4.16、对策

不能忽视的一个关键措施是确保适当的配置管理。尽管你在第一次安装的时候适当地配置了所有硬件和软件，并保证所有基本的安全修补软件是最新的，但不适当的配置只是出现问题的一方面原因。任何机构都应该有明文规定，安装新计算机的硬件和软件的IT人员和安装电话设施的电话公司工作人员应该经过严格培训，并经常进行考核。如果不这样做是不行的，因为仅仅确保相对安全的想法和行为在他们的脑海里己经根深蒂固。

冒着被人议论的风险——这里和其他地方——好像我们在推销我们的先前的书。《欺骗的艺术》（Wiley出版社，2002）为提高雇员计算机安全意识提供了方案。在投入使用之前，系统和设备都要经过安全测试。

我坚信仅仅依靠一成不变的口令来保护系统安全是过时的做法。一些诸如基于时间的令牌，或者可靠的生物识别方法的物理器件加密方法应该和我们的口令一起使用。口令应该经常更换——以保护加工和储存有价值信息的系统。使用更强形式的认证机制不能保证系统不会被黑客入侵，但至少提高了安全性。

那些仍然继续只釆用一成不变的口令的机构需要提供培训和经常考核或鼓励，这些将鼓励他们使用安全的口令方案。一种好的口令要求用户的安全口令至少包括一个数字，一个符号或大小写混合字符，并定期更换。

更进一步要求确保雇员不会因为‘懒得去记’而抄下口令，并将其搁置在计算机上或藏在键盘下面或抽屉里——这些都是有经验的小偷最先光顾的地方。同时，好的口令保护策略要求在不同计算机上不要设置相同或相似的口令。