企業除了設置防火牆以及弱點偵測防護外，很多時候由於使用者不當的網路存取行為，而導致電腦遭受病毒破壞，資料外洩等事件，甚至於癱瘓企業網路，常會讓資訊人員焦頭爛額。因此如何建立妥善的防範機制，必須要好好思考。

稽核重點：是否執行病毒防護機制？病毒碼更新是否即時？是否集中管理？是否進行資安宣導與人員訓練？

提供資料：防毒軟體相關畫面、資安宣導記錄
在電腦病毒防治檢查的項目包括：最新病毒碼更新版本、病毒碼更新設定、定期掃毒設定以及中毒/防禦通知等，主要是在了解公司是否將病毒防治列為重要防範機制並且是否確實執行，以確保辦公環境電腦的使用安全。

目前我們公司使用的是 ESET NOD32 企業版的防毒軟體，好不好用，見仁見智。與之前卡巴斯基比較起來，我只能說，資訊同仁現在已經很少接到病毒感染或者太多病毒警示的電話了...

我們公司在入侵防範機制，除了定期更新作業系統安全漏洞之外，我們另外採取的是加強人員訓練以及資安宣導的方式。在人員新進的教育訓練中，會宣導公司的資訊安全政策，並且每季會宣導資安政策，並隨時監測最新的病毒資訊，採取相對應的防範措施（如更新病毒碼，下載解毒軟體）。例如，之前讓很多公司都很頭痛的 USB 病毒，很多掃毒軟體根本掃不到，在無法限制大家都不能用 USB Port 的情況下，我們採取的是在每個 User 的電腦安裝 USB 防護軟體 WowUSBProtector 這一套由中研院開發出來的保護軟體，現在這些問題已經沒有在發生了。

另外針對資訊安全的規範，我們制定了公司資訊設備使用規定，來規範使用者的使用行為（當然還有藉助網路行為控管設備，這在新人教育訓練中有公開說明與溝通）。

其內容大致規範：
1.E-mail的使用，勿開啟來路不明郵件與檔案
2.資料（含檔案）的下載與傳送
3.勿自行架設或使用於辦公環境中（如無線 AP、Router、 3G/3.5 G 網卡等）的網路設備，如有業務上之需要，需向資訊單位申請，並於安全的辦公環境中使用（亦即在可監控範圍）
4.勿安裝非法軟體及非業務相關之應用程式
5.使用即時通訊軟體的規範
6.離開座位時，鎖定電腦的習慣（Ctrl+Alt+Del）
7.下班時將電腦關機並關掉電源（為保護地球盡環保責任），如有特殊原因如掃毒或需夜間執行之排程項目，需先資訊對申請，並將電腦鎖定並關閉螢幕電源後離開。
8.登入作業系統密碼設定與變更規範

公司資訊管理部門有責任隨時監控資料及內容，並提供相關主管督導改進。

這裡提供一個很好的資安網站，有很多資安相關機制的建立與說明文件。
i-Security 資安手冊（請先加入個人會員）

全系列文章列表