精选文章

他山之石:新冠疫情下的美国组织的IT风险管理

2020-03-16 17:30:00 | 来源:中培企业IT培训网

近期,美国国土安全部网络安全和基础设施安全局(CISA)[1]发布了《新冠病毒(COVID-19)的风险管理洞察》。


CISA作为美国国家网络安全和基础设施主管部门,为政府、企业等组织提供网络感知分析、预测和防御能力,同时致力于识别和解决国家关键基础设施面临的重大安全风险。


CISA这份报告,从大IT风险的角度为组织提供了详细的指导。希望也能为我国疫情下奋战中的企事业单位提供IT风险管理的借鉴。


01

关键基础设施风险管理



对于关键基础设施管理部门或组织,应高度重视COVID-19对关键基础设施的影响,CISA建议组织采取以下预防措施来准备应对COVID-19可能造成的影响:


1.指定应急响应协调人员,并为团队成员分配特定职责。

2.制定关于工人和工作场所的保护办法。

3.开展相关保护办法的培训。

4.建立灵活的工作模式,如远程办公和弹性工作时间。

5.确定组织最简运营模式,明确维持自身运转必需的基本功能,商品和服务。

6.确定组织最简运营模式的可持续时间。

7.确定组织的关键产品和服务的供应商,并确定其优先级。

8.不断评估正在进行的各项准备工作,如果业务或社会环境变化,应及时调整目标,结果和工作。

9.密切关注联邦,州,地方,部落和地区的COVID-19信息站点,以获取最新信息。




2

供应链风险安全



1.评估组织的供应链,了解由于COVID-19造成的运输物流中断和国际制造业放缓而造成的潜在影响。 

2.与这些供应商讨论由于当前状况而面临或可能面临的挑战。

3.确定潜在的替代供应来源,替代产品或保护措施,以减少干扰。

4.与主要客户进行沟通,使客户了解已发现的问题及应对措施。



3

组织的网络安全风险管理



当组织针对COVID-19探索各种替代的工作模式时,CISA建议采取以下步骤来检查信息技术系统的安全性:


1.关注远程访问的系统安全。包括:

(1)确保虚拟专用网(VPN)和其他远程访问系统已完全打补丁;

(2)增强系统监视功能,及早发现异常行为并告警;

(3)实施多因素身份验证;

(4)确保计算机防火墙、反恶意软件和入侵防御正常运行。

2.测试远程访问解决方案的容量或增加容量。

3.确保运营计划或业务连续性计划已经更新。

4.增强对远程办公的IT支持机制的认识。

5.更新事件响应计划,以考虑分布式环境中的劳动力变化。




4

针对员工和消费者的网络安全措施


恶意攻击者可以利用公众对COVID-19的关注度,通过网络钓鱼攻击和虚假信息宣传活动来诱骗受害者。网络钓鱼攻击的常用手段为:通过“电子邮件+虚假网站”的方式,诱骗受害者泄露敏感信息;虚假宣传活动可能会散布谣言,并通过操纵公众对话影响政策制定或扰乱市场。


CISA鼓励个人采取以下预防措施,防范与COVID-19相关的网络钓鱼攻击和虚假信息宣传活动:


1.避免点击陌生的电子邮件的链接,并警惕电子邮件附件。

2.不要在电子邮件中透露个人或财务信息,也不要响应电子邮件相应的请求。

3.请查看CISA的《避免社交工程和网络钓鱼诈骗的技巧》,以获取有关识别和防止网络钓鱼的更多信息。

4.查看联邦贸易委员会关于冠状病毒诈骗的博客文章,以获取有关避免COVID-19相关诈骗的信息。

5.通过安全渠道(例如合法的政府网站)获取有关COVID-19的最新信息。




注释:【1】网络安全和基础设施安全局(CISA)为2018年新成立的机构,属于美国国土安全部,CISA主要负责保护国家的关键基础设施免受物理和网络威胁,该局内部有两个中心,第一个是国家网络安全和通信集成中心主要为政府、企业等组织提供网络感知分析、预测和防御能力;另一个是国家风险中心,致力于识别和解决国家关键基础设施面临的重大安全风险。


标签: 信息安全