风险4:云应用
解决方案:“最好的防御针对一个基于云的威胁是使用强加密保护数据层面,比如AES 256位,由专家公认为加密金本位和保留键完全阻止任何第三方访问数据即使它驻留在一个公共云,“说普拉温•Kothari创始人兼首席执行官CipherCloud．“正如2014年的许多入侵事件所表明的那样，没有足够多的公司使用数据级云加密来保护敏感信息。”
风险5:未打补丁或无法打补丁的设备
“这些都是网络设备,如路由器、服务器和打印机,使用软件或固件的操作,但不是一个漏洞的补丁还没有创建或发送,或者硬件不是为了让他们更新的发现漏洞后,“说Shlomi Boutnaru,创始人和首席技术官,CyActive．“这会在你的网络中留下一个可利用的设备，等待攻击者利用它来访问你的数据。
一个主要的缺口候选人:即将不支持的Windows Server 2003．
[相关:准备好结束Windows Server 2003了吗?]
“2015年7月14日，微软将不再支持Windows Server 2003-这意味着机构将不再收到该软件的补丁或安全更新，”程序高级副总裁劳拉·伊万(Laura Iwan)指出，互联网安全中心．
根据Forrester的说法，Windows 2003的物理服务器仍有超过1000万台在使用，还有数百万台在虚拟中使用，“预计这些过时的服务器将成为任何有意渗透这些易受攻击服务器所在网络的人的主要目标，”她说。
解决方案:建立补丁管理程序，以确保设备和软件在任何时候都是最新的。
“第一步是部署漏洞管理技术，查看你的网络，看看哪些是最新的，哪些不是最新的，”该公司安全实践主管格雷格•库什托(Greg Kushto)表示力3．“然而，真正的关键是要制定一项政策，让所有人都同意，如果某一设备在一定时间内没有更新或打补丁，它就会下线。”
为了避免Windows Server 2003的潜在问题，“识别所有Windows Server 2003实例;盘点每个服务器的所有软件和功能;基于风险和临界性对每个系统进行优先级划分;制定一个迁移策略，然后执行它，”伊万建议道。如果你不能在家里完成所有的步骤，请有资格的人来帮助你。
风险6:第三方服务提供商
“随着技术变得越来越专业化和复杂，公司越来越依赖外包商和供应商来支持和维护系统，”首席执行官马特•德克斯指出。Bomgar．“例如，餐厅加盟商经常将其销售点(POS)系统的维护和管理外包给第三方服务提供商。”
然而，“这些第三方通常使用远程访问工具连接到公司的网络，但并不总是遵循安全最佳实践，”他说。例如，他们将使用相同的默认密码远程连接所有客户端。如果黑客猜出了这个密码，他就能立即进入所有这些客户的网络。”
事实上，“过去一年里，许多高调且代价高昂的入侵事件(比如家得宝、塔吉特等)都是由于承包商的登录凭证被盗造成的，”产品营销经理马特·赞德里戈表示。ObserveIT．他说:“根据最近的一些报告，大多数数据泄露(76%)都是利用远程供应商访问渠道造成的。”“即使没有恶意的承包商也有可能破坏你的系统或让你成为攻击的对象。”
来自美国的网络安全专家亚当•罗斯补充道:“由于企业在允许第三方访问其网络之前缺乏审查，这种威胁成倍增加。动态解决方案国际．他解释说:“潜在的数据泄露通常不会直接攻击最有价值的服务器，但更像是一个跳蛙游戏，从不太安全的低级别计算机，然后转向其他设备并获得特权。”
“公司在确保关键服务器避免来自互联网的恶意软件方面做得相当好，”他继续说。“但大多数公司都不擅长将这些系统与其他更容易妥协的系统区分开来。”
解决方案:Dircks说:“公司需要验证任何第三方遵循远程访问安全最佳实践，例如强制执行多因素认证，要求每个用户拥有唯一的证书，设置最低权限权限，并捕获所有远程访问活动的全面审计跟踪。”
特别是，“一旦不再需要第三方账户，就禁用它们;监视失败的登录尝试;并有一个危险信号提醒你，马上就会发出攻击信号，”罗斯说。
处理违规行为的一般指引
“大多数组织现在意识到，入侵不是是否发生的问题，而是何时发生的问题，”Rob Sadowski说RSA．为了将安全漏洞和泄漏的影响降到最低，需要进行风险评估，以确定有价值的数据驻留在何处，以及采取了哪些控制措施或程序来保护数据。
然后，“建立一个全面的事件响应[和灾难恢复/业务连续性]计划，确定谁将参与，从IT、法律、公关到执行管理，并进行测试。”
这篇题为“商业安全的六大风险及如何应对”的文章最初由首席信息官 ．