隨著企業的 IT 基礎架構不斷擴大，潛在的資安漏洞也會跟著增加。不論是有充足預算、能投入大量資源強化防護的大型企業，還是資源相對有限的中小企業，都會面臨同樣的問題。而且，別以為公司規模小就不容易被盯上。對駭客來說，中小企業同樣是很有吸引力的攻擊目標。
新時代帶來新風險
雲端平台、遠端存取和人工智慧（AI），讓企業能更快速地擴展業務、提升工作效率，但同時也讓駭客有更多機會入侵企業內部系統。
舉例來說，遠端工作的員工經常使用自己的私人裝置處理公事，而這些裝置往往不容易受到企業完整控管，因此可能成為駭客入侵的突破口。
另外，隨著 AI 技術越來越成熟，現在的網路釣魚郵件已經做得非常逼真，幾乎讓人分不清真假。以前還能透過錯字或文法錯誤來判斷是不是詐騙郵件，但現在光靠這些線索，已經很難辨識了。
新型資安威脅不斷出現，還有另一個原因：企業逐漸學會如何應付過去常見的攻擊手法，駭客自然也會跟著改變策略。
以資料備份為例，幾年前，備份還被視為對抗勒索軟體的萬靈丹。但現在，光有備份已經不夠了。
因為駭客開始改變手法，不一定會加密企業資料，而是直接竊取機密資訊，再威脅企業支付贖金，否則就把資料公開。
這時候，企業面臨的風險就不只是營運中斷，連商譽都可能受到嚴重影響。我們之前也曾在另一篇文章中，詳細介紹這類不加密資料、直接勒索的攻擊手法。
更令人擔心的是，企業遭到攻擊後，麻煩通常不會在事件發生當天就結束。
真正棘手的，往往是接下來幾天，甚至好幾週。
這段期間，IT 團隊不只要趕快處理攻擊造成的損害，還得找出問題根源，避免同樣的事件再次發生。
對正在成長的中小企業來說，原本 IT 人力就不多，一旦發生資安事件，可能得把整個 IT 團隊都投入處理，導致其他工作停擺，企業也需要花更長的時間才能恢復正常運作。
中小企業最常見的三大資安弱點
根據卡巴斯基全球企業市場調查（Global Kaspersky B2B Market Pulse）顯示，多數中小企業通常都是等到不得不處理資安問題時，才開始認真看待資訊安全。
例如，已經發生資安事件、準備擴充 IT 基礎架構，或是潛在合作夥伴要求企業先強化資安防護，才願意簽訂合約。
但真正把「持續監控資安狀況」當成日常營運重要工作之一的企業，其實只有少數。
當企業終於決定要認真強化資安時，通常會遇到三個主要限制：人員、流程和技術。
我們分別來看看這三個問題。
– 人員問題： 對員工人數在 500 人以下的企業來說，IT 部門通常只有幾個人。他們平常得負責處理公司所有技術問題，不一定有足夠的時間或專業能力應付資安威脅。一旦遇到複雜的攻擊事件，可能就會因為缺乏相關經驗而難以處理。另外，其他部門的員工也可能成為資安破口。例如會計、法務，以及其他經常接觸機密資料的人員，不一定熟悉基本的資安規範。
– 流程問題： 小型 IT 團隊通常有一大堆工作要處理，因此系統更新和安全修補程式很容易被往後排。這也讓駭客有更多時間利用尚未修補的漏洞發動攻擊。同時，其他員工可能不知道收到可疑郵件時該怎麼處理，也不清楚如何安全地保存或分享密碼。更麻煩的是，公司可能根本沒有專人負責監督這些資安措施是否確實執行。
– 技術問題： 隨著企業採用的技術不斷升級，面臨的資安威脅也會跟著改變。舉例來說，當企業把部分系統搬到雲端後，如果還是只依賴傳統防毒軟體，就無法提供足夠的防護。
因此，中小企業之所以容易成為駭客的攻擊目標，問題不完全在於公司規模大小，而是企業沒有充分重視資安防護的幾個重要環節。
那麼，忽略這些問題究竟會帶來什麼後果？企業又該如何改善，讓自己不再處於被動挨打的局面？
接下來，我們透過一個真實案例來了解。
真實案例：企業 ERP 系統遭駭客入侵
這起事件發生在一家擁有 450 名員工的企業。
當時，這家公司正在將 ERP（企業資源規劃）系統搬遷到雲端。雖然資料已經完成移轉，但相關的資安防護措施卻還沒建置完成。
而這段新舊系統交接、防護尚未到位的空窗期，正好成為駭客發動攻擊的最佳機會。
駭客使用的手法其實並不複雜。
首先，他們假冒外部 ERP 系統整合廠商，寄送一封電子郵件給公司的財務部門，並附上一份聲稱是「已調整發票」的檔案。
當財務人員打開附件後，裡面的惡意程式便利用電腦上某個應用程式的安全漏洞，成功取得裝置的控制權。
接著，駭客在這台電腦中找到事先儲存的登入憑證，並利用這些資訊登入支援帳號，進一步取得雲端 ERP 伺服器的管理員權限。
最後，駭客成功入侵伺服器，竊取公司的機密資料。
我們分析這起事件後發現，造成攻擊成功的原因，仍然離不開前面提到的三個關鍵問題：人員、流程和技術。
首先，公司雖然有安排員工教育訓練，但大多只是例行公事，並沒有真正幫助員工學會辨識網路釣魚郵件。
其次，企業沒有即時安裝安全更新，導致員工電腦存在尚未修補的漏洞，讓駭客有機可乘。
更嚴重的是，具有高權限的登入憑證竟然直接儲存在員工的電腦裡，等於替駭客開了一條取得管理員權限的捷徑。
最後，員工電腦沒有部署 EDR（端點偵測與回應）防護機制，雲端 ERP 伺服器也缺乏工作負載防護，因此無法有效偵測及阻止這次攻擊。
中小企業該如何強化資安防護？
想要提升企業的資安防護能力，最好的做法，就是從前面提到的三個關鍵面向開始改善。
而且，強化資安並不代表一定要投入大量預算。
真正重要的是制定一套清楚、循序漸進的改善計畫，善用企業現有的人力與資源，把防護做到位。
一、透過實際演練，加強員工資安意
員工是企業資安防護的第一道防線，因此，協助員工養成良好的資安習慣非常重要。
許多企業其實都知道這一點，也會定期舉辦資訊安全教育訓練。
但問題是，員工雖然都有參加課程，回到工作崗位後，卻還是不斷犯下相同的錯誤。
為什麼會這樣？
因為多數資安教育訓練的內容，跟員工實際工作遇到的情況沒有太大關聯。
舉例來說，財務部門的員工可能知道駭客會寄送網路釣魚郵件，但不一定了解這些攻擊會如何出現在自己的日常工作中。
因此，我們建議企業將資安理論課程與真實攻擊情境模擬結合。
透過模擬演練，讓員工在安全的環境下，親自體驗成為駭客攻擊目標時可能遇到的狀況。
企業可以優先安排擁有系統高權限的員工，以及經常處理機密資訊的人員接受訓練。
另外，為了避免教育訓練流於形式，也應該定期追蹤員工的學習成果。
例如，不定期寄送模擬釣魚郵件，觀察員工的反應速度與處理方式，包括有多少人點擊可疑連結，以及有多少人主動通報資安威脅。
透過這些數據，企業才能真正了解教育訓練是否有效。
二、建立清楚且有制度的資安管理流程
企業應該針對系統更新與安全修補程式，建立明確的優先處理順序。
這樣可以避免兩種極端情況。
第一種，是系統明明存在安全漏洞，卻拖了好幾個月都沒有修補。
第二種，則是只要發現漏洞就急著修補，卻沒有先評估這個漏洞對企業實際營運的影響程度。
建立集中式漏洞管理機制，也能幫助企業更有效率地處理這些問題。至於該如何導入，我們已經在另一篇文章中詳細說明。
另外，企業在擴充 IT 基礎架構或將系統搬遷到雲端之前，應該先確認相關的資安防護與監控措施都已經準備就緒，不要急著把系統搬上雲端，卻忽略了安全性。
還有一個非常重要的觀念，就是每一項資安工作都應該有明確的負責人。
例如，誰負責定期安排資安教育訓練？誰負責安裝系統更新？發生資安事件時，應該由誰負責應變，以及何時、如何處理？
這些工作都應該事先分配清楚。
如此一來，即使 IT 團隊人力有限，也能確保重要的資安工作按時完成，不會因為沒有人負責而被忽略。
三、依照企業需求，逐步導入資安防護方案
企業想要建立可靠的資安防護，確實需要專業的資安產品。
但這不代表一次買齊所有資安工具，就能解決所有問題。
真正有效的做法，是根據企業目前的 IT 架構與實際需求，逐步導入適合的防護方案。
例如，當企業需要更有效率地判斷哪些漏洞應該優先修補時，就可以導入相關的漏洞管理工具。
如果企業開始大量使用電子郵件或雲端服務，也可以進一步強化郵件與雲端環境的資安防護。
其中一種方式，就是使用卡巴斯基的 Security Modules（安全模組）。
這些模組可以搭配 Kaspersky Next Optimum 使用，協助正在成長的中小企業及中型企業，依照實際需求擴充資安防護能力。
另一種方式，則是隨著企業 IT 基礎架構逐漸擴大，升級到功能更完整的資安解決方案。
企業可以先從 Kaspersky Next EDR Foundations 開始，建立基本的資安防護基礎，提供端點裝置的基本防護與管理功能。
等到企業規模擴大、資安需求增加時，再逐步升級到功能更完整的方案，例如：
- Kaspersky Next EDR Optimum： 提供更進階的端點偵測與回應能力。
- Kaspersky Next XDR Optimum： 將偵測與回應能力擴展到更多資安領域，提升整體威脅可視性。
- Kaspersky Next MXDR Optimum： 結合更進階的威脅偵測、回應與託管式資安服務。
其中，功能最完整的 Kaspersky MXDR Optimum，不只提供超越傳統端點防護的進階威脅偵測與回應能力，也能隨著企業成長，調整防護範圍。
此外，這套方案還結合了 24 小時全年無休的資安監控，以及由卡巴斯基專業團隊主動執行的威脅獵捕與事件調查服務。
讓企業即使沒有龐大的內部資安團隊，也能透過專業支援，持續提升整體防護能力，降低遭受網路攻擊的風險。
資料來源: SMB protection from cyberattacks: weak spots and how to fix them