[[387115]]

圖片來源：https://pixabay.com/images/id-5096394/

互聯(lián)系統(tǒng)正在協(xié)助組織從辦公室向家庭工作轉(zhuǎn)變。對(duì)許多人而言，這種轉(zhuǎn)變并不是出于選擇，而是必然。然而，這些互聯(lián)系統(tǒng)、物聯(lián)網(wǎng)(IoT)和智能設(shè)備如果沒有得到應(yīng)有的考慮和適當(dāng)?shù)墓芾?，可能?huì)對(duì)安全產(chǎn)生深遠(yuǎn)影響。

漏洞正在擴(kuò)大，安全措施必須到位

向遠(yuǎn)程工作的轉(zhuǎn)變意味著辦公室提供的強(qiáng)大安全性已經(jīng)發(fā)生了變化，隨著我們所有的遠(yuǎn)程工作場(chǎng)所(家庭)和使用的多種設(shè)備(物聯(lián)網(wǎng)和智能設(shè)備)和服務(wù)的增加，易受攻擊的范圍擴(kuò)大了。黑客們正在利用這一轉(zhuǎn)變所帶來的漏洞，而組織正以以前沒有注意到的方式將其漏洞暴露出來。

從家用電器到聯(lián)網(wǎng)汽車，我們家里安裝了各種各樣的物聯(lián)網(wǎng)設(shè)備，而且這種情況并不少見。人們使用健康和醫(yī)療設(shè)備、環(huán)境控制、游戲和媒體設(shè)備以及攝像頭和安全系統(tǒng)，而黑客則正在利用這些不斷增加的載體發(fā)起攻擊。

此外，大多數(shù)情況下，安全協(xié)議仍局限于辦公室，并且員工在不了解所面臨的安全威脅的情況下采用技術(shù)，使用設(shè)備和服務(wù)。許多技術(shù)和服務(wù)沒有為這種轉(zhuǎn)變和服務(wù)的大規(guī)模使用做好準(zhǔn)備，而且許多技術(shù)和服務(wù)缺乏保護(hù)用戶及其組織所需的必要安全性。

特別值得注意的是，隨著許多設(shè)備相互連接并自動(dòng)相互通信，包括更新、監(jiān)測(cè)、管理和保護(hù)在內(nèi)的工作仍然是事后才想到的，或者被人們完全忽略了。

物聯(lián)網(wǎng)設(shè)備在我們的家庭和辦公室中共存，為了改善我們的安全態(tài)勢(shì)，組織需要采取積極的安全防護(hù)措施。

物聯(lián)網(wǎng)設(shè)備缺乏安全性

物聯(lián)網(wǎng)具有巨大的潛力，然而，在大多數(shù)情況下，它缺乏必要的安全措施，這可能會(huì)影響組織的安全性。物聯(lián)網(wǎng)設(shè)備是黑客可以竊取有價(jià)值信息的絕佳途徑。

由于物聯(lián)網(wǎng)設(shè)備已成為主流，而且不注重安全性，因此組織需要優(yōu)先獲得物聯(lián)網(wǎng)設(shè)備的可見性。由于這些設(shè)備的功能是提供可訪問性和連接性，因此，不安全的物聯(lián)網(wǎng)設(shè)備可能會(huì)危害組織的整個(gè)網(wǎng)絡(luò)。此外，如果遠(yuǎn)程工作人員的設(shè)備連接到公司網(wǎng)絡(luò)，則公司可能容易受到攻擊。

此外，并非所有員工都精通技術(shù)，這意味著安全性并不是他們工作的重點(diǎn)。他們不會(huì)更改默認(rèn)密碼，也不會(huì)意識(shí)到威脅和風(fēng)險(xiǎn)，因此員工本身往往是最大的安全漏洞。

物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)

物聯(lián)網(wǎng)設(shè)備缺乏安全指導(dǎo)，因此很難保護(hù)。對(duì)于制造商來說，尤其是在開發(fā)初期，設(shè)備的安全性并不是優(yōu)先考慮的問題。許多設(shè)備在推出時(shí)都是使用默認(rèn)密碼，而且用戶也沒有對(duì)其進(jìn)行更改。這導(dǎo)致了安全問題，而且許多設(shè)備(“定時(shí)炸彈”)留在家里并向黑客開放。由于許多設(shè)備天生并不安全，因此它們需要手動(dòng)進(jìn)行安全更新，然而大多數(shù)情況下，用戶不會(huì)對(duì)這些設(shè)備進(jìn)行安全更新。由于缺乏物聯(lián)網(wǎng)方面的教育和提供的安全指導(dǎo)不足，這一問題至今仍然存在。

必須評(píng)估物聯(lián)網(wǎng)通過遠(yuǎn)程工作給組織帶來的風(fēng)險(xiǎn)。組織需要評(píng)估每個(gè)物聯(lián)網(wǎng)設(shè)備可能對(duì)數(shù)據(jù)的機(jī)密性、完整性和可用性造成的風(fēng)險(xiǎn)。公司應(yīng)采取適當(dāng)?shù)目刂拼胧⒋_保接入點(diǎn)的安全。

保護(hù)措施

培訓(xùn)

確保員工了解物聯(lián)網(wǎng)設(shè)備給公司、其網(wǎng)絡(luò)和數(shù)據(jù)帶來的風(fēng)險(xiǎn)和漏洞。對(duì)員工進(jìn)行數(shù)據(jù)安全及其重要性的培訓(xùn)。培訓(xùn)家庭網(wǎng)絡(luò)風(fēng)險(xiǎn)以及確保所有設(shè)備和服務(wù)(包括屬于兒童的設(shè)備和服務(wù))不使組織面臨與安全相關(guān)問題的重要性。

遠(yuǎn)程工作人員的責(zé)任

對(duì)于組織來說，有效地管理員工家中的安全性具有挑戰(zhàn)性。因此，對(duì)于物聯(lián)網(wǎng)，遠(yuǎn)程工作的員工應(yīng)該承擔(dān)一定程度的責(zé)任來改善其家庭網(wǎng)絡(luò)的安全態(tài)勢(shì)。每個(gè)人都應(yīng)發(fā)揮作用，以確保足夠的安全性。

本質(zhì)上，在家里，員工需要在一定程度上承擔(dān)其物聯(lián)網(wǎng)系統(tǒng)的IT技術(shù)員和評(píng)估員的角色。這與培訓(xùn)密不可分。因此，需要對(duì)員工進(jìn)行各方面的培訓(xùn)，包括更改設(shè)備和路由器默認(rèn)密碼的重要性，例如，使用多因素身份驗(yàn)證(MFA)，以及關(guān)于密碼使用和管理的最佳實(shí)踐。告知他們采取措施，例如在公司通話期間關(guān)閉智能揚(yáng)聲器，以及將其家庭網(wǎng)絡(luò)分段以將物聯(lián)網(wǎng)設(shè)備與公司資產(chǎn)分開的好處，都是朝著正確方向邁出的一步。此外，對(duì)未遂攻擊保持警惕，包括網(wǎng)絡(luò)釣魚未遂和針對(duì)物聯(lián)網(wǎng)的攻擊以及物聯(lián)網(wǎng)安全威脅和風(fēng)險(xiǎn)。

監(jiān)控服務(wù)

要求遠(yuǎn)程用戶使用遠(yuǎn)程監(jiān)控軟件。對(duì)于某些人來說，這似乎是一種最常用的方法，但是對(duì)于遠(yuǎn)程工作，這是一種漸進(jìn)的安全措施。服務(wù)可以主動(dòng)監(jiān)測(cè)行為并發(fā)現(xiàn)任何異常情況。通過數(shù)據(jù)收集和分析，可以為每個(gè)用戶配置文件識(shí)別“正常行為”，并且可以檢測(cè)到任何異常行為并采取措施。此外，可以在訪問或復(fù)制特定數(shù)據(jù)時(shí)設(shè)置警報(bào)。這是防止數(shù)據(jù)丟失的有效措施。

身份和訪問管理控制

獲得物聯(lián)網(wǎng)設(shè)備的可見性對(duì)于有效地管理和保護(hù)它們至關(guān)重要。如果處理得當(dāng)，將會(huì)實(shí)現(xiàn)強(qiáng)大的身份和訪問管理控制，并監(jiān)測(cè)流經(jīng)物聯(lián)網(wǎng)系統(tǒng)的敏感數(shù)據(jù)。

避免自動(dòng)信任設(shè)備

作為提高物聯(lián)網(wǎng)設(shè)備可見性的一部分，默認(rèn)情況下，不得信任連接到組織網(wǎng)絡(luò)的設(shè)備。信任決策應(yīng)該基于設(shè)備的連接位置及其目的或功能。應(yīng)持續(xù)評(píng)估設(shè)備的價(jià)值及其帶來的潛在風(fēng)險(xiǎn)，并就其要求做出決定。

管理權(quán)限

雖然工作人員是遠(yuǎn)程的，但是可以通過管理權(quán)限來適當(dāng)?shù)毓芾韺?duì)數(shù)據(jù)的訪問。確定誰需要訪問哪些數(shù)據(jù)，并根據(jù)需要限制訪問。切記要考慮最低權(quán)限規(guī)則，不要允許超出工作職能所需的訪問權(quán)限。一種更合理的方法是在適當(dāng)時(shí)候根據(jù)請(qǐng)求允許訪問，而不是默認(rèn)情況下允許所有員工擁有完全訪問權(quán)限。

物聯(lián)網(wǎng)設(shè)備的家庭網(wǎng)絡(luò)策略

對(duì)于組織而言，禁止遠(yuǎn)程工作人員在其家庭網(wǎng)絡(luò)上使用物聯(lián)網(wǎng)設(shè)備可能不合適。然而，由于物聯(lián)網(wǎng)設(shè)備在員工家中使用，因此在遠(yuǎn)程/家庭工作人員的政策中強(qiáng)調(diào)物聯(lián)網(wǎng)設(shè)備在訪問組織網(wǎng)絡(luò)之前必須滿足的安全要求是有益的。這方面的培訓(xùn)至關(guān)重要。除了將其納入政策之外，還必須對(duì)員工進(jìn)行有關(guān)此方面的培訓(xùn)，并讓他們意識(shí)到自己在這方面的責(zé)任。在督促員工遵守這一政策的同時(shí)，公司還應(yīng)相應(yīng)地調(diào)整網(wǎng)絡(luò)。因此，組織需要確保對(duì)員工進(jìn)行有關(guān)物聯(lián)網(wǎng)設(shè)備和安全意識(shí)的必要培訓(xùn)。

加密

為遠(yuǎn)程工作人員提供加密網(wǎng)絡(luò)，這是引入額外安全層的有效方法。請(qǐng)記住，分層防御通?？梢蕴岣甙踩?。每一層都有自己獨(dú)特的控制，它們共同提供了一個(gè)穩(wěn)健的安全解決方案。使用虛擬專用網(wǎng)可以在訪問時(shí)保護(hù)網(wǎng)絡(luò)，因?yàn)樗羞B接和通信都經(jīng)過加密。因此，無論員工家中的物聯(lián)網(wǎng)連接如何，虛擬專用網(wǎng)都可以通過加密來提供高安全級(jí)別。

主動(dòng)的安全方法

遠(yuǎn)程工作擴(kuò)展了物聯(lián)網(wǎng)生態(tài)系統(tǒng)。黑客利用家庭設(shè)置的弱認(rèn)證來鎖定網(wǎng)絡(luò)和有價(jià)值的數(shù)據(jù)，并利用我們家庭中的物聯(lián)網(wǎng)設(shè)備作為跳板，以獲取對(duì)組織資產(chǎn)的訪問權(quán)限。這導(dǎo)致組織的攻擊面不斷擴(kuò)大。物聯(lián)網(wǎng)設(shè)備受到攻擊的可能性很高。從這一點(diǎn)來看，惡意軟件可能會(huì)從設(shè)備轉(zhuǎn)移到員工的終端設(shè)備，并在組織內(nèi)部橫向傳播。如果不能有效地管理此漏洞，則后果可能是災(zāi)難性的。

由于遠(yuǎn)程工作人員訪問他們的家庭網(wǎng)絡(luò)，在那里可能集成很多物聯(lián)網(wǎng)設(shè)備，因此組織必須從不同角度來考慮安全性，以了解物聯(lián)網(wǎng)設(shè)備如何影響組織。也因此，組織必須優(yōu)先考慮確保遠(yuǎn)程工作人員有效保護(hù)網(wǎng)絡(luò)的方法。(編譯iothome)