第 5 节：确保设备和访问安全
在本节中，您将学习：
确保设备和访问的安全
贵非营利组织使用的笔记本电脑、手机和平板电脑可让您访问信息、账户和服务。保护这些设备，有助于保障您通过它们开展的工作。.
您的设备和软件中已经内置了许多有用的安全防护措施。您无需了解每一个设置就能开始使用。第一步是了解现有哪些防护措施、它们为何重要，以及由谁来检查这些措施是否被正确使用。.
确保软件得到支持并及时更新
更新既可以修复安全漏洞，也可以改进软件的运行方式。这适用于操作系统、浏览器、应用程序和安全软件。.
自动更新有助于降低遗漏重要修复程序的风险。部分更新仍需重启或由专人完成安装，因此请明确由谁负责后续处理。.
“受支持的软件”是指其开发者仍会提供相关更新和安全补丁。设备在支持期结束后可能仍能正常运行，但新发现的漏洞可能无法得到修复。.
在接受捐赠设备或继续使用旧设备之前，请先确认该设备能否运行受支持的软件。如果无法运行，请在规划中纳入更换方案或其他可行的替代方案。.
了解可获得的保护措施
屏幕锁定
有助于防止他人接触无人看管的设备。请使用PIN码、密码或其他适当的解锁方式。.
设备加密
有助于在设备丢失或被盗时保护存储的信息。当有人无需登录即可读取存储内容时，此功能尤为有用。.
内置安全软件
能够检测并阻止许多有害文件或活动。请确认该功能处于启用状态且正在接收更新。.
防火墙
有助于控制设备与外部之间的网络连接。许多设备都配备了此功能。.
独立的用户账户
有助于在共享设备上将每个人的文件和访问权限分开。.
管理员访问权限受限
限制了能够安装软件或进行影响整个设备或服务的更改的人员范围。.
应用权限
允许您控制对相机、麦克风、位置和文件等功能访问的权限。当应用需要使用这些功能时，请授予相应权限。.
这些安全措施相互配合。例如，加密有助于保护丢失的设备，但无法阻止他人读取已经解锁的设备上的信息。.
在购买其他产品之前，请先检查您已有的保障。.
只向用户授予其所需的访问权限
用户应拥有足以完成工作的访问权限。不应自动授予其访问所有文件夹、账户或设置的权限。例如：
你可能听说过“最小权限”这个说法。它的意思是将访问权限限制在用户履行其职责所必需的范围内。.
管理员权限值得特别关注，因为它允许用户更改安全设置、创建账户或授予他人访问权限。请仅在必要时使用该权限。在可行的情况下，系统管理员应在日常工作中使用普通权限，仅在执行管理任务时使用管理员权限。.
了解正在安装的内容
新的应用程序、浏览器扩展程序和远程支持工具可能会为您的设备和信息提供额外的访问途径。.
在安装组织工作所需的工具之前，请采用一个简单的审批流程。请确认：
远程支持软件虽然有用，但可能会让他人查看或控制您的设备。请明确约定谁有权授权使用该软件，以及哪些服务提供商是被批准的。.
审查不再使用的工具。在将其移除之前，请确认贵组织仍需要的任何信息或服务均已得到保留。.
包含个人设备和共享设备
无论从何处访问，贵非营利组织的信息都需要得到保护。请将员工和志愿者用于工作的设备纳入您的安全措施中。.
针对个人设备：
就允许开展哪些组织工作、需要采取哪些基本保障措施以及工作信息可存储在何处达成一致。相关人员应了解，在角色终止时，组织访问权限和文件将如何被撤销，同时应尊重其个人信息。.
对于共享设备：
尽可能使用独立的用户账户。避免将文件、账户或密码库留给下一位使用者随意访问。.
注意：公共或共享计算机可能在安全方面难以有效控制。在将其用于处理敏感信息或执行重要管理任务之前，请先制定一套经批准的操作方案。.
考虑设备的使用场所
设备可能会丢失、被借走，或者在活动现场、车内或共享办公室里被遗忘且未上锁。.
将简单的习惯融入日常工作中：
某些设备和管理服务提供远程锁定或远程擦除功能。这些选项在设备丢失后可能会有所帮助，但需要提前设置，且可能取决于设备能否连接到互联网。.
角色发生变更时审查访问权限
当某人的职责发生变化时，其访问权限也应随之调整，而不仅仅是在其离职时才进行调整。应合理规划时间安排，以确保重要信息得以保留，并使组织能够正常运转。除正式员工外，还应将志愿者、承包商和服务提供商纳入其中。.
在入职、岗位变动或离职时：
加入
确认或核对：该人员将使用哪些设备和账户、需要哪些访问权限，以及由谁来解释组织的规则。.
角色的转变
同意或确认：应添加或删除哪些权限，包括对共享文件的访问权限和管理员功能。.
离开
转移关键工作，撤销访问权限，收回组织设备，并审查共享凭据和恢复方案
安排某人进行检查
制定一套简单的常规措施，比单纯假设防护措施已经到位更有用。.
负责人不必亲自配置所有内容。他们可以确认哪些功能已启用，向服务提供商寻求帮助，并将未解决的问题上报给领导层。.
在添加设备、人员角色变更、软件停止支持或贵组织采用新服务时，请重新审查相关安排。定期检查还可以发现已被关闭的安全防护措施或不再需要的访问权限。.
一项建议的政策规则
用于组织工作的设备必须使用受支持且已更新的软件，并配备适当的安全防护措施。访问权限必须经过批准，并仅限于每位员工履行其职责所需的范围。新软件和远程支持访问必须遵循组织的审批流程。设备丢失或影响访问权限的变更必须及时上报。.
在采用此规则之前，请明确您的工作所需的保护措施、由谁负责审批访问权限和软件，以及员工如何获得帮助。.
请检查您的设备和访问安排
从您的设备清单中选择几项设备或服务。记录哪些已经就绪，哪些还需要确认。.
在本次活动中，您无需对每个设置都给出明确答案。“待确认”是一个有用的回答，只要它能引出明确的后续行动。.
您的收获
学习完本节内容后，您应该能够：
- 确定了贵组织可以使用的内置保护措施。.
- 负责检查更新和提供支持。.
- 审查了哪些人需要普通用户和管理员权限。.
- 请在您的安排中包含个人设备、共享设备以及人员变动情况。.
接下来，您将了解如何保护敏感信息：收集哪些信息、将信息存储在何处、谁可以使用这些信息，以及何时应将其删除。.
第6节：保护敏感信息
保护您所在非营利组织的信息，意味着要管理信息的收集、存储、使用、共享和删除方式，以防止信息意外丢失、泄露或遭到未经授权的访问。.
English 
French 
Chinese 
Spanish 
Ukrainian 