有組織的犯罪集團正在使用越來越復雜的網絡攻擊手段。這些犯罪集團在網上的自由職業市場中招募黑客，藉以攻破IT系統并進行定制化的網絡攻擊。諸如銀行、政府機構和零售商等業務涉及在線交易的企業，都面臨著重大的風險。

[[118756]]

亞太區的在線交易數量大幅增長，且沒有減緩的跡象。以零售業為例，Forrester Research預測，在中國、印度、日本、韓國和澳大利亞等亞太區五大市場的電子商務規模已接近美國和西歐在線零售業務的總額。預期到2018年，這五大市場的在線零售額將達到8,580億美元，是2013年的兩倍多[1]。然而，與此同時，復雜的網絡犯罪正以指數增長。

先進的、精通技術的犯罪網絡已經崛起，其利用信息共享和數據盜竊工具來繞過安全系統。一項對福布斯全球2,000強企業的調查發現，92%的受訪企業在過去12個月內出現過數據泄露[2]，而全球網絡犯罪黑市目前在每年帶來大約1,040億美元的損失[3]。

然而受到威脅的并非只有這些大企業，中小型企業也特別容易受到網絡攻擊，原因在于他們通常缺乏資源和專業知識來分析流量模式并發現網絡異常活動。在這樣的環境中，從事在線交易的企業需要考慮的不是他們是否會成為攻擊對象，而是何時會成為攻擊對象，并制定相應的計劃。

狡猾的敵人正在不斷演進

任何收集個人信息或財務信息的在線交易都面臨被侵襲的危險。有組織的網絡罪犯不斷尋找更聰明的方式來攻破安全系統，從而盜取信息。

另外一個讓人不安的趨勢是，企業經常在最需要安全防護的時候(高峰期)放松警惕。許多企業為了避免主要系統中斷，選擇暫停對IT安全系統的變更和更新，形成“IT封鎖”。結果，防護變得更加脆弱，并有可能面臨災難性的后果。

管理威脅

無論規模大小，任何需要收集客戶機密信息的企業都必須確保合規并達到可接受的安全標準，以盡可能減少欺詐和網絡犯罪。

企業還需要明白，如果出現錯誤，其聲譽和品牌形象將面臨風險。對于在線交易，客戶希望自己的信息得到良好的保護，而他們對信任的品牌和機構更有特別高的期望。為此，企業更應當積極地保護他們的系統，避免自己的信譽和銷售受到嚴重影響。

打擊網絡犯罪需要綜合的安全措施，包括主動規劃和風險管理策略，以破解攻擊的整個生命周期。這意味著加強投資，在應用層以及硬件和軟件接口進行預防和實時威脅檢測。在發現攻擊或預測到潛在攻擊時，企業的應對措施非常重要，需要立即做出反應以遏制攻擊。

企業需要確保他們擁有如下防御手段以抵擋網絡攻擊：

在信任的同時驗證——確保用戶使用雙因素認證或其它有效的認證方法登錄，或進行賬戶訪問驗證。

辯識威脅和漏洞——掃描應用和網絡以預防入侵。這應當包括修補已知的漏洞、更新企業防火墻和防入侵系統，以及定期進行滲透測試以確保漏洞已被修復。

使用網絡應用掃描與監測——在線交易的好處是24小時服務，但這也意味著需要全天候的安全監測。持續的安全測試對于移動應用也很重要。

為最壞的情況制定應對計劃

由于各種原因都可能造成安全事故，企業很難預防所有入侵。但通過綜合的方法，可以降低風險和安全相關的成本，并更好地控制局勢。

企業應當制定跨越整個安全生命周期的解決方案，從主動規劃和風險管理策略到即時的應對措施。工作重點包括：

· 清晰的流程和政策計劃，以在安全事件之后收集和分析證據。

· 遵守規章制度，以在事故發生后協助司法調查和審計。

· 高效的備份與恢復，以降低數據丟失或刪除帶來的后果。

對于保護企業和客戶來說，迅速的回應在網絡攻擊事件中至關重要。如果機密信息被盜，必須盡快告知客戶，讓他們可以通知其信用卡公司。在任何后續調查中準確地回答安全問題非常重要，這個步驟能保護企業，并針對侵權進行辯護。

降低風險

在當今高度復雜和有組織網絡犯罪的情況下，任何電子商務企業都難以確保安全。企業不能奢望完全消除網絡攻擊的風險，而又不犧牲業務運營的重要功能。

安全就是持續地應對不斷變化的技術和新威脅，以及平衡安全措施和運營需求的過程。通過將網絡犯罪看作重大業務威脅并相應地制定計劃，企業可以大幅減少受攻擊范圍、降低風險并預防攻擊帶來的危害。

關于作者

謝少毅先生現任惠普公司全球副總裁兼中國惠普企業服務集團總經理，負責推動中國企業業務增長及實現財務目標，幫助客戶獲得更高的商業價值并為公司培養人才。謝少毅先生近在惠普中國及亞太區擔任過多種領導職位，在IT行業超過擁有15年的管理經驗。

[1] Forrester Research公司，2013至2018年亞太區在線零售預測，2013年11月26日。

[2] 企業安全基準調查，Ponemon Institute，2012年11月。

[3] 網絡安全專家評出的重大趨勢，Ponemon Institute，2013年5月。