請問公司的防駭客措施 - 資安

我任職的公司最近被駭客入侵,據IT部門表示駭客的手法是使用合法的port(?)進入

公司內部, 再利用先前已被植入木馬程式的個人電腦, 遠端操控以獲取需要的資料,

所以據他們表示, 能採取的行動只有以下幾點:

1. 將所有員工的電腦都封鎖USB port 禁止傳輸資料

2. 將員工的windows權限變成只有user 而不是原先的administrator(據IT表示,

此舉是為了讓駭客入侵電腦後, 也無足夠權限竊取公司資料)

3. 嚴格執行下班後關電腦(因為駭客都利用大家下班後才使用VNC來操縱電腦....)

4. 員工的自設電腦密碼強度不夠, 所以以後要統一由IT代設強度夠的密碼

我對資訊安全不是很熟悉, 可是我對上述的幾個說法實在是不太能理解,

對於一般公司的資安來說, 防駭客不是應該先利用類似防火牆之類的東西把駭客阻擋在

公司的網域之外嗎? 先讓駭客進來, 再想辦法降低駭客的權限, 好像不太有道理....

此外, "防駭客"跟"個人電腦密碼強度"有什麼關係阿?

為什麼員工的個人電腦密碼要因應駭客作調整? 是不是我們都被IT虎爛了?

--