防止遠端工作人員的資料外洩

儘管僱用遠距員工有許多好處，但與遠距工作相關的內部威脅和資料外洩的風險卻大幅增加。 即使對於商業領域的專家來說，這也是一個長期存在的問題，更不用說剛剛涉足商業世界的新創企業主了。

Titan Security Europe 已完全遠端營運了十年。 作為遠距工作領域的專家，我們將從網路和實體安全的角度提供建議，以保護您的企業在與遠端員工合作時免受資料外洩的影響。

統計數據

在了解如何防止遠端工作人員的資料外洩之前，了解事實非常重要。

根據 Wifi Talents 的說法，以下是有關遠端工作時網路安全威脅的一些統計數據：

• 75% 的 IT 專業人士表示，企業現在更容易受到網路威脅，因為他們已經轉向遠端工作。
• 超過 55% 的 IT 專業人士認為，遠距員工比辦公室員工更有可能違反公司政策，導致洩密風險更高。
• 95% 的網路安全漏洞都是因為人為錯誤造成的。
• 80% 的遠距工作人員沒有接受過足夠的網路安全培訓。
• 由於遠距工作人員的存在，企業平均每週會遇到 22 次安全威脅。

雖然這些統計數據顯示遠距員工有一個主要問題，但不要因此而阻止您為新創公司僱用遠距員工。 只要您成功地管理風險，收益就大於風險。

如何解決這些問題

對於遠端工作人員來說，可能會出現一系列與資料相關的特定安全問題。 企業和員工都可以採取一些措施來解決這些問題。

不安全、易受攻擊的硬體

員工使用個人和不安全的設備可能會導致資料外洩。 這些設備通常不具備公司設備的安全級別，工作文件與個人文件混合可能會導致疏忽洩露。

你能做什麼？

• 為員工提供安裝了以下流程的公司設備。 如果不可能，請確保員工將以下內容安裝到他們將要使用的裝置上：
  • 多重身份驗證：僅允許使用者透過多個步驟登入裝置或伺服器的系統。 例如，除了密碼之外，他們還必須將程式碼傳送到另一台裝置、使用指紋、回答秘密問題等。
  • 端點安全性：端點防護平台是保護連接到網路的所有裝置的做法，會在所有檔案進入網路時進行檢查，從而能夠快速偵測到惡意軟體和威脅。 端點安全的範例包括 Cisco Secure、WatchGuard、Avast Business Security 等。
  • 加密軟體：安裝在工作裝置上的檔案和資料加密軟體可保護所有資料免於未經授權的修改、被竊或外洩。 加密軟體包括 Secure IT、Folder Lock 和 Kruptos 2 Professional。
• 設定遠端工作策略，規定只有安裝了上述程序的設備才能用於工作。

員工可以做什麼？

• 遵循您的既定政策並僅在公司提供的設備上工作。
• 如果可能，請勿將公司設備用於個人用途。

不安全、脆弱的網絡

遠端工作最大的安全問題之一是不安全且易受攻擊的網路。 雖然個人家庭網路通常沒問題，但公共且不安全的網路使設備極易受到攻擊。

你能做什麼？

• 透過將資料儲存在伺服器而不是裝置的資料庫中（尤其是具有 MFA 或加密資料的伺服器），即使裝置登入不安全的網絡，也可以確保敏感資料受到保護。
• 資料與設備分開保存，因此即使設備因不安全的網路而受到損​​害，資料仍然安全。

員工可以做什麼？

• 盡可能避免公共網路。
• 使用個人熱點或在公共場合離線工作。
• 使用 VPN 來保護連線。

減少對數據處理的監督

當員工全部在家工作時，安全團隊監控資料的處理就會困難得多。 還有更多的設備、伺服器和網路需要他們關心。 還有員工在公共場合打開筆記型電腦以及公眾看到敏感資料的風險。

你能做什麼？

• 如果您的資料全部保存在伺服器中並且無法下載或共享，則資料處理的風險將大大降低。
• 如果必須下載資料才能使用，請在您的策略中強制執行，即員工使用完正在使用的資料後，將其重新上傳到雲端，然後從裝置中刪除。
• 將追蹤軟體安裝到公司提供的設備中，供遠端工作人員使用。 這將使安全團隊能夠追蹤各個設備上的資料處理情況。
• 確保您鎖定了存取系統的每台設備的詳細信息，以便您的安全團隊可以在報告遺失或被盜時使用必要的軟體擦除設備上的所有公司密碼、資料或文件。

員工可以做什麼？

• 一旦發生設備遺失，請立即報告。
• 盡可能避免在公共場所工作。 如果沒有，請確保其他人無法看到他們的螢幕。

電子郵件詐騙和網路釣魚的易感性

與所有員工一樣，遠距員工也面臨網路釣魚和電子郵件詐騙的風險。 脫離公司環境可能會導致粗心和觀念改變，使遠端員工更容易受到影響。 當員工不在同一個房間時，他們也不太能夠驗證電子郵件是否來自同事。

你能做什麼？

• 循環對話。 舉辦研討會，討論如何發現潛在的騙局，以及如果員工認為自己被騙了該怎麼辦。
• 讓員工了解網路釣魚詐騙的故事。
• 監控員工電子郵件－篩選任何潛在的詐騙。

員工可以做什麼？

• 立即將他們認為可能是騙局的任何電子郵件發送給上級。
• 避免打開不認識的人的連結。
• 僅回覆同事和已知客戶的電子郵件，直到電子郵件被篩選。
• 擁有所有同事的非電子郵件聯絡方式，例如電話號碼。 使用這些來驗證電子郵件是否是同事發送的。

無人值守設備

就像在辦公室一樣，無人值守的設備存在巨大的安全風險，但對於遠端工作來說更是如此，因為任何人，甚至不僅僅是其他員工，都可以存取其中保存的數據

你能做什麼？

• 密碼保護設備上的所有資料。
  • 如上所述，MFA 提供了額外的安全層。
  • 確保資料已加密。 除非使用非常特定的數字金鑰，否則這會將資料弄亂成不可讀的格式。 這個特定的數位金鑰只有需要存取該資料的員工才知道。
• 確保每次存取資料時都需要使用 MFA 登錄，即使所述資料剛剛在之前關閉。
• 員工只有擁有該資料的密碼，才能被授予存取所需的特定資料的權限。 例如，銷售員工不需要存取人力資源資訊。

員工可以做什麼？

• 密碼保護 – McAfee 建議密碼應包含大小寫字母、特殊字元和數字，以確保密碼安全。 所有工作設備都應具有唯一的密碼，員工不得將其洩露給其他任何人。
  • MFA：員工應該擁有可信賴的設備來發送 MFA 代碼或只有他們知道答案的個人安全問題。
• 切勿讓他們的設備在公共場合無人看管。
• 確保設備在不使用時被鎖定。

合規性和數據法規

安全團隊需要確保資料實踐符合 GDPR 法規。

• 如果沒有既定政策，員工很容易在資料存取和管理方面違反 GDPR 法規。
• 透過限制員工有權存取的資料並實施上述安全措施，遵守法律安全法規將變得更加容易。

兼顧安全與員工信任

您必須確保公司的資料免受疏忽甚至惡意洩漏和內部攻擊。 然而，同樣重要的是，您要確保您的員工知道他們是值得信任的。

在安全性與員工信任之間兼顧可能很棘手。 以下是一些管理它的提示和技巧：

• 通知您的工人。 準確地告訴員工您正在採取哪些安全措施，並告訴他們原因—這是保護資料的安全毯，而不是信任問題。
• 給他們事實。 解釋說大多數資料外洩都是由於無心錯誤和疏忽造成的。
• 允許一些隱私。 追蹤您需要追蹤的內容（資料庫、公司站點、業務通訊等），但不要追蹤設備上的每一個動作。 員工不應感到自己的一舉一動都受到監視。
• 循環對話。 召開虛擬會議，討論資料外洩、威脅等。 發送資料外洩的故事來證明所表達的觀點。 讓員工談論資料外洩以及他們可以採取哪些措施來防止資料外洩。

結論

當涉及遠距工作者時，必須同時考慮好處和風險。

對於新創公司來說，它們是高效且具有成本效益的，因為它們允許您僱用員工而不必擔心租用辦公空間。 遠距工作者也往往更有動力，並享受遠距工作的工作/生活平衡。

但是，您必須考慮並為潛在的安全漏洞做好準備。 這不是一個信任員工的問題——當絕大多數洩密都是人為錯誤造成的時候。 它涉及採取所有可能的步驟來確保您的遠端工作人員可以存取他們所需的數據，同時將洩漏的可能性降至最低。