期的解決方案，從主動規(guī)劃和風(fēng)險(xiǎn)管理策略到即時(shí)的應(yīng)對措施。工作重點(diǎn)包括：

· 清晰的流程和政策計(jì)劃，以在安全事件之后收集和分析證據(jù)。

· 遵守規(guī)章制度，以在事故發(fā)生后協(xié)助司法調(diào)查和審計(jì)。

· 高效的備份與恢復(fù)，以降低數(shù)據(jù)丟失或刪除帶來的后果。

對于保護(hù)企業(yè)和客戶來說，迅速的回應(yīng)在網(wǎng)絡(luò)攻擊事件中至關(guān)重要。如果機(jī)密信息被盜，必須盡快告知客戶，讓他們可以通知其信用卡公司。在任何后續(xù)調(diào)查中準(zhǔn)確地回答安全問題非常重要，這個(gè)步驟能保護(hù)企業(yè)，并針對侵權(quán)進(jìn)行辯護(hù)。

降低風(fēng)險(xiǎn)

在當(dāng)今高度復(fù)雜和有組織網(wǎng)絡(luò)犯罪的情況下，任何電子商務(wù)企業(yè)都難以確保安全。企業(yè)不能奢望完全消除網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)，而又不犧牲業(yè)務(wù)運(yùn)營的重要功能。

安全就是持續(xù)地應(yīng)對不斷變化的技術(shù)和新威脅，以及平衡安全措施和運(yùn)營需求的過程。通過將網(wǎng)絡(luò)犯罪看作重大業(yè)務(wù)威脅并相應(yīng)地制定計(jì)劃，企業(yè)可以大幅減少受攻擊范圍、降低風(fēng)險(xiǎn)并預(yù)防攻擊帶來的危害。

關(guān)于作者

謝少毅先生現(xiàn)任惠普公司全球副總裁兼中國惠普企業(yè)服務(wù)集團(tuán)總經(jīng)理，負(fù)責(zé)推動中國企業(yè)業(yè)務(wù)增長及實(shí)現(xiàn)財(cái)務(wù)目標(biāo)，幫助客戶獲得更高的商業(yè)價(jià)值并為公司培養(yǎng)人才。謝少毅先生近在惠普中國及亞太區(qū)擔(dān)任過多種領(lǐng)導(dǎo)職位，在IT行業(yè)超過擁有15年的管理經(jīng)驗(yàn)。

[1] Forrester Research公司，2013至2018年亞太區(qū)在線零售預(yù)測，2013年11月26日。

[2] 企業(yè)安全基準(zhǔn)調(diào)查，Ponemon Institute，2012年11月。

[3] 網(wǎng)絡(luò)安全專家評出的重大趨勢，Ponemon Institute，2013年5月。