获得我们最好的练习健康评估

您有强有力的密码策略吗？

密码是第一行防御和最简单的保护，以保持用户数据安全。您需要确保集中控制最终用户密码，以便用户强制使用复杂的唯一密码并定期更改它们。人类将遵循最少阻力的路径，所以简单地告诉他们这样做是不够的，您的密码策略需要可执行。要回答“是”对此问题，您的密码策略应该是：集中控制所以用户被强制遵守，它应该坚持复杂的密码，并应确保在商定的时间后密码过期。

是的不不确定

您是否使用多因素身份验证（MFA）来访问关键系统，例如Office 365和CRM数据库？

通过越来越多的数据存储在云中，特别是在Office365中，组织正在使用传统的安全措施，例如VPN，频繁。如果唯一一个网络犯罪需求才能登录您的电子邮件和密码，这相当容易破解。对于多因素认证（MFA），用户还需要辅助设备，通常是由组织授权的移动电话，用户可以从中生成密码所需的一次性密码。已被证明减少成功账户黑客签发高达99％。

是的不不确定

所有PC和笔记本电脑的硬盘都加密了吗？

虽然您可能有密码策略，但如果设备被盗，则可以通过删除硬盘驱动器并将其安装在另一个设备中来绕过该密码。如果硬盘驱动器本身被加密，则这进一步保护存储在磁盘上的所有数据。网络安全和数据控制是根据GDPR立法的，该GDP在25/05/2018成为法律。根据律师的律师董事是个人责任（潜在监禁）对任何违规行为。加密的重要性是，如果机器丢失或被盗，必须将违约者报告给ICO，其中72小时的损失已知;如果机器被加密，那么这是责任的结束，如果机器未加密，则丢失也必须向所有公司联系人报告，其细节可能会受到损害，这是您没有的步骤如果设备已加密，请参阅。与必须通知所有联系人的负面公关可能比违反违规者更具破坏性！

是的不不确定

您的所有设备是否升级到最新的操作系统？

旧操作系统是您数据安全的立即风险，因为制造商不再被制造商更新并更新，以保护您免受最新的网络威胁。到目前为止，您应该确保所有Windows设备都使用Windows 10技术，并且所有MAC设备都将更新为Mac OS Catalina。

是的不不确定

您是否使用第三方备份服务来备份所有数据？

数据备份仍然是关键任务活​​动，这在基于云的网络中同样重要，因为它与基于传统的服务器基于的计算。由于许多不同的原因，数据丢失或妥协。最常见的数据丢失是偶然的删除，但越来越多的网络攻击工作要加密数据，并且赎金对数据的安全解密的需求 - 快速恢复的能力更具成本效益。当然，硬件腐败，盗窃或破坏也仍然发生。存储云中的数据并不意味着它自动免于对第三方备份的需求！例如，在恶意数据加密的情况下，云存储数据与攻击风险同样多。无论是传统的磁带备份，还是在线云解决方案，应始终存在数据的第二份，在实时数据和备份之间具有“气隙”。它应该涵盖电子邮件帐户，文件存储在服务器或SharePoint或云存储中，以及CRM，HR和金融数据库。

是的不不确定

您是否知道恢复当前系统或数据的关键要素需要多长时间？

大多数组织都认识到备份的重要性，但实际上，它是恢复当出现问题时重要的数据的能力。您的业​​务连续性计划应包括来自您的行政长官的声明，以说明恢复关键系统需要多长时间，并且确认该时间表对组织可以接受。考虑系统的不同部分，例如CRM，财务，文件和文件夹。例如，可能需要几天的恢复是什么？如果需要5天才能运行金融系统的云恢复，这可能会很好，除非在月或纳税年度结束。您组织的停机时间是什么？

是的不不确定

是否有人负责确保所有设备，包括路由器和防火墙，可以使用最新的补丁和更新更新？

制造商定期发布补丁和更新，以便修复绩效问题，还要修补新发现的安全漏洞。重要的是要确保您的组织有人负责定期审核所有设备，那是PC，笔记本电脑，平板电脑以及网络设备，如防火墙，路由器和交换机，以确保它们受到最新制造商更新的保护。

是的不不确定

您是使用集中管理的防病毒/防恶意软件工具，适合商业环境吗？

只要我们中的任何人都记住，杀毒或反恶意软件软件已经存在，但并非所有版本都是平等的！这个软件对你的组织可能比前门上的锁更重要 - 所以不要使用最便宜的选择 - 你得到你支付的东西！由于您的最低限度，您的防病毒软件应该被批准用于商业环境，并且应该集中管理 - 这意味着您的IT管理员应该具有中央控制台，他们可以登录其返回哪些设备在业务中使用哪些设备，并检查一切都在运行最新版本的制造商软件。它永远不应该留给最终用户来管理自己，因为我们可以保证，他们永远不会经常这样做！

是的不不确定

您是否有管理移动设备的策略？

在这本“软件作为服务”世界中，您的员工越来越多地访问您的公司数据，从更多的设备从以往任何时候都可以访问。无论您是何处向同事签发移动设备还是人们都在使用自己的方式，那就是人们最初将通过智能手机访问电子邮件和日历，许多人也将访问文件和CRM数据。重要的是，您有管理移动设备的过程，使您能够确定谁可以访问访问数据的每个设备的最低安全要求（例如，该手机是否具有六位数PIN，并且运行最新的操作系统）并使您能够限制访问和阻止对数据的访问，如果员工留下您，或丢失其移动设备。

是的不不确定

您是否存储了数据存储的所有地方的寄存器？

在GDPR的要求下，重要的是您维护所有公司数据的准确登记，并且您确切地知道存储数据的情况。您应该有一个记录的数据资产注册，思考电子邮件，文件存储，CRM，人力资源和营销数据。不仅考虑电子邮件和文件，而且您的人民正在使用哪些工具用于沟通和共享数据，成为消息传递工具，会议服务等。您应该相信所有第三方供应商正在采取适当的步骤，以便安全地存储数据，您也应该有信心您知道数据在物理存储的位置。您可以将服务外包给软件公司，但您无法在数据保护规则下委托您的职责，信息专员办事处如果您被发现违反良好做法，可以发出重大罚款和处罚。

是的不不确定

您是否正在进行常规网络安全意识培训？

IT安全是50％的技术和50％的人类因素！您需要培训您的员工成为您的“人体防火墙”确保它们对利用这些人为因素的攻击类型保持警惕。威胁景观一直在变化，只需运行30分钟的会议作为归纳的一部分，这是不够的。培训需要是目前的，定期和相关的。

是的不不确定

你在进行测试网络钓鱼练习吗？

网络钓鱼电子邮件变得更加复杂，更难以发现，导致成功的网络安全漏洞增加。保护数据的关键是确保您的员工了解如何发现欺诈性电子邮件以及如何保证您的业务安全。进行定期测试是一个好主意，发送我们的欺骗网络钓鱼电子邮件和跟踪谁对待测试犯规，以便您知道在哪里专注于员工培训。

是的不不确定

您组织内有物理服务器吗？

是的不