混合工作环境下如何实现防止资料丢失策略？

存档说明：本篇原刊于2021年5月15日。密码、MFA及VPN段落已按2026年9月10日查阅的官方指引修订。原文提及的“最近的研究”、数字及金额比较未附可核对来源，保留作2021年存档文字，并非现时统计或经核实的风险排名。

在疫情期间，大家都会增加了在家工作的时间，而这种转变方式并非一时三刻！随着大家都习惯了采用科技进行远程工作的方便性，即使疫情过后，这种工作模式只会有增无减！不过这种工作模式对于企业管理来说，除了传统的管理模式需要转变外，如何确保远程工作环境下资料不会出现丢失，亦是一大学问。

在考虑网络安全威胁时，我们经常会想到外部威胁和外部攻击，这都是十分正常的，毕竟当这些事件发生时，很容易就会成为头条新闻。然而，最近的研究清楚地显示，外部不良行为者并不是最严重的风险。公司的员工通常构成更严重的网络安全威胁。员工的一个小小个人行为错误将可能对品牌造成严重损害。员工通常会无意中将数据共享、存储于不安全的平台中，而他们之所以会这样做的原因十分简单，就是那种方式比较“方便”便会将文件存放到有关的介质内。

而这种欠缺危机意识的不当使用，将会直接令公司机密数据泄露，长远将有可能对品牌造成金钱和声誉的损害。

部署全面的 DLP 策略

要有效预防资料外泄，落实全方位的 DLP 策略是一个可行的方法。目前市面上有很多不同的 DLP 方案可供选购，这些方案主要通过大数据进行学习，当用户进行一些可能会导致数据出现外泄情况的动作时，便会自动作出提示，让用户可立即想想正在进行的动作是否会构成资料外泄的情况，长远改变用户使用习惯，从而改善用户危险行为，可以说是从源头降低数据外泄风险。

使用强密码，发现外泄时立即更改

2021年原文提及“超过三分之一”员工未更新密码及“数十亿”账户登录资料被盗用，但未附可核对的研究来源；这些数字不作现时统计。依现行NIST指引，不应只因固定周期到期便强制更改密码；若有密码外泄或被盗用的证据，则应立即更改。企业应协助员工使用足够长、难以猜测的密码，避免已知外泄或常见密码，并支持密码管理器及限制失败登录尝试。参考NIST密码指引。

按需要选用 VPN，并启用多因素验证（MFA）

公司应按远程访问需要，选用经公司批准及管理的VPN或其他具适当保护的远程访问方案；员工不应自行使用未经批准的个人VPN处理公司机密资料。VPN只保护经其隧道传输的流量，仍须维护终端设备，并及时更新VPN客户端及服务器。参考NCSC的VPN指引。

另外，VPN及其他远程访问账户应启用多因素验证（MFA），以两种或以上不同类型的验证因素确认身份，降低单凭被盗密码登录的风险。可行时应优先选用抗钓鱼的验证方式，例如适当设置、包含用户验证的FIDO2/WebAuthn方案。不同MFA方式的防护能力并不相同，不能视为完全杜绝钓鱼或账户入侵的保证。参考NIST多因素验证及抗钓鱼指引。

加强员工安全意识

其实不论你使用的工具有多先进，只要一个“猪队友”便可迅速瓦解所部署的防御措施，所以教育员工，提升他们的安全意识才是最为重要的，可以说比起数百万元的防御方案更为重要！只要大家的安全意识能大大提升，数据丢失的风险亦会随之降低。