合規與風險
企業與家用網路的邊界變得模糊，如何消除在家上班與混合上班的資安漏洞？
隨著疫情幾乎已經完全獲得控制，全球各地的企業不是回歸到正常上班，就是徹底轉型成遠距上班，不然就是兩者並行。儘管每一種方式都有其優、缺點，但就網路資安的觀點，後兩者都會帶來一些挑戰，並突顯出某些資安漏洞。 不論混合上班或在家上班 (WFH) 都得讓員工離開原本較為安全且受到監管的辦公室環境。這兩種方式都會讓企業網路與家用網路的邊界變得模糊，同時兩者的受攻擊面也會因而擴大。那麼，企業該如何消除這些資安漏洞？
隨著疫情幾乎已經完全獲得控制，全球各地的企業不是回歸到正常上班，就是徹底轉型成遠距上班，不然就是兩者並行。儘管每一種方式都有其優、缺點，但就網路資安的觀點，後兩者都會帶來一些挑戰，並突顯出某些資安漏洞。不論混合上班或在家上班 (WFH) 都得讓員工離開原本較為安全且受到監管的辦公室環境。這兩種方式都會讓企業網路與家用網路的邊界變得模糊，同時兩者的受攻擊面也會因而擴大。那麼，企業該如何消除這些資安漏洞？
遠距上班所面臨的四種威脅
首先，我們必須觀察一些資料來了解到底有哪些威脅在疫情這段期間蓬勃發展。2021 年，絕大多數企業都已改成遠距上班。根據我們的年度資安總評報告指出，該年攔截到的惡意檔案數量暴增 382%。
📍1. 網路釣魚
此外，這段期間網路犯罪集團似乎也加大了網路釣魚詐騙的力道。根據趨勢科技 Trend Micro™ Cloud App Security 蒐集到的資料，網路釣魚數量暴增了 596%。儘管大部分員工都已改成在家上班，但駭客依然偏愛使用電子郵件這種低成本、高報酬的惡意程式散播途徑。
📍2. 家用網路威脅
那麼家用網路的情況又是如何？根據趨勢科技 Smart Home Network 解決方案蒐集到的資料指出，從 2019 至 2020 年，家用網路潛在的惡意活動數量大增。根據已攔截威脅數量 (參見圖 2) 顯示，家用裝置 (尤其是路由器) 在這段期間更常遭到攻擊。但這是意料中的事，因為絕大部分在家上班的員工都需仰賴這些裝置來連線以維持生產力。
📍3. 檔案傳輸風險與不安全的工具
在家上班和混合上班要能運作，員工必須要能從遠端存取公司檔案。然而，這些檔案的移動會增加資料外洩的發生機率，或讓惡意檔案有機會進入企業網路。根據企業資訊管理軟體公司 OpenText 所做的一項調查，美國有 56% 的員工使用個人檔案分享工具來處理工作相關的資料。根據同一份調查，有 76% 的受訪者坦言在家上班讓他們感覺到一股資訊氾濫的壓力，另有 26% 表示他們每天都會用到 11 種或更多種帳號、資源、工具及應用程式，這些數字相當驚人。
企業應提供安全的方式讓員工傳輸大型檔案並存取檔案分享服務。此外還應教育員工哪些檔案可以安全地分享，以及該如何正確設定檔案分享權限。
📍4. VPN 漏洞
虛擬私人網路 (VPN) 可讓使用者從家中安全地連上企業網路。但不幸的，有些未修補的 VPN 漏洞已成為駭客的攻擊途徑。其中一個最常被攻擊的漏洞就是 CVE-2018-13379。儘管這漏洞早在 2019 年 5 月就已修補，但時至今日，它仍是最常被攻擊的 VPN 產品漏洞。還有另外兩個最常遭到攻擊的漏洞是 CVE-2019-11510 和 CVE-2019-19781。
不論企業或個人使用者都應該去認識這些威脅，因為不論是混合上班或在家上班，這些威脅的後果都很容易在家用網路與辦公室網路內擴散。在家上班與混合上班其實考驗著員工是否意識到資安是每個人的責任，既然如此，那員工和企業該做些什麼才能防範威脅、消除辦公室網路與家用網路之間的資安漏洞？
維護在家上班與混合上班安全
以下是企業和員工改成在家上班時，為了確保遠距上班安全應該考慮的幾件事。
家庭：
📍公司配發裝置：應該擁有更多資安控管。
📍獨立分開的網路：將您家用網路上的辦公用裝置隔離。
📍VPN 存取：使用 VPN 讓家用網路與辦公室網路之間的連線更安全。
📍網路與路由器安全：開啟路由器安全設定以減少網路遭到惡意入侵的可能性。 可能的話，採用一些網路資安工具來增加一道額外防護以保護整個家用環境與所有連接的裝置。
📍受保護的裝置：即使是連上家用網路的個人裝置也要保持韌體更新並使用安全的組態設定。
📍資安意識：對網路釣魚手法與其他詐騙手法要提高警覺，尤其在資安控管較為不足的環境。
📍安全的通訊與檔案分享工具：僅使用公司提供的工具、服務和帳號來處理工作上的事物，避免使用和下載未經核准的替代品。
辦公室：
📍公司配發裝置：應該擁有更多資安控管。
📍獨立分開的網路：辦公室必須有一個專門給訪客和個人裝置使用的來賓網路。
📍VPN 存取：辦公室應管制 VPN 存取並要求使用者每天重新登入。
📍網路與路由器安全：開啟路由器安全設定以減少網路遭到惡意入侵的可能性。 可能的話，採用一些網路資安工具來增加一道額外防護以保護整個家用環境與所有連接的裝置。
📍受保護的裝置：遵守您公司的個人自備裝置 (BYOD) 最佳實務原則。
📍資安意識：企業必須定期教育員工了解資安最佳實務原則，並建立一個專門的機制來通報可疑事件，尤其是網路釣魚跡象。
📍安全的通訊與檔案分享工具：企業應提供員工所需的工具及雲端服務來進行通訊和存取檔案。