防止远程工作人员的数据泄露

尽管雇用远程员工有很多好处，但与远程工作相关的内部威胁和数据泄露的风险大幅增加。 即使对于商业领域的专家来说，这也是一个长期存在的问题，更不用说刚刚涉足商业世界的初创企业主了。

Titan Security Europe 已经完全远程运营了十年。 作为远程工作领域的专家，我们将从网络和物理安全的角度提供建议，以保护您的企业在与远程员工合作时免受数据泄露的影响。

统计数据

在了解如何防止远程工作人员的数据泄露之前，了解事实非常重要。

根据 Wifi Talents 的说法，以下是有关远程工作时网络安全威胁的一些统计数据：

• 75% 的 IT 专业人士表示，企业现在更容易受到网络威胁，因为他们已经转向远程工作。
• 超过 55% 的 IT 专业人士认为，远程员工比办公室员工更有可能违反公司政策，从而导致泄密风险更高。
• 95% 的网络安全漏洞都是由于人为错误造成的。
• 80% 的远程工作人员没有接受过足够的网络安全培训。
• 由于远程工作人员的存在，企业平均每周会遇到 22 次安全威胁。

虽然这些统计数据表明远程员工存在一个主要问题，但不要因此而阻止您为初创公司雇用远程员工。 只要您成功地管理风险，收益就大于风险。

如何解决这些问题

对于远程工作人员来说，可能会出现一系列与数据有关的特定安全问题。 企业和员工都可以采取一些措施来解决这些问题。

不安全、易受攻击的硬件

员工使用个人和不安全的设备可能会导致数据泄露。 这些设备通常不具备公司设备的安全级别，工作文件与个人文件混合可能会导致疏忽泄露。

你能做什么？

• 为员工提供安装了以下流程的公司设备。 如果不可能，请确保员工将以下内容安装到他们将要使用的设备上：
  • 多重身份验证：仅允许用户通过多个步骤登录设备或服务器的系统。 例如，除了密码之外，他们还必须将代码发送到另一台设备、使用指纹、回答秘密问题等。MFA 软件的示例包括 JumpCloud、ManageEngine、Cisco Secure 等。
  • 端点安全：端点保护平台是保护连接到网络的所有设备的做法，会在所有文件进入网络时对其进行检查，从而能够快速检测到恶意软件和威胁。 端点安全的示例包括 Cisco Secure、WatchGuard、Avast Business Security 等。
  • 加密软件：安装在工作设备上的文件和数据加密软件可保护所有数据免遭未经授权的修改、被盗或泄露。 加密软件包括 Secure IT、Folder Lock 和 Kruptos 2 Professional。
• 设置远程工作策略，规定只有安装了上述程序的设备才能用于工作。

员工可以做什么？

• 遵循您的既定政策并仅在公司提供的设备上工作。
• 如果可能，请勿将公司设备用于个人用途。

不安全、脆弱的网络

远程工作最大的安全问题之一是不安全且易受攻击的网络。 虽然个人家庭网络通常没问题，但公共且不安全的网络使设备极易受到攻击。

你能做什么？

• 通过将数据存储在服务器而不是设备的数据库中（尤其是具有 MFA 或加密数据的服务器），即使设备登录到不安全的网络，也可以确保敏感数据受到保护。
• 数据与设备分开保存，因此即使设备因不安全的网络而受到损害，数据仍然安全。

员工可以做什么？

• 尽可能避免公共网络。
• 使用个人热点或在公共场合离线工作。
• 使用 VPN 来保护连接。

减少对数据处理的监督

当员工全部在家工作时，安全团队监控数据的处理就会困难得多。 还有更多的设备、服务器和网络需要他们关心。 还存在员工在公共场合打开笔记本电脑以及公众看到敏感数据的风险。

你能做什么？

• 如果您的数据全部保存在服务器中并且无法下载或共享，则数据处理的风险将大大降低。
• 如果必须下载数据才能使用，请在您的策略中强制执行，即员工使用完正在使用的数据后，将其重新上传到云端，然后从设备中删除。
• 将跟踪软件安装到公司提供的设备中，供远程工作人员使用。 这将使安全团队能够跟踪各个设备上的数据处理情况。
• 确保您锁定了访问系统的每台设备的详细信息，以便您的安全团队可以在报告丢失或被盗时使用必要的软件擦除设备上的所有公司密码、数据或文档。

员工可以做什么？

• 一旦发生设备丢失，请立即报告。
• 尽可能避免在公共场所工作。 如果没有，请确保其他人无法看到他们的屏幕。

电子邮件诈骗和网络钓鱼的易感性

与所有员工一样，远程员工也面临网络钓鱼和电子邮件诈骗的风险。 脱离公司环境可能会导致粗心和观念改变，使远程员工更容易受到影响。 当员工不在同一个房间时，他们也不太能够验证电子邮件是否来自同事。

你能做什么？

• 循环对话。 举办研讨会，讨论如何发现潜在的骗局，以及如果员工认为自己被骗了该怎么办。
• 让员工了解网络钓鱼诈骗的故事。
• 监控员工电子邮件——筛查任何潜在的诈骗。

员工可以做什么？

• 立即将他们认为可能是骗局的任何电子邮件发送给上级。
• 避免打开不认识的人的链接。
• 仅回复同事和已知客户的电子邮件，直到电子邮件被筛选。
• 拥有所有同事的非电子邮件联系方式，例如电话号码。 使用这些来验证电子邮件是否是同事发送的。

无人值守设备

就像在办公室一样，无人值守的设备存在巨大的安全风险，但对于远程工作来说更是如此，因为任何人，甚至不仅仅是其他员工，都可以访问其中保存的数据

你能做什么？

• 密码保护设备上的所有数据。
  • 如上所述，MFA 提供了额外的安全层。
  • 确保数据已加密。 除非使用非常特定的数字密钥，否则这会将数据弄乱成不可读的格式。 这个特定的数字密钥只有需要访问该数据的员工才知道。
• 确保每次访问数据时都需要使用 MFA 登录，即使所述数据刚刚在之前关闭。
• 员工只有拥有该数据的密码，才能被授予访问他们所需的特定数据的权限。 例如，销售员工不需要访问人力资源信息。

员工可以做什么？

• 密码保护 – McAfee 建议密码应包含大小写字母、特殊字符和数字，以确保密码安全。 所有工作设备都应具有唯一的密码，员工不得将其泄露给其他任何人。
  • MFA：员工应该拥有可信赖的设备来发送 MFA 代码或只有他们知道答案的个人安全问题。
• 切勿让他们的设备在公共场合无人看管。
• 确保设备在不使用时被锁定。

合规性和数据法规

安全团队需要确保数据实践符合 GDPR 法规。

• 如果没有既定政策，员工很容易在数据访问和管理方面违反 GDPR 法规。
• 通过限制员工有权访问的数据并实施上述安全措施，遵守法律安全法规将变得更加容易。

兼顾安全和员工信任

您必须确保公司的数据免受疏忽甚至恶意泄露和内部攻击。 然而，同样重要的是，您要确保您的员工知道他们是值得信任的。

在安全性与员工信任之间兼顾可能很棘手。 以下是一些管理它的提示和技巧：

• 通知您的工人。 准确地告诉员工您正在采取哪些安全措施，并告诉他们原因——这是保护数据的安全毯，而不是信任问题。
• 给他们事实。 解释说大多数数据泄露都是由于无心错误和疏忽造成的。
• 允许一些隐私。 跟踪您需要跟踪的内容（数据库、公司站点、业务通信等），但不要跟踪设备上的每一个动作。 员工不应感到自己的一举一动都受到监视。
• 循环对话。 召开虚拟会议，讨论数据泄露、威胁等。 发送数据泄露的故事来证明所表达的观点。 让员工谈论数据泄露以及他们可以采取哪些措施来防止数据泄露。

结论

当谈到远程工作者时，必须同时考虑好处和风险。

对于初创公司来说，它们是高效且具有成本效益的，因为它们允许您雇用员工而不必担心租用办公空间。 远程工作者也往往更有动力，并享受远程工作的工作/生活平衡。

但是，您必须考虑并为潜在的安全漏洞做好准备。 这不是一个信任员工的问题——当绝大多数泄密都是由于人为错误造成的时候。 它涉及采取所有可能的步骤来确保您的远程工作人员可以访问他们所需的数据，同时将泄漏的可能性降至最低。