小心企业网站悄悄密

邮件，或把蠕虫和病毒传给不知情的收信人，让他们误以为是贵公司主管发的讯息。

    brigman建议，避开这种潜在危险的一种办法，是以网络表格作为透过网站连络的管道，而不是让外人传来的连络函直通公司内部的电子邮件系统。

    raydonahue另建议检验公司网站上公告的其它连络点。若你公布一个供潜在顾客打电话查询的专线号码，就必须确定接电话的人员已被充分告知可对外提供哪些信息。来电查询者也许想破坏你的公司、抢客户，或从事其它不胜枚举的卑鄙活动。时时谨慎就能提高警觉。

    避免透露公司使用的基础设施

    纽约市it咨询公司sbi的科技长rayvelez说:“有些公司公布出标明应用服务器类型的url（全球资源寻址器），或系统供货商，这是一大错误。”比方说，旧版sunone应用服务器的url里包含一个标准的目录，称为nasapp，velez建议移除那个目录。

    nickbrigman指出网站设计师可能犯的另一种常见错误:从公司网络撷取一个商标图案或档案，然后把它贴在网页上。“这个数据经常会泄露数据取得途径的线索──文件名称、系统名称甚至档案结构。提供那些信息，就等于把搜寻数据的工具交给外人，”他说:“如蜘蛛结网一般，他们把数据组织起来，就能探知足够的讯息，进入下一层关卡，进而取得更多信息。”

    从html/asp/jsp/php原始档中删除技术评论

    rayvelez说，程序开发者的评论也可能泄露你正在使用的技术类型，及其破解之道。这些评论可能在最终使用者的浏览器显现出来。“切记，”velez再叮咛一句:“黑客常阅读讯息留言板和贴文，很清楚最新发布的安全更新程序是用来修补什么漏洞。这是个问题，因为许多企业或个人并未安装最新版本的修补程序。所以，这些[开发者]评论可被当作破解某网站的指南。”

    避免显示因技术问题产生的错误讯息

    velez指出，这类错误讯息会暴露出你程序代码的弱点，且让基本架构技术的相关讯息外泄。拿掉404状态码和其它40x错误讯息，改用使用者更容易了解、而且不透露基本技术讯息的错误讯息页。

    使用数字权管理以保护智能财产权

    velez建议，以密码保护你不想让网站访客任意重复使用的数据。安全控制不足，是网站一大常见的破绽。

    使用无法修改的文/图张贴格式

    俄勒冈州波特兰市swiftview公司的产品经理glennwidener另外提到，你把数据张贴在公司网站上的方式，也可能留下安全漏洞。不论是文字或图形文件，若以原始的规格（如word、visio、autocad等等）储存，难保不会遭到窜改。即使是可携式文件格式（pdf）档案，任何人用adobeacrobat软件都能加以修改。

    发展防窜改的安全措施可能既复杂又费时。他推荐使用根本无法修改的通用格式，像是pcl、hpgl、tiff和jpg这类。打印格式(如pcl和hpgl)具有一些胜过bitmap格式的优点:档案较小、即使压缩也可检视，而且本文可供搜寻、索引和选取。

    widener说明:“就pcl而言，企业可允许商业伙伴从一份商业计划中抽取一段文字，但那些数据无法更改。企业只要把欲择取的那些页输出、设定成共享档案，然后传送该档案，商业伙伴即可用各式各样的浏览器，例如swiftview的浏览器，来检视、选择和打印内文。”

    widener指出，pcl在金融界使用甚广，例如抵押货款银行就因为潜在的安全性考虑，而使用pcl格式来传送结清的文件。

    培养员工的安全意识

    “这是我们从客户那里听来的一个观念，现在我们把它运用在自己的营销文宣上，”nickbrigman说:“在后911时代，你必须养成居安思危的意识。”别漫不经心把数据往网站上丢，而未严加检视这些信息可能会被人怎么利用。而且，切莫以为既然数据未直接摆在网站上，别人就无从取得。他强调:“网站可能是取得那个数据的一个途径。所以，事前的检查非常重要。”如果公司内部it小组的安全防护专业不足，宜聘请能胜任此任务的第三者。（debrayoung著.唐慧文译/kmcenter）（来源::中国知识管理网）