指南
小型企業軟件及網站的保安基礎。
針對小型企業的攻擊大多並不高明。它們利用重複使用的密碼、未修補的軟件、過於寬鬆的存取權限,以及被一封逼真電郵欺騙的員工。基本習慣就能阻止其中大部分。本指南為東主及經理提供實用清單。內容屬一般資訊,並非保安審計。
重點摘要
- 為電郵、託管、銀行及每個管理帳戶開啟雙重驗證。
- 及時更新軟件及外掛程式,並移除不用的東西。
- 只給予工作所需的存取權限,人員離職時即時移除。
- 保留經過測試的備份,存放在主系統以外。
- 預先知道出事時誰負責什麼。
登入及帳戶
讓軟件保持最新
備份及復原
- 備份網站、資料庫、文件,以及任何無法重建的東西。
- 把一份副本與所保護的系統分開存放,令一次事故不會同時毀掉兩者。
- 至少測試一次還原。沒有人還原過的備份只是希望,而不是計劃。
- 寫下復原步驟及負責人,放在自己系統失靈時仍能取得的地方。
另請參閱後端、資料及託管。
人員及網絡釣魚
您的網站及軟件
向供應商提出的問題
- 我們的資料如何受到保護?貴公司誰能看到?
- 資料儲存在哪裡?哪些外部服務會接觸它?
- 你們如何處理更新、備份及事故?我們會多快獲知問題?
- 如果我們終止合約,資料會怎樣?
- 以上哪些可以提供憑證,而不只是描述?
本網站不聲稱持有保安認證;我們樂意就您項目的控制措施回答具體問題。
如果出事了
常見問題
我們規模小,會有人針對我們嗎?
攻擊大多是自動且不加區分的,所以小公司同樣中招,而且往往防禦較弱。基本習慣可為您抵擋其中大部分。
雙重驗證真的值得麻煩嗎?
值得。即使密碼被盜,它也能阻止大多數帳戶被接管。以所付出的努力計,它是最有效的單一步驟。
我們需要保安審計嗎?
對於存有敏感資料或處理付款的系統,獨立檢視是明智的。對於小型宣傳網站,這裡的基本做法已大有幫助。