信息安全是一個(gè)系統(tǒng)性的過(guò)程。企業(yè)應(yīng)當(dāng)以數(shù)據(jù)為中心構(gòu)建健全的息安全機(jī)制。保障信息安全除了依靠系統(tǒng)化的策略和方法，還有一些立竿見(jiàn)影的招數(shù)。

1、從終端用戶(hù)的機(jī)器上移除游戲、賭博軟件等與工作無(wú)關(guān)的程序，從服務(wù)器上清除不必要的軟件，禁用不必要的服務(wù)。如果機(jī)器上需要八個(gè)應(yīng)用程序，就不應(yīng)當(dāng)存在十個(gè)。為每臺(tái)機(jī)器部署一個(gè)標(biāo)準(zhǔn)化的鏡像，在必要時(shí)使用此鏡像。并由管理員定期檢查此鏡像的完整性。

2、實(shí)施入口和出口過(guò)濾，僅允許業(yè)務(wù)需要的端口和服務(wù)。IT應(yīng)當(dāng)經(jīng)常檢查系統(tǒng)配置是否合規(guī)，確保其安全性。

3、確保可以監(jiān)視安全日志，用以保證可以查找發(fā)生在網(wǎng)絡(luò)上的任何異常或任何不正常的行為。

4、務(wù)必使用Web應(yīng)用程序防火墻和應(yīng)用程序?qū)拥陌踩珌?lái)保護(hù)你的應(yīng)用程序免受SQL注入攻擊、跨站腳本攻擊和其它類(lèi)型的攻擊。

5、有些IT人員需要管理特權(quán)，但卻不需要讀取電子郵件的特權(quán)。要確保IT管理員和非管理員的活動(dòng)都擁有不同的賬戶(hù)和口令。要“分而治之”，而不要搞“一鍋粥”。

6、禁用不能與目前的雇員或其它利益關(guān)系人發(fā)生關(guān)聯(lián)的任何賬戶(hù)，并創(chuàng)建一個(gè)在用戶(hù)離職時(shí)能夠禁用其賬戶(hù)的過(guò)程。

7、要保證所有的設(shè)備都擁有用戶(hù)名和強(qiáng)健的口令，而不是使用默認(rèn)的賬戶(hù)。

8、經(jīng)常組織安全培訓(xùn)。要耐心地向雇員講解為什么要選擇、如何選擇安全的口令，講解點(diǎn)擊陌生郵件中的附件會(huì)產(chǎn)生哪些潛在威脅。

9、IT要保證自己知道哪些數(shù)據(jù)需要保護(hù)，數(shù)據(jù)存在于哪里，誰(shuí)需要訪(fǎng)問(wèn)這些數(shù)據(jù)。確保部署適當(dāng)?shù)目刂疲瑑H將數(shù)據(jù)的訪(fǎng)問(wèn)權(quán)限制給授權(quán)用戶(hù)。

10、確保在所有系統(tǒng)上都運(yùn)行反間諜軟件，保證所有的用戶(hù)系統(tǒng)都能得到及時(shí)更新。

11、禁用所有可移動(dòng)存儲(chǔ)設(shè)備的自動(dòng)運(yùn)行功能。

12、確保僅能從內(nèi)部訪(fǎng)問(wèn)路由器，要確保防火墻或過(guò)濾器能夠丟棄除明確允許的服務(wù)和端口之外的所有通信。