人为错误导致网络安全漏洞的 7 种方式

根据 Verizon 在 2021 年发布的一份广泛的网络安全报告，“85% 的数据泄露是由人为错误造成的。” 在网络安全和数据保护中，人为错误被定义为员工的无意行为，这些行为可能导致安全漏洞，最常导致数据泄露。

一个错误对公司来说可能是致命的，并造成数百万美元的损失。 例如，Target 在 2013 年发生了一次巨大的数据泄露事件，给公司造成了 9000 万美元的损失。 事件发生后，公司声誉受损，需要很长时间才能重新赢得客户的信任。

公司能否预见到可能发生的安全漏洞并加以预防？ 让我们讨论最常见的人为错误以及如何预防这些错误。

导致网络安全漏洞的 7 个严重人为错误

人为错误的无意性质并不意味着它们是不可避免的。 但是，公司可以识别其安全策略中的漏洞并采取措施降低风险。 以下是可能导致安全漏洞的七种最常见的人为错误。

为您推荐： 2022 年保持在线保护的 17 个最佳网络安全提示。

1.密码卫生

NordPass 在 50 个国家/地区进行的 2021 年研究表明，“123456”组合被 1.3 亿人用于登录目的。 第二和第三最常用的密码是“123456789”和“qwerty”，分别有 4600 万人和 2230 万人使用。 熟练的黑客可以在不到一秒钟的时间内破解这种弱密码。

除了设置糟糕的密码外，大多数人还在个人和公司电子邮件、社交媒体帐户和其他服务中使用相同的密码组合。 有些人多年未更改密码，甚至与同事分享密码或将其写在便签纸上并粘贴到显示器上。 Verizon 表示，这种对密码粗心大意的态度导致了 61% 的安全漏洞。

2.数据访问控制不足

为某人分配不适当的访问权限是另一个可能导致安全漏洞的人为错误。 在一些组织中，不称职的人有权访问敏感数据。 但是，在大多数情况下，默认情况下会向员工授予如此广泛的访问权限，除非有特定的限制请求。

以下是由于访问控制不当导致的最常见错误：

• 无意或有意删除敏感数据。
• 进行可能导致数据泄露和数据泄漏的系统配置。
• 在系统中执行未经授权的更改。
• 将包含有价值数据的电子邮件发送给错误的收件人。

3. 间谍软件

当员工在线寻找完成手头任务的信息时，他们可能会从未经授权的来源下载文件、单击未知链接或在随机弹出窗口中单击“是”。 此类操作可能会在您不知情的情况下在您的设备上安装间谍软件。 您甚至不会怀疑，在您进行日常工作时，它会记录您的在线活动并获取您的登录凭据和个人信息。 然后，此恶意软件将收集的信息传输给第三方，未经您的同意使用它。

最糟糕的是，间谍软件可以从一台计算机传播并感染公司的整个网络。 如果没有及时发现，会给企业造成数百万美元的损失。

4. 缺乏网络安全意识

在大多数情况下，导致安全漏洞的人为错误是意外或由于缺乏知识造成的。 不幸的是，一些组织过于专注于取得成果，而忽略了对员工进行网络安全教育的必要性。 以下是人们由于缺乏知识而可能犯的几个常见错误：

• 从可疑和授权来源下载软件。
• 在没有 VPN 加密的情况下连接到餐厅或酒店的公共 Wi-Fi。
• 堵塞设备，例如来源不明的美元存储。

5. 钓鱼邮件

根据 Verizon 在 2020 年进行的一项调查，20% 的网络安全漏洞是由网络钓鱼电子邮件引起的。 单击此类电子邮件中的恶意链接是代价最高的人为错误之一。 据报道，单条被盗记录的平均成本为 133 美元。 想象一下，如果除了最终用户计算机之外，整个网络都受到感染，会对组织造成多大的损害！

6.软件安全性不足

当员工执行重复性的日常任务时，他们会变得粗心大意，久而久之就会忽视安全程序。 他们认为，如果他们昨天的工作是天衣无缝的，那么今天就没有什么可以威胁到他们了。 这种对安全程序粗心大意的态度有时会危及整个公司的安全系统。 以下是员工忽略的安全程序：

• 软件更新：大多数员工会跳过软件更新，因为它们花费的时间太长或出现在最不方便的时间。
• 有时，员工可以关闭防病毒或安全功能，因为它们会干扰他们的工作。 在积极使用 Internet 时让计算机不受保护哪怕一分钟都是危险的。

7.延迟修补

延迟修补与前一点密切相关，但更侧重于软件更新。 网络罪犯一直在寻找软件安全漏洞，但软件开发人员也在这样做。 一旦他们发现了这样的漏洞，他们会立即修复它并发送众所周知的补丁程序，即软件更新。 那些按时安装更新的人可以保护他们的设备免受安全漏洞的侵害，而每一分钟的延迟都会增加受到威胁的风险。

Equifax 信用报告机构的案例很好地说明了为什么不应忽视软件更新。 2017 年，他们的软件存在安全漏洞。 该公司知道这一点，但推迟了修补程序。 结果，他们的系统遭到黑客攻击，超过 1.4 亿美国客户和 8,000 名加拿大客户的个人信息遭到泄露。

您可能喜欢：您的业务网络安全所需的文档和协议。

如何降低人为错误的风险并防止网络安全漏洞

一旦公司确定了其安全策略中的漏洞，他们就可以采取预防措施。 犯错是人之常情； 这就是为什么不可能完全消除风险，但可以将其最小化的原因。 查看以下七项措施。

1.改进密码管理

由于网络安全漏洞的最大部分是由密码卫生不良引起的，因此公司应特别注意密码管理。 组织应制定明确的政策，反对使用简单密码或为所有帐户设置一个组合。 密码生成工具可以帮助创建由字母、数字和符号组成的强而可靠的密码。

此外，在所有公司帐户中激活双因素身份验证也应该是政策的强制性部分。 它将加强对您帐户的保护，并使它们无法被黑客破解。

2. 控制对敏感数据的访问

授予所有员工对敏感数据的无限制访问权限是公司的一个巨大错误。 默认情况下，应拒绝所有员工访问。 然后，只要员工需要访问数据以执行其工作，管理人员就应该随时分配权限。 大多数系统甚至根据其角色具有不同的用户权限级别。 例如，初级专家只能查看文件，而管理人员有权编辑或删除文件。 这样的用户权限划分可以保护敏感数据不被修改或意外删除。

3. 安装防病毒和反间谍软件

病毒和间谍软件会对您的设备和网络造成破坏性破坏。 因此，受到保护比对抗其破坏性后果更为明智。 抵御病毒和间谍软件的最佳方法是防病毒和反间谍软件。 McAfee Total Protection、Norton 360 和 Bitdefender Total Security 是三大值得使用的顶级反间谍软件解决方案。 该软件提供用于加密互联网使用的 VPN 和用于保护设备免受外部威胁的防火墙。

4. 对员工进行网络安全教育

大多数人为错误都是由于缺乏网络安全知识造成的。 减轻此类错误风险的最佳方法是教育员工并提高员工对信息安全的认识。 公司应经常举办培训，并向员工传授网络攻击、攻击类型和保护程序。 他们应该知道如何区分网络钓鱼电子邮件和真实电子邮件、如何报告它们以及在检测到安全漏洞时该怎么做。 如果您的公司有特定的安全策略，请确保您的员工了解它。

5.过滤收到的电子邮件

保护自己免受网络钓鱼电子邮件侵害的一种方法是标记从公司外部收到的邮件。 但这不是 100% 的解决方案，因为一些垃圾邮件可以模仿您公司的电子邮件域。 因此，使用检测可疑电子邮件的安全软件是另一种选择。

无论您决定如何与网络钓鱼作斗争，请制定一个经验法则，永远不要下载文件或点击可疑电子邮件中的链接。

6.更新您的安全政策

贵公司不应依赖员工对遵循网络安全程序的认真态度。 你应该有一个解释清楚的公司安全政策，描述如何处理敏感数据、如何以及何时更新密码和其他安全规则。 但是，本指南不应过时。 确保定期更新并通知您的员工熟悉新的安全程序。

您可能还喜欢：机器学习如何用于网络安全？

7.定期更新软件

软件开发人员发布补丁是因为他们发现了漏洞并希望帮助您抵御这些漏洞。 因此，忽略和跳过软件更新会增加您的设备受到威胁的风险。 因此，建议在补丁可用后立即安装补丁。