社交網(wǎng)站成敏感數(shù)據(jù)新來源或成威脅企業(yè)IT安全的噩夢
《福布斯》雜志網(wǎng)絡(luò)版今日撰文稱，社交網(wǎng)站不經(jīng)檢查的數(shù)據(jù)流正成為敏感數(shù)據(jù)的新來源，給大規(guī)模黑客攻擊創(chuàng)造了條件，有人甚至認為社交媒體會成為企業(yè)IT安全部門的噩夢。同時該文呼吁稱制定社交網(wǎng)站流量安全政策迫在眉睫。
以下為文章全文：
Twitter、Facebook、Gmail、LinkedIn、Skype，類似這樣的社交網(wǎng)站還有很多很多，在十億社交網(wǎng)站用戶中，絕大多數(shù)經(jīng)常一邊工作一邊玩社交媒體。這種不經(jīng)檢查的數(shù)據(jù)流正成為敏感數(shù)據(jù)的新來源，也帶來安全漏洞，給大規(guī)模黑客攻擊創(chuàng)造了條件。從技術(shù)角度講，雖然制定社交網(wǎng)站流量安全政策存在一定難度，但仍必須制定這樣的政策。
如果你的朋友或家人曾讓你幫助解決PC速度變慢的問題，那你一定知道，普通家庭用戶喜歡點擊任何一處鏈接，喜歡接受任何朋友發(fā)出的邀請，甚至喜歡安裝來自任何一個網(wǎng)站的軟件。你可以分辨?zhèn)€人社交網(wǎng)站和職業(yè)社交網(wǎng)站之間的不同，比如Facebook和LinkedIn的區(qū)別，它們由于不同的原因吸引不同的用戶，但問題是大多數(shù)用戶并不擅長將個人生活和職業(yè)生活區(qū)別開來。我們可能會用Google Buzz賬戶的密碼去作為登錄公司活動目錄(Active Directory)和Salesforce.com的密碼。
黑客們當然清楚，現(xiàn)在電子郵件保護技術(shù)相當成熟，相比逃避電子郵件內(nèi)容過濾工具的檢查，誘使用戶點擊社交網(wǎng)站上的鏈接更容易一些。這些偷渡式下載(drive-by download)攻擊可以使個人電腦和公司電腦感染各類惡意軟件?，F(xiàn)已略顯落伍的病毒正被攻擊目標更明確的定制式惡意軟件所取代。惡意軟件的威脅性更大，甚至能達到專業(yè)人士所稱的“高級持續(xù)威脅”(APT)的程度。
國際知名廠商EMC旗下安全部門RSA稱，該機構(gòu)電腦系統(tǒng)近期遭受黑客攻擊威脅，他們通過社交網(wǎng)站尋找公司重要職員的詳細資料，然后將惡意軟件以嵌入微軟Excel電子表格的Adobe Flash形式，通過魚叉式網(wǎng)路釣魚(Spear phishing)發(fā)送至目標電腦。那些黑客用來搜集目標人群信息的社交網(wǎng)站就成了“病毒載體”。
IT部門主管在社交媒體使用問題上面臨著兩大挑戰(zhàn)：一是如何保護網(wǎng)絡(luò)免遭黑客攻擊，二是如何保證生產(chǎn)率，在前一種情況中，黑客通過公司合作伙伴、外包商和員工使用的社交網(wǎng)站獲取信息，在后一種情況中，由于員工思想處于“持續(xù)連線”狀態(tài)，他們希望不斷與工作和社交網(wǎng)站保持聯(lián)系，這樣，生產(chǎn)率肯定會受到影響。
總之，只要經(jīng)過適當?shù)陌踩庾R培訓，同時制定合情合理的用戶政策，員工完全可以使用這些網(wǎng)站。同時，企業(yè)應(yīng)該監(jiān)督員工使用社交媒體或社交網(wǎng)站的情況，無論是出于個人目的還是職業(yè)需要，以保證他們遵守公司內(nèi)部政策，降低發(fā)生欺詐事件的概率。最重要的是，要具備從網(wǎng)絡(luò)內(nèi)監(jiān)督社交媒體使用情況的能力，如可以識別哪些用戶正在使用哪些社交媒體服務(wù)，可以確定使用社交媒體服務(wù)的規(guī)模和方式，可以檢查并警惕傳輸給那些社交媒體服務(wù)的內(nèi)容。
在工作場所使用社交媒體的問題上，各方都應(yīng)承擔起自己的責任：員工有責任保持警惕，無論是在辦公室、家中，還是在巴哈馬群島度假;企業(yè)有責任推出定義清晰的安全政策，保持開放的姿態(tài)，對高級管理層提出合情合理的要求。
【編輯推薦】
