多年来，我一直以保护人民为生，从那时起，风险的重心已经发生了明显的转移。攻击者现在可以从电子邮件、电话或某人发布的有关自己的信息中获取曾经必须进行物理跟踪的大量信息。在这篇文章中，我准确地描述了我对此采取的措施以及我向我保护的人提出的建议。
如今的攻击通常不是从监视开始，而是从消息开始
我最常与客户接触的模式看起来很低调。收到的消息似乎来自经理或同事——相似的签名、相似的书写方式、相似的剪裁。它要求看似很小的事情：转发旅行行程，确认地址，发送联系方式。
这件小事正是问题所在。旅行行程意味着确切的时间、地址和路线。这不再只是一次数据泄露——对于任何想要在错误地点抓住某人的人来说，这都是一个蓝图。保护的物理和数字方面恰好在这一点上相遇。
从事这一行的这些年，我已经习惯了解读一个环境——谁在观看，谁在转身，哪扇窗户不是偶然空着的。但世界已经向前发展。曾经必须物理跟踪的信息现在通常可以简单地请求、查找或直接从公开可用的来源中读取。
我对待数据泄露就像对待被强行破坏的门一样严肃
我遇到的客户攻击通常不是从复杂的黑客攻击开始的。他们从 网络钓鱼 — 一条看起来像是来自值得信赖的人的消息，要求您做出单一回复。单击、登录、付款确认。攻击者自己处理其余的事情。
旁边矗立着 恶意软件，它通过附件或下载的安装程序进入设备，并悄悄地收集您输入的内容和您去了的地方。然后还有 勒索软件，它会加密您的数据并提出将其卖回给您以获取赎金。 身份盗窃 往往是安静的——有人以你的名义行事，只有当你必须花费大量的努力来解释它时你才会发现。
后果往往有三种，但没有一种是令人愉快的。经济损失，通常可以通过某种方式解决。声誉受损，修复起来要困难得多。还有心理上的损失，因为陌生人正在阅读你的邮件的感觉不会轻易从你的脑海中消失。
但我最感兴趣的是第四件事，IT 领域通常不会考虑这一点。泄露的数据可以拼凑成一个惯例：你住在哪里，你什么时候离开，你带孩子去哪里，你在哪里吃午饭。这正是想要对他人进行人身威胁的人需要知道的事情。这就是为什么我将数据卫生视为个人保护的一部分，而不是一个单独的主题。
您记不住的密码通常是更好的密码
我看到客户最常犯的错误不是弱密码。它正在使用 一 跨越十个不同地方的密码。它所需要的只是从一个不重要的服务中泄漏，攻击者就会在其他地方尝试它。而这项服务往往是您很久以前就忘记的。
好的密码很长，而且您不会在其他地方使用它。你能回忆起的整个句子比结尾带有数字的短单词要好。最重要的是：每个帐户都有一个不同的帐户。没有人能记住这一点，这正是您不应该尝试记住的原因 - 这就是密码管理器的用途。
客户一开始往往对密码管理器不屑一顾，后来又拒绝放弃。它会生成一个唯一的密码，存储它并为您填写。你只需要记住一个——主控，你绝不能在其他地方使用它。关键帐户，尤其是电子邮件，无一例外地应该有自己的密码。电子邮件本质上是其他一切的钥匙圈：无论谁控制它，都可以使用它来恢复几乎任何地方的访问。
第二把锁更难远程打开
根据我的经验，双因素身份验证是投入时间与获得收益的最佳比率的措施之一。它可以立即打开，之后，猜测密码不足以登录 - 还需要第二个确认步骤。仅拥有被盗密码的人通常无法执行第二步。
在任何可以的地方打开它。优先考虑电子邮件、银行、云存储和社交媒体。如果您必须选择一种方法，我更喜欢验证器应用程序或物理安全密钥而不是短信代码。短信总比没有好，但在某些情况下，电话号码可以重定向，第二个锁就会消失。
需要添加一个实用的细节。打印出服务在您打开服务时为您提供的备份代码，并将其物理存储，最好与重要文档一起存储。我遇到过一些人因为自己打开的安全措施而被锁定在自己的帐户之外。
决定一切的无聊部分
剩下的就是卫生了。它没有什么有趣的地方，这正是它被忽视的原因。更新被推迟，因为现在不方便。只有在数据丢失后才会整理备份。酒店里的公共无线网络在有人监听之前看起来是无害的。
当我检查客户的设备时，我总是会查看以下列表：
这些都没有什么技术要求，而且大多数物品都可以自己处理。已经完成的人和一直拖延的人之间的区别只有在没有什么可以赶上的时候才会变得明显。
- 操作系统、应用程序和安全软件保持更新，最好是自动更新
- 在外部驱动器或加密云存储中备份重要数据 - 并验证确实可恢复
- 公共网络上的 VPN：酒店、机场、咖啡馆
- 软件仅从官方商店和制造商自己的网站下载，而不是从消息中的链接下载
- 定期检查手机上的应用程序权限：位置、麦克风、摄像头、联系人
- 加密的消息应用程序，用于敏感的呼叫和消息，而不是普通的短信
你无意中透露的关于你自己的信息
我并不反对社交媒体。我只要求客户做两件事：不要实时分享你的位置，不要发布任何可以推断模式的内容。度假照片可以等回家后再发布。汽车的照片不需要显示可读的车牌或房子的周围环境。每周同一天从同一地点发出的定期帖子是我在你的立场上保留的信息。
同样的规则也适用于家人和最亲近的人。安全措施通常不会通过客户绕过，而是通过合作伙伴、孩子、助理或司机绕过。隐私保护仅仅停留在一个人身上就已经完成了一半。
对于公司来说，它的作用类似。整体的安全性与团队中最不小心的人相匹配，而且不一定是担任最低级角色的人。这就是为什么我将数字风险纳入安全审计，也是为什么我如此努力地培训人员——识别网络钓鱼、通过第二渠道验证异常请求以及处理技术的基本规则。然后，我部署了加密并配置为符合 GDPR 的闭路电视和监控系统，因为本身会产生法律问题的措施无法实现其目的。
从中可以得到什么
如果我必须用一个想法来总结整篇文章，那就是：今天有关您的信息就像您房子的钥匙一样敏感，并且值得同等程度的关注。没有恐惧，没有偏执。只是秩序良好。
实际上，这意味着没有人会为您执行四个步骤。密码管理器中的唯一密码。无处不在的双因素身份验证，其中以电子邮件为优先。真正运行的更新和备份。还有一个有意识的决定，就是你向这个世界——包括你自己和你周围的人——释放了哪些关于你自己的信息。
这些措施都不能保证任何事情，没有人可以诚实地向您保证攻击永远不会影响您。重点在于其他方面：减少可以获得的有关您的信息量，并增加有人及时注意到异常情况的机会。
最容易落实且有效的措施是一种习惯，而不是一项技术——通过与收到的渠道不同的渠道来验证不寻常的请求。拿起电话询问。这是可以学习的，即使在技术失败的情况下它也能发挥作用。
如果你不确定你的家人或公司目前的处境，我们可以一起冷静整理当前情况。我提供无义务咨询，我们会同时考虑数字和物理方面，并找出哪些值得立即解决，哪些可以等待。我认为低调保密是理所当然的。
“我不会将个人数据泄露视为 IT 问题，而是将其视为有关一个人何时何地移动的信息。”— 罗伯特·瓦茨拉维克
