有組織的犯罪集團正在使用越來越復雜的網絡攻擊手段。這些犯罪集團在網上的自由職業(yè)市場中招募黑客，藉以攻破IT系統(tǒng)并進行定制化的網絡攻擊。諸如銀行、政府機構和零售商等業(yè)務涉及在線交易的企業(yè)，都面臨著重大的風險。

[[118756]]

亞太區(qū)的在線交易數量大幅增長，且沒有減緩的跡象。以零售業(yè)為例，Forrester Research預測，在中國、印度、日本、韓國和澳大利亞等亞太區(qū)五大市場的電子商務規(guī)模已接近美國和西歐在線零售業(yè)務的總額。預期到2018年，這五大市場的在線零售額將達到8,580億美元，是2013年的兩倍多[1]。然而，與此同時，復雜的網絡犯罪正以指數增長。

先進的、精通技術的犯罪網絡已經崛起，其利用信息共享和數據盜竊工具來繞過安全系統(tǒng)。一項對福布斯全球2,000強企業(yè)的調查發(fā)現，92%的受訪企業(yè)在過去12個月內出現過數據泄露[2]，而全球網絡犯罪黑市目前在每年帶來大約1,040億美元的損失[3]。

然而受到威脅的并非只有這些大企業(yè)，中小型企業(yè)也特別容易受到網絡攻擊，原因在于他們通常缺乏資源和專業(yè)知識來分析流量模式并發(fā)現網絡異常活動。在這樣的環(huán)境中，從事在線交易的企業(yè)需要考慮的不是他們是否會成為攻擊對象，而是何時會成為攻擊對象，并制定相應的計劃。

狡猾的敵人正在不斷演進

任何收集個人信息或財務信息的在線交易都面臨被侵襲的危險。有組織的網絡罪犯不斷尋找更聰明的方式來攻破安全系統(tǒng)，從而盜取信息。

另外一個讓人不安的趨勢是，企業(yè)經常在最需要安全防護的時候(高峰期)放松警惕。許多企業(yè)為了避免主要系統(tǒng)中斷，選擇暫停對IT安全系統(tǒng)的變更和更新，形成“IT封鎖”。結果，防護變得更加脆弱，并有可能面臨災難性的后果。

管理威脅

無論規(guī)模大小，任何需要收集客戶機密信息的企業(yè)都必須確保合規(guī)并達到可接受的安全標準，以盡可能減少欺詐和網絡犯罪。

企業(yè)還需要明白，如果出現錯誤，其聲譽和品牌形象將面臨風險。對于在線交易，客戶希望自己的信息得到良好的保護，而他們對信任的品牌和機構更有特別高的期望。為此，企業(yè)更應當積極地保護他們的系統(tǒng)，避免自己的信譽和銷售受到嚴重影響。

打擊網絡犯罪需要綜合的安全措施，包括主動規(guī)劃和風險管理策略，以破解攻擊的整個生命周期。這意味著加強投資，在應用層以及硬件和軟件接口進行預防和實時威脅檢測。在發(fā)現攻擊或預測到潛在攻擊時，企業(yè)的應對措施非常重要，需要立即做出反應以遏制攻擊。

企業(yè)需要確保他們擁有如下防御手段以抵擋網絡攻擊：

在信任的同時驗證——確保用戶使用雙因素認證或其它有效的認證方法登錄，或進行賬戶訪問驗證。

辯識威脅和漏洞——掃描應用和網絡以預防入侵。這應當包括修補已知的漏洞、更新企業(yè)防火墻和防入侵系統(tǒng)，以及定期進行滲透測試以確保漏洞已被修復。

使用網絡應用掃描與監(jiān)測——在線交易的好處是24小時服務，但這也意味著需要全天候的安全監(jiān)測。持續(xù)的安全測試對于移動應用也很重要。

為最壞的情況制定應對計劃

由于各種原因都可能造成安全事故，企業(yè)很難預防所有入侵。但通過綜合的方法，可以降低風險和安全相關的成本，并更好地控制局勢。

企業(yè)應當制定跨越整個安全生命周期的解決方案，從主動規(guī)劃和風險管理策略到即時的應對措施。工作重點包括：

· 清晰的流程和政策計劃，以在安全事件之后收集和分析證據。

· 遵守規(guī)章制度，以在事故發(fā)生后協助司法調查和審計。

· 高效的備份與恢復，以降低數據丟失或刪除帶來的后果。

對于保護企業(yè)和客戶來說，迅速的回應在網絡攻擊事件中至關重要。如果機密信息被盜，必須盡快告知客戶，讓他們可以通知其信用卡公司。在任何后續(xù)調查中準確地回答安全問題非常重要，這個步驟能保護企業(yè)，并針對侵權進行辯護。

降低風險

在當今高度復雜和有組織網絡犯罪的情況下，任何電子商務企業(yè)都難以確保安全。企業(yè)不能奢望完全消除網絡攻擊的風險，而又不犧牲業(yè)務運營的重要功能。

安全就是持續(xù)地應對不斷變化的技術和新威脅，以及平衡安全措施和運營需求的過程。通過將網絡犯罪看作重大業(yè)務威脅并相應地制定計劃，企業(yè)可以大幅減少受攻擊范圍、降低風險并預防攻擊帶來的危害。

關于作者

謝少毅先生現任惠普公司全球副總裁兼中國惠普企業(yè)服務集團總經理，負責推動中國企業(yè)業(yè)務增長及實現財務目標，幫助客戶獲得更高的商業(yè)價值并為公司培養(yǎng)人才。謝少毅先生近在惠普中國及亞太區(qū)擔任過多種領導職位，在IT行業(yè)超過擁有15年的管理經驗。

[1] Forrester Research公司，2013至2018年亞太區(qū)在線零售預測，2013年11月26日。

[2] 企業(yè)安全基準調查，Ponemon Institute，2012年11月。

[3] 網絡安全專家評出的重大趨勢，Ponemon Institute，2013年5月。