NIST发布面向个体经营者的网络安全指南

如果你是为自己工作——就像数百万美国人那样——那么保护你的企业免受网络攻击，就是完全落在你肩上的众多责任之一。不必畏惧：美国国家标准与技术研究院（NIST）刚刚发布了一份指南，专门考虑到你的需求，也照顾到你忙碌的生活。

《小企业网络安全：非雇主型企业》（NIST网络安全白皮书50）是一份通俗易懂的资源，提供专为“单人创业者”量身定制的网络安全基础知识——“单人创业者”指的是企业唯一的有薪雇员。美国有超过2800万家小企业属于单人创业者类别，遍布各个行业，构成了经济的重要组成部分。这份出版物旨在向单人创业者介绍小企业网络安全计划的基本要点，并提供可操作的实施方案。

“由于单人创业者可能不具备网络安全专业知识，我们希望为他们打造一份专属资源，”该出版物的作者之一、NIST的Daniel Eliot说。“他们可以凭借有限的技术知识或极少的资金投入，自行落实其中的许多措施。”

该出版物是对此前题为《小企业信息安全：基础知识》（NISTIR 7621）的更新。旧版面向不同规模的小企业，涵盖更广泛的信息安全主题；而修订版范围更窄，专注于保护数字系统免受恶意攻击。更新后的出版物以知名的NIST网络安全框架（CSF 2.0）为准则，但行文时充分考虑到了新手读者。

“这份出版物假定读者对网络安全或NIST CSF毫无了解，”Eliot说。“我们希望让人们了解什么是网络安全，以及它如何融入一份成功的商业计划。我们知道单人创业者通常非常忙碌，因此每当我们引入一个话题或抛出术语时，都会尽量为普通读者提供背景和定义。”

出版物的开篇部分包括引言和关于NIST CSF的一章，本质上是对网络安全的入门介绍，以及它如何支持单人创业者的业务。

“除了总体背景之外，我们还重点介绍了一组可操作的最佳实践，能显著降低网络安全风险。这些包括定期备份数据和保持软件更新，”Eliot说。“它们是小企业可以采取的一套不错的起步措施。”

核心部分提供了CSF中可在单人企业中实施的具体行动。对于每一项行动，指南都说明了实施的理由、企业如何起步，以及随着业务增长后续可以做什么。每项行动都附有简短引用，对应CSF中的相关章节，并常常引用额外资源，以便有兴趣的读者进一步了解。

例如，一项推荐行动是更改制造商为设备分配的默认密码，这在Wi-Fi路由器和其他联网设备上很常见。理由是犯罪分子可以轻易找到这些默认密码并利用它们访问设备。企业可以首先检查所有设备的安全设置，并为它们创建唯一且强壮的密码。随着业务增长，企业可以建立设备入网和管理流程，以确保密码得到安全管理。

文档的最后是一组帮助落实核心部分行动的工具，例如用于盘点风险资产或跟踪企业已采取的所有行动的工作表。这里还包含三个“用例”——假设的单人创业者，包括一名律师、一名手工艺人和一名商业顾问——可以帮助单人创业者设想和规划自己的网络安全策略。

“按照这些指南去做，可以帮助单人创业者打下坚实的网络安全基础，”Eliot说。“这份出版物并不全面，也无法满足每位单人创业者的所有需求，因为每位读者的网络安全知识和水平各不相同。但它确实为需要起点的单人企业主提供了一个良好的开端。”