需要加强教育

    Bruce Bonsall是马萨诸塞州斯普林菲尔德大众互助人寿保险公司（MassMutual Financial Group）的首席信息安全官，他最担心的是，大多数公司员工把工作与家庭生活混在了一起，这给网络留下了安全漏洞，员工也容易遭到攻击。他说，他还对用户群体没有在安全政策或者潜在威胁方面得到应有的教育表示了担忧。

    Bonsall说：“我觉得，认为人们不会再把工作与个人生活混在一起是不现实的。我们必须依靠他们在打开链接时采取正确的做法，并且设法阻止外面的种种安全威胁进入公司网络。”

    对他而言，像网页钓鱼（phishing）和捕鲸（whaling，把公司高官选作下手目标的电子邮件欺骗手法）这些有针对性的攻击让人担心，因为这些攻击会利用用户没有及时接受公司教育方面的漏洞。他表示，网络访问控制和安全信息管理等技术有助于保护网络，但帮助非常有限。随着攻击变得更加狡猾，用户教育成了惟一选择。

    Bonsall说：“坏人们现在把目标对准了重要的网络工作人员和高级主管，这让人非常不安。坏人所能利用的与目标有关的信息越多，对方（哪怕精明的最终用户）上当受骗的可能性就越大。”

    链接：最终用户的七宗罪

    大多数用户在有意违反公司安全政策。

    虽然大多数公司表示自己制订了安全政策，但数据泄密事件还是在困扰财富《1000》强当中75%以上的公司，专家们认为用户教育与政策执行是两大问题。这意味着：最终用户不是不知道政策，就是他们并不担心一旦自己被发现未遵守政策而面临处罚，因为似乎不存在执行机制。波耐蒙研究所最近对约890名IT工作人员作了一项调查，结果发现，许多调查对象并没有遵守制订的政策；其中一些人在有意违反公司规定，而不担心造成的后果。

    一、泄露存储内容。

    50%以上的调查对象承认自己把机密信息拷贝到USB记忆棒上；87%的人表示他们认为公司的政策禁止这种行为。但40%的人也表示，他们在有意违反政策，因为公司没有执行政策；另有20%的人表示“其实没人在乎遵守这项政策。”近30%的人表示，他们会违反这项政策，因为不然就没法按时完成工作。

    二、连接到外部电子邮件。

    45%的调查对象表示，自己在工作时访问基于互联网的电子邮件帐户（此举会导致网络容易受到各种病毒及其他威胁的攻击）；74%的人表示公司没有政策明文规定禁止这种行为。大多数用户（40%）表示，公司没有执行这项政策；另一些用户（44%）提到忽视制订的政策是自己违反公司安全政策的原因。

    三、丢失移动设备。

    近40%的调查对象表示，他们丢过或者乱放携带数据的便携设备，比如iPod播放器、手机、记忆棒、zip驱动器、个人数字助理（PDA）或者便携式电脑，但70%以上的人没有立马报告设备丢失事件。虽然28%的人立马报告了设备丢失事件，但34%的人等过几天后才报告上司；其中38%的人丢了设备后从不上报。43%的调查对象表示，数据安全政策并没有解释设备丢失方面的程序；13%的人声称政策没有规定要在多少时间内报告设备丢失。

    四、在公司办私事

    45%的调查对象承认自己常把iTunes等私人软件和游戏下载到公司发放的计算机上；40%的人表示自己知道公司订有禁止这种行为的安全政策。近三分之一的对象表示并不担心违反政策，因为似乎没人在乎遵守这项政策；另有34%的人表示，政策未得到执行。三分之一的人表示，自己不清楚有这样的政策。

    五、测试远程办公的极限。

    把工作文档通过电子邮件附件的形式发送到家用计算机，这可以被视作违反了公司隐私政策，或者让公司面临安全泄密事件。不过大约三分之一的调查对象表示他们常这么做；48%的人不确定传送电子邮件和文档的这种行为会不会违反制定的安全政策。三分之一以上的人表示，没人在乎遵守这项政策；35%的人声称公司没有执行这项政策。

    六、关闭安全设置。

    近20%的调查对象表示，他们会关闭办公计算机上的安全设置、反病毒软件或者桌面防火墙，以便更快地收到电子邮件。五分之四的人不确定公司是否制订了限制这种行为的政策；不过近20%的人表示，如果自己不关闭安全设置，可能无法按时完成工作。但表示没人在乎政策或者政策未得到执行的人超过了三分之二。

    七、共享太多信息。

    大约46%的调查对象表示，他们共用工作中使用的密码；40%的调查对象认为：为了按进度完成工作，与同事共用密码必不可少；三分之二以上的人表示本公司的政策禁止密码共用，但大约36%的人表示，没人在乎遵守这项政策；45%的人表示政策没有得到执行。