美政府頒布勒索軟體企業防範指引

上周美國官員認為，勒索軟體攻擊對社會造成威脅不下於恐怖攻擊。美國白宮上周進一步頒布企業勒索軟體指引，要求企業採取防止勒索軟體的措施。

這份指引是由美國政府網路與新興技術國家安全副顧問Anne Neuberger，對企業高層及民間公司領導人發出。指引中說道，勒索軟體事件的數量和規模大幅增加，美國已將強化公、私部門對抗網路攻擊的韌性列為首要任務。拜登政府已經聯同夥伴打擊勒索軟體背後組織，而企業也責無旁貸。

這份指引指出，美國、德國杜塞道夫醫院、愛爾蘭健康主管機關、法國保險集團AXA等其他組織遭受的勒索軟體攻擊事件，對全球企業最重要的教訓是，勒索軟體應視為對核心業務營運的威脅，而不只是單純的資料外洩風險。而為了了解企業風險，主管應立即召集主管會議商討勒索軟體威脅，檢視公司的安全防備和業務永續方案，確保有能力在遭到攻擊後持續或迅速回復運作。

儘管安全廠商已一再做出呼籲，美國政府仍然不厭其煩要求企業立即採取防範措施。首先，要求企業立即依據拜登的行政命令，實施5項最佳典範，包括多因素驗證、端點偵測與回應、加密、以及成立經過授權的安全團隊。其次是備份公司資料、系統映像檔與組態，備份檔應離線保存並定期測試。

其他包括立即更新系統軟體版本與修補漏洞；測試事件回應方案，包括特定系統停機時公司能否持續運作，或是會計系統停機時製造作業是否關閉；公司網路分區，將製造／生產系統與公司運作系統分開，並限制存取營運網路的人士。最後，也建議找第三方滲透測試業者來測試公司系統安全性，以及公司在攻擊發生時的應變能力。

這項行動也是燃油管道業者Colonial Pipeline遭勒索軟體攻擊事件，拜登政府宣布緊急狀態後，美國政府最新一次對勒索軟體做出正式回應。上周美國司法部表示，正在評估是否將針對勒索軟體攻擊的調查，提高到與恐怖主義同一個等級，成為該部門的優先調查事件。