如果您的科技启动公司要从 2025 年汲取一个教训，那就是没有哪家企业会因为规模小而不成为网络犯罪分子的目标。事实上，由于资源有限且拥有宝贵的客户数据，中小企业如今比旧版企业更容易成为勒索软件的目标。

启动公司往往缺乏在创业早期做出正确决策所需的知识或资源。我们联系了一位经常与科技启动公司合作的 IT 安全专家，以深入了解企业在刚起步时需要知道些什么。

Power Consulting（新窗口） 的首席运营官兼客户服务总监 Gary Power 在 IT 外包行业拥有 25 年的专业经验。Power Consulting 与各行各业、各种大小的企业密切合作，提供的服务包括托管 IT 服务、IT 战略规划以及网络安全审计和服务。

我们与 Gary 进行了交谈，以了解科技启动公司在创业早期容易在哪些方面犯错。

您的企业再小也需要网络安全措施

Proton 利用我们的数据违反观察站追踪暗网上泄露的商业数据，以了解黑客的攻击目标以及企业是如何遭到违反的。我们发现了 794 起违反事件，泄露记录总计超过 300,000,000 条，显然规模较小的组织面临的风险正日益增加。

您的企业可以从研究其他企业如何以及为何受到数据违反的影响中获益。您可以在我们最新的电子书 击垮 2025 年的违反事件 中找到从数据违反观察站获得的见解，以及我们为科技启动公司提供的网络安全建议。

下载电子书

无论是凭证管理不到位，还是未能采用端到端加密等保护措施，中小企业似乎都在安全实践中犯了关键性错误。如果小企业仍然容易受到网络威胁，企业增长将受到限制，最终损害全球各行业的创新与发展。

Gary 指出，要充分保护您的企业，一个关键点在于转变对所采用安全措施的思维方式。

“早期，创始人通常会提出一些被动式的问题，例如‘我们需要这个吗？’或者‘对我们的规模来说这是否过头了？’随着企业逐渐成熟，问题会转变为‘什么才能真正防止我们遭到违反？’以及‘我们如何在安全扩展的同时不拖慢业务？’”

与其在企业立足过程中跳过步骤，不如从一开始就投资于网络安全。毕竟，正如 Gary 所说：“最成功的创始人认识到，安全是推动者，而不是阻碍者。”

旧版工具并非自动安全

当需要选择企业将要使用的工具时，例如电子邮件、云端硬盘和密码管理器解决方案，您的选择会产生重大影响。Gary 提醒，不要想当然地认为流行和现代的解决方案就一定是最安全的选择。

“最大的盲点是认为安全是‘隐含的’，因为他们使用的是现代工具或云平台。创始人往往认为 Microsoft 365、Google Workspace 或 AWS 就自动等于安全。实际上，大多数违反事件源于配置错误、薄弱的身份控制、不良的访问习惯以及缺乏监控——而不是什么奇特的黑客技术。”

这听起来可能不太乐观，但其实是个好消息：预测和防范复杂黑客技术的难度，要远高于在网络中建立健全的身份管理和监控实践。Gary 强调的问题可以通过以下方法解决：

  • 实行全面的网络应用安全实践，帮助您识别并缓解环境中潜在的威胁。
  • 采用单点登录（SSO）和双因素身份验证（2FA）等身份管理措施，在保护企业网络的同时，让团队成员更轻松、更安全地访问企业网络。
  • 暗网监测是一款实用的工具，一旦您的企业数据出现在暗网上，它就会通知您，让您能够迅速采取行动，防止数据遭到违反。

人为错误是严重的威胁

如果工具没有得到安全使用，那么工具本身是否安全也无关紧要。人为错误实际上是您企业面临的最大网络安全威胁之一。由于现代企业网络的复杂性，攻击面正呈指数级增长，这要求团队成员创建数十个使用不同密码的帐户，并可能需要从他们的个人设备访问这些帐户。

“另一个重大失误是低估人为风险：网络钓鱼、凭证重复使用和未受管理的设备通常正是攻击者入侵的前门。”

这些风险源于网络安全意识不足，以及对团队成员能否通过个人设备访问企业网络、如何访问缺乏明确规定。所幸的是，通过策略和教育双管齐下的方法，这些问题可以轻松解决：

“早期的决定会成为永久的默认设置，”Gary 说，“身份模型、数据位置、管理员访问权限和设备标准在日后极难更改——尤其是在客户、投资者和监管机构介入之后。安全债务会像技术债务一样不断累积。与在发生违反事件、审计失败或被网络保险拒保之后再追加控制措施相比，尽早设置良好的防护栏成本要低得多，干扰也更少。”

安全基础比工具更重要

工具并不是企业进入市场时唯一需要考虑的事项。您的 IT 基础设施将决定团队成员工作的安全程度、您识别风险的能力，以及您解决问题的速度。

Gary 解释了 Power Consulting 的专家如何为启动公司搭建 IT 和网络安全基础设施。“我们首先关注的是基础，而不是花哨的工具。”

  • 设置强大的身份和访问管理策略，包括 MFA 和“最小权限”原则，即员工只应访问他们所需的系统。
  • 从第一天起就保护端点安全，包括员工的个人设备。设备管理软件可以帮助您掌握谁在登录您的网络以及从何处登录。
  • 使用集中式日志和监控，以免未经授权的访问或帐户违反等问题未被察觉。
  • 使用合适的备份和恢复工具为事件做好准备，例如不可变备份(创建后无法更改)，或采用异地保护，将关键数据发送并存储在主营业场所之外。

在坚实的基础上构建您的企业，最终就是在为企业的未来投资更安全的保障。从长远来看，您在搭建安全基础设施上所花的时间，将为您节省资金并规避风险，这是值得的。

花时间正确设置

Gary 建议重点关注身份架构，因为这是安全影响最大的领域。每位团队成员都拥有一个数字身份，使其能够访问企业网络中所需的数据和工具，而妥善配置这一架构将在未来带来巨大不同。

“糟糕的身份架构最难撤消——共享帐户、MFA 采用不足以及管理员过多都会造成长期风险，”Gary 解释道，“无序的数据蔓延是另一个重大问题；一旦敏感数据散落在个人云端硬盘、电子邮件收件箱和未受管理的 SaaS 应用中，重新掌控将非常痛苦。最后，早期缺乏文档和明确的责任归属，会随着团队的发展导致混乱和盲区。”