【IT168专稿】作为邦克山社区学院的CIO，Bret Moeller支持学生们积极试用技术，毕竟，这是学生教育的一个方面；但是如果学生们朝廷的独立研究不涉及擅自闯入学院的网络，他会更高兴。

    负责为波士顿地区的这家学院管理及保护网络的Moeller说：“有些学生在学校发现，他们生活中的全部乐趣就是闯入学院网络，不是收集他们无权访问的信息，就是破坏网络以证明自己有这个本领。”

    他说：“我们能检测到我们网络上的扫描活动，设法把尽可能多的内容保护起来，或者不允许软件安装在工作站上，但有时候我们的保护机制会存在漏洞。我们对最终用户的控制不可能做到像企业环境那样严密，但仍得采取尽可能多的措施来保护自己的环境不受最终用户的破坏。”

    其实，不单单只有Moeller面临这种困境，许多公司的网络与安全管理人员也面临同样的难题，

    波耐蒙研究所（Ponemon Institute）的近期研究显示，绝大多数用户不遵守公司制订的安全标准，有的还有意为之。另外，RSA刚刚公布的调查数据显示，可信赖的内部人员由于日常行为“带来了高得异常的数据泄露风险。”

    达拉斯玫琳凯化妆品公司的技术负责人Steve Moore说：“最终用户比过去来得更聪明。PC出现在家庭中，而不再仅仅出现在办公室，加上人们能够查证IT人员对自己所说的内容，这带来了不同的环境。”

    另外，用户很容易从数不胜数的网站上找到教人如何避开公司政策的详细内容，连《华尔街日报》这样的出版物都有清楚的相关介绍。

    由于需要不断遵从法规，IT主管们陷入了左右为难的境地。

    菲尼克斯城怀特电子设计公司的IT副总裁James Kritcher说：“一方面日益需要访问更多信息，另一方面要求保护信息、避免擅自使用及不当使用，我们在不断努力平衡这两者之间的关系。我们现在有越来越多的帐户、密码及其他机制来管理对各种资源的访问。由此带来的开销和复杂性加大了允许不当访问的可能性。”

    比方说，如果用户共享太多信息或者忘了更新密码，就会在无意中把不合适的访问权授予同事、朋友和家人。Craig Bush发现用户当中缺失的一个环节是密码安全。他说，公司已制定了政策来确保密码不被滥用或者被透露，但是用户认为管理密码是一件麻烦的事，而不是一项保护措施。

    Bush是佛罗里达州盖恩斯维尔Exactech公司的网络管理员，他说：“可笑的是，最终用户根本不把密码当回事；我们要求他们改变或者更新密码时，他们还以为我们这么做只想给他们增添麻烦。我发现，基本的密码安全机制是大多数最终用户当中缺迭的一个环节。他们根本没有意识到现在有技术能够利用他们的密码来获取信息、破坏整个网络。”

    而另一些时候，带来最大麻烦的恰恰是比较精通技术的用户。加拿大不列颠哥伦比亚省劳工与公民服务部的数据网络运营经理Martin Webb说，用户试图在工作场所安装消费者无线路由器。

    Webb说：“消费者路由器在交付时关闭了所有安全设置，以便安装，不过这也直接给网络安全带来了安全漏洞。这似乎没什么不对；相关人员在安装时也没有什么恶意，但我们对此仍得密切关注，不然会面临重大风险。”

    工作与生活混在一起

    另一个常见问题就是用户试图把工作带回家――但结果把一些不该离开企业网络和工作场所的数据也带回了家。据旧金山国际律师事务所必百瑞（Pillsbury Winthrop Shaw Pittman LLP）的网络服务与工程主管Albert Ganzon声称，比方说，要是拇指驱动器即USB闪存盘使用不当，可能会让一家公司倒闭。考虑到几乎不可能为闪存盘上保存的信息确保安全，负责保护公司和客户数据让Ganzon处于高度警惕的状态。

    他解释说：“有了闪存盘，某人下载任何数据的拷贝、然后溜之大吉变得轻而易举。我们没法在这种事件发生之前有所发现。我们也没法在不影响USB闪存盘其他合法功能的情况下禁用它。确保客户数据的机密性对我们来说至关重要；一旦可能出现数据泄露，这是非常棘手的方面。”

    Ganzon不一定认为用户有意让网络、公司及客户面临风险，但用户在处理工作时，可能会避开某些安全政策，而不考虑可能带来的后果。他说：“即便数据丢失或者被偷，人们有时也压根儿不知道自己造成的风险。”

    Chris Majauckas同意上述说法。波士顿大都市出版公司（Metrocorp Publications）的这名计算机技术经理表示，用户在某些情况下认为自己在遵守政策，而他们的行为继续在带来重大风险。比方说，最令他烦恼的安全问题之一就是，用户通过公司的个人计算机登录到公司网络上，却通过私人帐户下载电子邮件附件。

    Majauckas说：“下载来自私人电子邮件的邮件附件是病毒攻击的主要途径之一。如果他们使用公司邮箱，我们就可以进行检查、搜寻病毒；但是他们使用私人邮箱来处理公司电子邮件，这样一来，他们打开邮件时，我们无法扫描、搜寻病毒。我才不会依赖谷歌邮箱来检查我网络上的病毒。”

    对田纳西州杰克逊Rainey, Kizer, Reviere & Bell律师事务所的IT管理员Koie Smith来说，上网冲浪及访问MySpace或者FaceBook等个人网站的用户带来了重大风险，以至于他使用一种名为Squid的基于Linux的代理服务器对内容进行过滤，并禁止对这些网站进行访问。举例说，他相当肯定这些网站并不用于工作目的；除此之外，诸如此类的网站充斥着随时潜入他公司网络的间谍软件。

    Smith说：“尽管我们为了提高工作效率而需要上网，但上网浏览显然是个问题，因为用户会带来间谍软件或者病毒。如果计算机上缺乏足够的保护――甚至在某些情况下得到了足够保护，为非作歹的病毒仍有可能因某个用户浏览了不该浏览的网站而致使网络动弹不得。”他补充说，内容过滤还有助于合法保护用户和公司。“网上有我们公司不允许出现在工作场所的东西，不受限制的上网浏览无异于为此打开了大门。”

    需要加强教育

    Bruce Bonsall是马萨诸塞州斯普林菲尔德大众互助人寿保险公司（MassMutual Financial Group）的首席信息安全官，他最担心的是，大多数公司员工把工作与家庭生活混在了一起，这给网络留下了安全漏洞，员工也容易遭到攻击。他说，他还对用户群体没有在安全政策或者潜在威胁方面得到应有的教育表示了担忧。

    Bonsall说：“我觉得，认为人们不会再把工作与个人生活混在一起是不现实的。我们必须依靠他们在打开链接时采取正确的做法，并且设法阻止外面的种种安全威胁进入公司网络。”

    对他而言，像网页钓鱼（phishing）和捕鲸（whaling，把公司高官选作下手目标的电子邮件欺骗手法）这些有针对性的攻击让人担心，因为这些攻击会利用用户没有及时接受公司教育方面的漏洞。他表示，网络访问控制和安全信息管理等技术有助于保护网络，但帮助非常有限。随着攻击变得更加狡猾，用户教育成了惟一选择。

    Bonsall说：“坏人们现在把目标对准了重要的网络工作人员和高级主管，这让人非常不安。坏人所能利用的与目标有关的信息越多，对方（哪怕精明的最终用户）上当受骗的可能性就越大。”

    链接：最终用户的七宗罪

    大多数用户在有意违反公司安全政策。

    虽然大多数公司表示自己制订了安全政策，但数据泄密事件还是在困扰财富《1000》强当中75%以上的公司，专家们认为用户教育与政策执行是两大问题。这意味着：最终用户不是不知道政策，就是他们并不担心一旦自己被发现未遵守政策而面临处罚，因为似乎不存在执行机制。波耐蒙研究所最近对约890名IT工作人员作了一项调查，结果发现，许多调查对象并没有遵守制订的政策；其中一些人在有意违反公司规定，而不担心造成的后果。

    一、泄露存储内容。

    50%以上的调查对象承认自己把机密信息拷贝到USB记忆棒上；87%的人表示他们认为公司的政策禁止这种行为。但40%的人也表示，他们在有意违反政策，因为公司没有执行政策；另有20%的人表示“其实没人在乎遵守这项政策。”近30%的人表示，他们会违反这项政策，因为不然就没法按时完成工作。

    二、连接到外部电子邮件。

    45%的调查对象表示，自己在工作时访问基于互联网的电子邮件帐户（此举会导致网络容易受到各种病毒及其他威胁的攻击）；74%的人表示公司没有政策明文规定禁止这种行为。大多数用户（40%）表示，公司没有执行这项政策；另一些用户（44%）提到忽视制订的政策是自己违反公司安全政策的原因。

    三、丢失移动设备。

    近40%的调查对象表示，他们丢过或者乱放携带数据的便携设备，比如iPod播放器、手机、记忆棒、zip驱动器、个人数字助理（PDA）或者便携式电脑，但70%以上的人没有立马报告设备丢失事件。虽然28%的人立马报告了设备丢失事件，但34%的人等过几天后才报告上司；其中38%的人丢了设备后从不上报。43%的调查对象表示，数据安全政策并没有解释设备丢失方面的程序；13%的人声称政策没有规定要在多少时间内报告设备丢失。

    四、在公司办私事

    45%的调查对象承认自己常把iTunes等私人软件和游戏下载到公司发放的计算机上；40%的人表示自己知道公司订有禁止这种行为的安全政策。近三分之一的对象表示并不担心违反政策，因为似乎没人在乎遵守这项政策；另有34%的人表示，政策未得到执行。三分之一的人表示，自己不清楚有这样的政策。

    五、测试远程办公的极限。

    把工作文档通过电子邮件附件的形式发送到家用计算机，这可以被视作违反了公司隐私政策，或者让公司面临安全泄密事件。不过大约三分之一的调查对象表示他们常这么做；48%的人不确定传送电子邮件和文档的这种行为会不会违反制定的安全政策。三分之一以上的人表示，没人在乎遵守这项政策；35%的人声称公司没有执行这项政策。

    六、关闭安全设置。

    近20%的调查对象表示，他们会关闭办公计算机上的安全设置、反病毒软件或者桌面防火墙，以便更快地收到电子邮件。五分之四的人不确定公司是否制订了限制这种行为的政策；不过近20%的人表示，如果自己不关闭安全设置，可能无法按时完成工作。但表示没人在乎政策或者政策未得到执行的人超过了三分之二。

    七、共享太多信息。

    大约46%的调查对象表示，他们共用工作中使用的密码；40%的调查对象认为：为了按进度完成工作，与同事共用密码必不可少；三分之二以上的人表示本公司的政策禁止密码共用，但大约36%的人表示，没人在乎遵守这项政策；45%的人表示政策没有得到执行。