据国外媒体报道，在美国影视大亨索尼影业遭黑客攻击的一个月后，美国总统奥巴马近期计划提出一系列保护美国消费者和企业免受网络威胁的措施，以打压网络犯罪。索尼遭网络攻击导致多部未上映新品被盗、旗下演员资料曝光等各种泄密事件，除了索尼，去年发生网络安全事件的企业也不在少数，尤其是美国的零售业，在下半年成了重灾区，对奥巴马来说，促进安全立法是势在必行的事情！

但企业网络安全除了依靠国家的力量去立法保护以外，企业自身也不能忽视制定保护网络安全的计划。在新年伊始，制定一个周全的网络安全计划，能够大大降低企业网络安全的风险，而在制定网络安全计划时顾全大局的同时不要忽略了以下细节：

1. “自己人”才是最大、最持久的威胁

安全链中最薄弱的一环永远是终端用户，企业的安全事件有许多都是内部员工有意或无意所导致的，因此IT管理人员制定安全计划时不要因为害怕用户的抵触情绪而觉得某项安全策略不适用于用户，降低了安全的标准。在某种程度上，即使是对专业人士，遵从安全策略也是应该自动强制执行的，更别说终端用户了。

2. 发现可疑问题要做明确处理

据说，美国零售商发生信息泄密事件时，其销售系统收到了问题警报，但是警报发起时恰逢购物的黄金时间。收到警报的人，既没有权限让系统下线并进行问题排查，也找不到任何有权限的人，于是泄密灾难随即降临。

当第一次发现问题时，如果有人采取了相关措施，问题是可以得到控制的，所以一定要确保员工知道谁有权限，并在问题发生的第一时间做出强制呼叫，并要一定程度上赋予非权限人员自行处理安全问题的相关权限。

3. 分散权限构建双重保险机制

拿战争中发射导弹的事情来说，有两名军官负责发射发射导弹，如果其中一名军官因为不太确定，而没有输入启动指令，那么另外一名军官必须要要权限点击启动按钮。分权的好处是克服个人主观因素导致的失误，企业网络安全系统相对重要，要考虑双重身份验证，构建双重保险机制。

4. 小心控制要下载的东西

严格控制员工自己下载东西和安装软件等，对这方面的管理通过设备控制就可以实现，与数据泄露后的修复和网络感染的影响相比，管理好公司所拥有的及所连接的设备只不过是小事一桩，但对企业的网络安全，却有重要的意义。

5. 记录并追踪所用的开源代码

大家都想有个白名单，但是对于新上的软件产品或应用程序，还是要有一个适当的申请和审查机制，才可以进行安装。许多软件产品都部分乃至完全基于开源代码，所以要对其开源组件进行追踪。如果你连哪里使用了开源组件都不知道，一旦日后发现漏洞，你将面临无法估量的风险。

6. 确保用户安全上网

控制员工下载和安装软件能降低安全风险外，对于用户的上网行为的管理也是关键点。IT管理人员必须掌握用户的网页浏览情况，许多破坏性的网站看起来很正常，但其杀伤力可以是无法预估的。保护网络安全的方式使对网页浏览进行毫无例外的严格控制，一方面确保安全上网，另方面也大大提高工作效率。

7. 掌握公司用户设备的使用情况

除了在企业范围内管控网络安全外，还要考虑到流动设备的管理。去年10月摩根大通的泄密事件，便是黑客入侵了摩根大通员工的手提电脑，窃取了用户凭证，从而入侵了企业的网络。因此，如果企业为员工配备了手提电脑，那么即使电脑不在企业范围内，也必须确保它的安全。所以，掌握公司设备的使用情况要考虑内外不同的环境。

企业安全防御跟人生病一样，小病不治成大疾，不仅费时费力费钱，而且不一定能治好，企业的安全防御同样如此，等到泄密事件发生才进行安全部署，不仅收效甚微，且许多工作都为时已晚。事后补救不如事中控制，事中控制不如事前预防，企业网络安全部署，宜早不宜迟，新年之初，应赶紧做好整年的部署计划。