内部人员是企业最大“漏洞”，密码保护数据的方式极其脆弱

近日，Twilio和思科两家公司的员工成了黑客的突破口，再次证实了人员管控是企业网络安全的薄弱环节。

勒索软件组织声称窃取了思科2.8GB数据。

调查显示，攻击者冒充各种受信任组织对思科内部员工进行了一系列语音网络钓鱼攻击和MFA疲劳攻击，大量发送钓鱼验证信息，该员工不慎（误操作或不小心）确认了其中一次验证请求，从而使攻击者能够访问VPN和关键内部系统，造成大量数据泄露。

内部人员是企业最大“漏洞”，密码保护数据的方式极其脆弱。

企业不能仅仅依靠员工来识别日益复杂的网络攻击，即便目标企业自身也是（像思科这样的）网络安全技术巨头，同样也会因为员工疏忽而被攻击。

调查研究表明，19%的网络安全事件是由于被盗或泄露的凭据造成的，16%的安全事件是网络钓鱼造成的。因此，基于密码保护的数据是不够安全的。

企业平均每年要遭遇700次社会工程攻击，即使是严格遵守网络安全的员工也无法避免犯错。毕竟，攻击者只需要误导员工一次即可成功获取他们的登录凭据。

攻击者一旦获取凭证权限，就可窃取密码下的所有数据，包括邮件数据、数据库数据、系统数据，甚至发动熟人钓鱼攻击，或直接植入木马程序，感染更多其他用户，从而扩大攻击面。

企业保护数据安全的策略有哪些？

1、对敏感且涉密数据进行加密授权保护

企业机构应加密传输和储存敏感数据，对数据加密可有效防控数据泄露，密文数据对黑客来说不具有利用价值。此外，对数据应有授权访问保护，无关人员无法打开浏览内容，更无法拷贝数据。

2、部署数据防泄漏系统（DLP）

政企等涉密机构，可部署数据防泄漏系统，可有效避免内部人员无意或恶意的数据外泄。数据防泄漏系统会对内容进行识别，通过识别可扩展到对数据泄漏的防控，可定位敏感数据位置、监控敏感数据的使用情况以及采取阻断和审批加密的策略，防护敏感数据外泄。

3、数据管控

数据管控策略可有效避免“内鬼”将机密外泄。常见的管控技术有：访问权限管控、水印溯源管控、离职管控、加密管控、上传管控等。

企业级用户应与专业的安全机构开展合作，制定符合企业需求的网络安全措施和策略，才能有效避免系统漏洞、软件漏洞和人员管理缺失等安全问题导致的敏感数据泄露。