《2005十大資安威脅之七》員工資安觀念薄弱

企業對於資訊和網路的依賴程度越深，受到的資安威脅也隨之增加，防護機制的建構刻不容緩，就算企業的資安防護體系再怎麼嚴密跟完整，如果缺少工作人員和資訊人員的訓練與配合，還是會有出問題的可能。尤其是使用者端，也許防毒、防火牆、內容過濾技術可以協助企業監視外來威脅，卻沒辦法百分百保證使用者的行為不會危及網路安全。

企業資訊安全的防護若要做到「固若金湯」，員工教育訓練絕對是不可或缺的一環。對於機密資料進行權限管理，審查每位員工是否需要接觸機密資料，嚴格限制使用權限，一般只要對員工加強教育訓練，就能避免人為因素導致機密資料遭竊，或是工作流程中產生資安漏洞。

所以，定期對員工進行安全教育訓練是必要的，第一步還是要先決定公司政策需求，以及每個部門所需的訓練程度，像是IT部門負責安全的人員必須深入了解所使用的安全產品與系統，非技術人員或管理階層則只需具備一般程度，而且既定政策必須強制施行，必要時要求員工簽署相關規定的同意書，絕對不能有例外。

至於安全系統與網路管理人員應該建構安全防護機制，成立緊急應變小組因應可能發生的漏洞，並與人資部門密切合作消弭人為因素，隨時回報可疑的狀況。此外，視企業規模與需求導入BS7799等安全認證，也是協助企業建立資安架構、制定資安政策、管理工作流程與教育訓練工作人員的方法之一。

不過，目前臺灣所謂的資安教育都著重在產品的使用與技術，少有資安觀念的專門課程，企業如何訓練員工是很大的問題。


如何提升員工資安警覺：

●制定安全政策
●定期進行員工資安教育訓練
●強化End-Point管理
●導入BS7799認證