本页内容
要点速览
- 加拿大网络安全中心发布了专门为中小型机构编写的基线网络安全控制措施。
- 其中大多数控制措施，用您可能已经购买了许可证的工具（例如Microsoft 365 Business Premium）就能实现。
- 先实施能阻止最常见事件的控制措施：多因素身份验证、打补丁、受保护的备份、终端防护和员工安全意识。
- 在需要之前就写好事件响应计划，包括要联系谁，以及在电子邮件无法使用时如何联系到他们。
- CyberSecure Canada是一项联邦计划，中小企业可以借此让独立机构依据以基线控制为基础的国家标准评估其安全实践。
- 隐私保护和数据泄露报告义务因省份和行业而异，请向合格的专业顾问确认您需要履行的义务。
为什么中小型机构会成为攻击目标
许多企业主以为攻击者只对大公司感兴趣。实际上，如今的网络犯罪大多是自动化、广撒网式的。钓鱼邮件攻击、密码猜测工具和针对未打补丁远程访问设备的扫描，在出手之前并不会先查看机构的规模。一家拥有宝贵客户数据、经常收付款、而IT管理又有限的小型会计事务所、建筑公司或诊所，正是很有吸引力的目标。
小企业最常遭遇的后果有两种：一是企业邮箱被入侵（BEC），攻击者利用被劫持的邮箱把付款转到自己的账户；二是勒索软件，文件和系统被加密，而且往往在勒索之前就已被复制。两者都会造成严重干扰和高昂代价，但只要切实落实几项基本措施，发生的可能性就会大大降低。
加拿大网络安全中心的基线控制措施
加拿大网络安全中心隶属于加拿大通信安全局（CSE），是加拿大联邦层面的网络安全主管机构。在其公开发布的指南中，有一份面向中小型机构的基线网络安全控制措施文件，旨在帮助没有专职安全团队的机构，把精力集中在投入产出比最高的防护措施上。
这套基线首先从组织层面着手，例如明确哪些信息和系统对您的业务最重要、由谁负责安全决策，然后列出各领域的控制措施，包括：事件响应规划、自动打补丁、安全软件、设备安全配置、强用户身份验证、员工安全意识培训、备份与加密、移动设备安全、边界防御、云服务和外包IT服务安全、网站安全、访问控制，以及移动存储介质的管理。
这份指南可以在网络安全中心的网站上免费阅读，值得直接查阅。下文把其中的主题转化为切实可行的入门步骤，适用于卑诗省或阿尔伯塔省一间典型的Microsoft 365办公室。
按主题划分的实用入门步骤
强身份验证
为电子邮件、远程访问、网上银行、会计和薪资系统启用多因素身份验证。使用密码管理器，让员工无需把密码写下来，也能为每个账户使用不同的密码。
打补丁
为操作系统、浏览器和常用应用启用自动更新。防火墙、VPN设备和其他网络设备要单独跟踪，因为它们不会自动更新。
安全软件
在每台电脑上运行最新的终端防护软件，开启防篡改保护，并指定专人负责审查警报。
安全配置
更改默认密码，停用不使用的服务，取消日常账户的本地管理员权限，并对笔记本电脑进行加密。
备份与加密
定期备份重要数据，至少保留一份勒索软件无法触及的副本，并测试恢复。对移动设备上的数据进行加密。
安全意识培训
教员工识别网络钓鱼，收到付款信息变更时用已知号码打电话核实，并且出错后能放心地尽快报告，不必担心受到责备。
访问控制
只授予员工其岗位所需的访问权限；岗位变动时重新审查权限；员工离职时及时停用账户。
云服务与外包服务
弄清楚哪些安全责任由云服务商和IT供应商承担、哪些仍由您自己负责，并询问供应商如何保护您的数据以及他们自身对数据的访问权限。
编写一份简单的事件响应计划
基线把事件规划当作起点，而不是事后补救。一份对小企业有用的计划，几页纸就能写完。
界定什么算事件
例如：疑似邮箱被入侵、勒索软件、丢失了一台未加密的笔记本电脑，或员工把客户数据发给了错误的人。
明确相关人员
列出由谁做决定、谁负责技术响应、谁与员工和客户沟通，以及外部联系人，例如IT服务商、网络保险公司、律师和银行。
预先考虑电子邮件不可用的情况
保留一份打印版或离线的联系人名单，列明手机号码，因为被入侵的租户恰恰可能是您最不能信任的东西。
写明最初的行动
例如：把受影响的设备从网络断开，但不要关机；重置凭据并撤销会话；保留日志；如果保单有要求，在聘请外部响应团队之前先致电保险公司。
知道向哪里报告
网络安全事件可以向加拿大网络安全中心报告，欺诈行为可以向加拿大反欺诈中心和当地警方报告。隐私泄露可能另有通知义务。
CyberSecure Canada是什么，是否适合您
CyberSecure Canada是由加拿大创新、科学及经济发展部（ISED）牵头的一项联邦计划。中小型机构可以通过它，请经认可的第三方机构依据一项以网络安全中心基线控制为基础的国家标准，评估自身的安全实践。达到标准的机构可以展示该计划的标志，有些机构借此向客户和合作伙伴证明其良好做法，或用来回应供应商安全调查问卷。
参与完全自愿，评估机构会收取费用，而且要求相关控制措施确实已经落实并有书面记录。对许多中小企业来说，更直接的价值在于把同一套基线当作结构化的自我评估和改进计划来使用。如果您的客户或合同开始要求提供安全实践的证明，这项计划就值得考虑。最新的要求和流程，请以该计划官方网站为准。
隐私保护与数据泄露义务
网络安全与隐私法律相互交叉。加拿大的私营机构可能受联邦隐私法管辖，而卑诗省和阿尔伯塔省也各自制定了私营领域隐私法（PIPA），适用于在省内运营的许多机构。其中一些法律规定，某些数据泄露事件须向监管机构报告并通知受影响的个人；医疗等行业还可能另有专门规定。
具体适用哪些规定，取决于您的机构、所在行业以及客户所在地。您的IT服务商可以帮助您落实保护措施、保存事件记录并协助调查，但确定法律义务，则需要咨询合格的法律和隐私顾问。
如果本季度只做五件事
凡是能启用多因素身份验证的地方都启用；确认每台电脑都在自动打补丁；核实至少有一份备份是离线或不可篡改的，并且能成功恢复；部署终端防护并进行监控；举办一次简短的防钓鱼意识培训，并建立清晰的付款信息变更核实流程。
常见问题
在哪里可以阅读加拿大网络安全中心的基线控制措施？
面向中小型机构的基线网络安全控制措施在加拿大网络安全中心网站上免费发布，网站上还有其他面向企业和公众的指南。
CyberSecure Canada是强制性的吗？
不是。这是一项自愿参加的联邦计划。有些机构参加是为了向客户或合作伙伴证明其安全实践，另一些机构则只是把其背后的基线控制措施当作自我评估框架来使用。
我们只有十个人，这些控制措施真的适用于我们吗？
适用。这套基线之所以专门为中小型机构编写，正是因为它们面临与大型机构同样的自动化攻击。大多数控制措施都能很好地按规模缩减，用您可能已经购买了许可证的工具就能实施。
Podium Catchers能让我们符合隐私法律的要求吗？
我们帮助实施并记录有助于隐私保护运营的技术保护措施，但不提供法律意见，也不出具合规认定。您的法律和隐私顾问应当确认您需要履行的义务。