据Verizon发布的《2021年数据泄露调查报告》显示，网络钓鱼、勒索软件和Web应用攻击已经成为2021年数据泄露主要原因——Web应用攻击导致了过去一年39%的数据泄露事件，而网络钓鱼攻击比上一年猛增11%，勒索软件增长6%。
因为 SaaS 应用的普遍被企业客户采用，在当前的混合办公环境下，企业安全事件和数据泄露中，外部云资产被盗的情况比内部资产被盗更为常见。
其中，85%的数据泄露涉及人的因素，61%的数据泄露与用户身份凭证有关，这与2020年的报告一脉相承，人为疏忽依然是企业信息安全的最大威胁。
在任何一个企业的信息安全架构中，云服务供应商、企业信息安全管理员，以及企业员工自身，都应各自承担自己的信息安全责任，谨防企业信息遭受意外泄漏和恶意攻击，而每位员工保护自己在企业中的身份凭据不被恶意盗取，也是最重要的信息安全意识之一。
作为 Microsoft 365 用户，Outlook 电子邮件应该是最常用的办公工具之一，其中涵盖了太多与工作业务相关的沟通信息，甚至企业中的人员关系、客户或合作伙伴的往来记录，以及企业内的核心业务流程，往往都集合在电子邮件中。
而在Verizon《2021年数据泄露调查报告》中同样显示，攻击者窃取用户的身份凭证后，企业中的 Web 应用服务器，以及电子邮件系统是最常见的攻击目标。
现在，在 Microsoft Outlook 中，已经为每个 Microsoft 365 用户提供了自助发现上一次的登录 Microsoft 365 平台的信息记录，你只需在 Outlook 中单击“文件”选项卡，这个信息就立即显示出来了。
其中显示了最近一次使用 Microsoft 365 身份凭据登录企业业务环境的登录日期、时间、登录的国家和城市，以及本次登录行为所使用的操作系统等。
非常多的企业用户几乎每天工作的8小时期间，Outlook 电子邮件窗口都不会关闭的，因此可以在我们每个人最熟悉的应用中，就可以一键洞察自己账户身份的安全性。
是的，你应该发现，在Outlook的“账户信息”面板中，你除了可以看到自己账户身份的最近一次登录行为外，还可以通过单击“查看所有最近的登录活动”链接，打开“我的近期登录活动”页面（https://mysignins.microsoft.com/）。
这个页面针对每个 Microsoft 365 用户均可访问，其中记录了近一周通过你自己的身份凭据访问和登录的历史记录信息。
如果你发现了自己账号凭据的异常登录行为，例如我自己近期都很少出差，怎么会有一个来自澳洲IP地址的登录日志呢？
遇到这种情况，极大的可能性是你的账号凭据被盗，攻击者在利用你的身份信息恶意访问你的工作环境内容和数据。
此时，你也不必慌张——
首先，你需要立即向企业 IT管理员汇报这个异常的登录访问行为，让 IT 管理员协助你对这个异常登录进行跟踪和甄别；
然后，你需要立即单击“看起来陌生？请保护你的账户安全”的链接，并打开用于登录到帐户或重置密码方法的“安全信息”页面。
在此你可以看到除了使用基本的用户账号、密码登录应用环境外，你自己还设置了哪些额外的方法用于验证和保护你的账户身份。
你可以单击该页面中的“添加方法”，根据需要设置并添加这些增强的身份验证方法。
如果还是不放心，你可以在该页面中，单击“从所有位置注销”，停止所有在不同设备、不用应用、甚至不同地理位置的登录行为。然后再次使用自己的身份凭证进行全新的登录验证。
在全新的 Microsoft 365 身份验证方法中，我甚至不需要使用传统的用户账号和密码的方式进行登录，而是采用更安全、更高效的 Windows Hello 人脸识别技术、Microsoft 身份验证器的移动应用，甚至使用我自己的手机号码和短信口令进行登录——这就是我们所说的多重身份验证和无密码（Passwordless）登录方法。
在企业信息安全中的身份与访问管理领域，用户自身账户凭据保护的安全意识已经成为最薄弱的环节！
因此，建议每个 Microsoft 365 用户都可以从最基础的5个建议开始，加强自己的账户安全。
建议1：增加密码复杂性其实，很多企业IT信息安全管理员都会针对用户账户安全设定密码策略，例如用户密码需要3个月更换一次、密码的最小长度，以及密码是否要包含数字、字母或特殊字符等。
一定要遵循企业设定的密码管理策略，不要想任何投机取巧的方法，因为我们都不喜欢密码（包括你、我，还有为我们提供支持的 IT管理员），但是在这个世界上，唯有攻击者超级喜欢你的密码。
如果你的密码设置成下面这个样子——唉，还是算了，这对攻击者而言没有丝毫的挑战，你基本就是全透明暴露给了攻击者。
建议2：必须启用多重身份验证多重身份验证（Multi-Factor Authentication，MFA）是企业 IT管理员为我们开启的保护身份凭据的安全策略，它要求你在登录企业的业务环境中，根据业务影响度，至少需要两个或两个以上的因素来验证你的身份（例如密码、PIN码、电话呼叫、手机短信、验证器口令、生物技术等）。
在企业中启用多重身份验证，可以阻止 99.9% 的身份攻击！
Verizon在《2020年数据泄露调查报告》中提到，攻击者的攻击方法和步骤，大多数集中在最初的第1步~第4步之间，因此我们可以借助多重身份验证阻断攻击者初始阶段的攻击尝试。
建议3：分层管理用户身份如果你经常访问在线购物网站、或浏览社交媒体，一定务必保护你的账户隐私，并做到个人账户与企业工作账户的分离。
对于攻击者而言，这些公共的在线购物网站或社交媒体是一个完美的获取账户信息媒介，他们可能会通过窃听或拦截的方式获取数据，并用以发起恶意诈骗或攻击。不要轻易相信任何需要填写账户信息的问卷调查，也不要随意在任何公共网站上留下你的工作联系方式。
建议4：避免使用公共 Wi-Fi公共Wi-Fi可能会对你的设备安全性和存储在设备上的信息构成威胁。在机场、酒店、咖啡馆和餐厅使用公共 Wi-Fi 热点的朋友应谨慎行事，并始终做到使用 VPN 连接企业账户、访问企业应用和数据。
切勿在与公共Wi-Fi连接的时候进行财务交易，因为恶意攻击者可以监控整个信息流量和击键流程。
建议5：谨防并远离网络钓鱼网络钓鱼（Phishing）是犯罪分子最常实施的网络攻击方式，也是最容易让用户上当的欺诈形式之一。攻击者通过电子通信（电子邮件、短信、社交媒体等）伪装为信誉良好的人或公司，诱导用户通过点击链接来泄露敏感信息、或下载恶意附件感染其网络。
因此，千万不要对可疑电子邮件中的内容存有任何好奇心：不要打开来历不明的邮件；不要随便点击邮件中的陌生链接；如果遇到可疑的电子邮件，务必设置为垃圾邮件进行阻止，并立即删除该邮件；如果遇到刻意的电子邮件，一定要向企业 IT 人员或信息安全管理员提交报告，并向 IT 建议广而告之 。（点击阅读：千万不要点那封电子邮件）
您可通过 www.51CIE.net访问“365 学院”在线学习网站，关注最具前沿的职场办公方法和技术发展趋势。
看完有什么想法快来评论区一起交流吧，原创不易，不要忘记点赞呦！
本文由 BTIC Services 原创发布。