最近频频听闻银行户头被骇导致财务损失惨重，让我回想起两宗身边朋友的案例，就称呼这两宗案例。

其中有一案例业主，前后5年内就发生了两宗。一宗发生在几年前，由于业务的关系，常常与外国有来往交易，在其中一宗的还款电邮来往，企业所收到的还款电邮，竟然是骇客拦截后更换了银行账户号码的电邮，整个电邮中并没有显露出不确实的数据，除了银行账户信息错误了。

当时该企业还没有设定还款标准作业程序，员工就按一般程序看到发票，检查内容确认无误（并没有发觉户头有误），结果发票上缴财务部，会计小姐就按照发票付款。

没多久企业接到供货商来电，说款项未清，查证后才发觉原来电邮被骇客拦截，无奈之下企业只好再次还款，之前的款项白白就这样损失。

在此要稍微做出解释，根据多年在中小企业穿梭发觉，一般企业在核对发票时，是不会刻意核对银行户头，因为普遍上没有这样的操作，反而会谨慎发票内标示的货物/服务内容。

业主吸取教训，制订了还款条例，还为每一个固定供货商的银行账户注册在案，将网络伺服转至私人云端增加保安防范，但乃防不胜防，最近又听闻遭受骇客入侵，以致许多储存的档案受到封锁威胁。

相信电邮被撷取、计算机档案被恶意封锁等这些案例，在企业界已经不是一宗很新鲜的新闻。

可偏偏却有企业至今还面对着同样的问题，这主要是员工在这方面没有被全面的教育，导致出现行为披露使得企业陷入受骇客威胁甚至财务损失的状况。

以下几点，可作为内部没有增设技术部门或专人的企业，在网络保安操作上的参考。

采用云端科技

如今越来越多企业将公司内部数据放入云端储存，或者将备份存入云端数据库内。

使用云端，尤其私人云端（Private cloud）最关键就是了解商家的针对其云端系统的保安，有何措施？是否有安全保证条例？或者有何补偿措施计划？内部是否有作业程序等？

还记得一次上内部质量稽核课，同班就有一位同学来自一家提供数据库档案储存服务的企业，学习如何作内部质量稽核。

所以，在签订任何云端租赁契约前，记得调查该公司背景与实力。若无法判断，还是选择目前市场上的科技巨头，如谷歌、亚马逊、微软等，这些大企业至少有实力来对抗骇客。

虽然还是可能会发生骇客侵入事件，但至少这些企业有实力将这种风险降到最低，或者万一真的发生了，这些企业也能实时做出相对应的补偿或者补救工作。

设电子资源权限

公司内部电子资源使用限制与权限设定，许多中小企业在这方面的管制也相当弱，例如很多企业会为员工准备电子设备，尤其是手提电脑，但是并没有在这电脑内做出下载或浏览限制的设定，使得这位员工可以自由下载任何软件，或者使用计算机浏览各种网页。

结果这位员工可能因为浏览网站、或者下载软件、又或者登入一些网站、又或者使用个人电邮等在使用过程遭受被植入木马病毒，当这位员工用这部电脑链接到公司网站或者电邮后，病毒马上拦截服务器数据导致骇客可以拦截电邮。

另一种状况也是常看到的。公司默许员工使用自己电脑上班，由于那是私人电脑因此公司并没有何权限可以限制这位员工下载或者浏览或者登入任何网站。

偶而也看过这样的状况，公司为了节省开支而使用翻版软件，在使用这些软件的过程，由于这些软件必须绕过保安系统，因此就会让骇客有机可乘。

也等于说，使用翻版软件就是自己将保安大门打开，允许骇客随时驾临。

为防范资料泄漏或者被骇客拦截，本人也咨询许多搞科技的朋友，从他们的分享中，不难得出一个结论。

很多时候是使用者本身不了解、或者没有风险意识、或者不认为倒霉的事情会发生在自己的身上，为了自己的方便或者利益或者其他动机，做出了一些不正当的操作，使得自己的手机甚至电脑暴露在这些等待鱼儿上钩的骇客面前。

这些骇客根本没有特意选中贵企业，只是姜太公钓鱼，愿者上钓如此而已。

下一期继续为大家分享，如何制订作业程序与导入实际检查操作，来防止陷入网络风险。