安全意识培训应成为安全管理的重要战略举措

俗话说“春种一粒粟,秋收万棵籽”,“一年之计在于春”,春天是忙碌耕耘的季节,对信息安全行业的从业人员们来讲也是如此。各类组织的安全管理团队纷纷开始制定新的一年的安全目标、战略和实施计划,希冀能积极面对各类不断演变的安全威胁、通过各类安全控管措施,降低组织所面临的安全风险,进而达到保障业务的安全持续运作的总体目标。

然而,想在年终大会上进行工作总结时好好展示一把信息安全部门对于组织业务成功的伟大贡献并不容易,来自各个业务部门的高阶管理层会关注到部门内外相关的严重的计算机信息安全事故、由于安全事件给业务正常运作带来的不利影响如停工时间、客户流失、商业信誉损失、机会损失等等。

虽然我们并不能完全杜绝安全事故在组织内的发生,甚至即便我们的安全团队进行了适当的安全应急响应措施,最大限度地挽回了潜在的损失,仍然不免会被高阶管理层误解,甚至受到批评和指责,问题的根源何在?即使不是高管们刻意刁难,能投入更多的钱,请最牛的高手,实施最为领先的安全系统,也还面临着安全与效率的平衡问题。

不要以为高管们不懂得安全,他们可能确实不会配置防火墙,甚至工作电脑中了毒也还要求助于IT帮助台,然而他们对于您制定安全的控管目标和战略会有很大帮助,想在信息安全方面制定出满足SMART标准的目标并不容易,特别是安全控制目标缺乏行之有效的衡量标准,所以没能进入到组织核心决策层的信息安全管理负责人员永远可能会低一头,因为业务高管可能会轻易给信息安全工作的成绩给出或好或差的判定。

再问一次,问题的根源何在?如果安全管理负责人不想让团队的后期努力付诸东流,一年下来却发现白忙活了一场,就应该现在反思一下。

对于绝大多数组织机构而言,安全不会是核心的商业竞争力,无论如何信息安全管理负责人难挤到核心层,或许您要辩解说核心层的高管才应该为安全负责,这就对了!那您有没有想,既然高管和业务部门要为安全负责,那要专门的信息安全团队和人员干嘛?

好!到这里,聪明的您应该明白问题根源所在了,就是安全不仅是信息部门的事情,安全需要高管以及各个业务部门成员的参与,实际上,保障信息安全是组织所有成员的职责,所以让所有员工都参与进来吧!

信息安全负责人及部门成员再不应该继续像无头苍蝇一样埋头于技术的安全控管系统,应该多与各业务部门沟通协调,帮助他们了解基本的安全理念,帮助他们找出组织层面和部门层面的重要信息资产,帮助他们认识到这些信息资产所面临的安全威胁,帮助他们并和他们一起讨论及制定安全风险控制措施……

有了高阶领导层和业务部门管理层的参与,员工们也更有了主人翁精神,这才是真正在做安全,这种安全是和业务紧密相关的,不管叫风险管理、业务安全、公司治理什么的,总之,信息安全团队的价值得到了更大的发挥,而不再是配置个网络安全系统,控制了员工的网络使用行为,又引起了员工的消极对抗等等这些较低的安全管理行为。

所以,在制定安全战略时,要考虑更多与业务部门管理层及全体用户的沟通和交流,要为此分配资源,要给出足够的安全预算,要制定全体员工的安全意识培训计划……

武汉大学计算机学院副教授、信息安全博士彭国军称:信息安全是三分技术,七分管理!相对于某些安全设备投入而言,加强员工的信息安全意识,使其能够及时感知安全威胁并合理规避风险,更有意义和效果!

有信息安全从业人员觉得安全沟通不容易,用户要么忙忙碌碌重视不过来安全,要么做贼心虚刻意躲避安全……实际上,通过安全意识培训来加强沟通和理解是最佳的途径,昆明亭长朗然科技有限公司在这方面积累了丰富的经验,帮助了众多客户成功地通过安全意识培训,进而建立起组织内的安全文化,增强了企业的凝聚力和竞争力,亭长朗然公司欢迎对这些有兴趣的客户来电来邮件进行咨询。

我们总结一下,制定信息安全管理的目标、战略和计划时,要考虑到信息安全是为了保障公司的业务持续,是为了保护组织的成功,所以,信息安全不单是安全部门的职责,更不能信赖单独的技术控管措施,加强同高管以及各业务部门的沟通协调,Involve他们到一条船上,也让所有员工参与进来,方可共建成功的安全体系,也方可共享信息安全建设的胜利果实。security-check

 

软件开发行业亟须提升开发人员的安全意识

市场竞争激烈,快速提供高质量的可靠的程序代码是软件开发企业的致胜法宝,然而,未经过充分检测便得以快速交付的软件会带来新的问题,就是软件代码的安全性不够,甚至漏洞百出。

如果说在传统的内部网络部署实施的软件即使存在明显的安全问题,也不会带来太大风险的话,人们尚会理解。但在基于互联网的云计算时代,快速地将不够安全的Web系统上线则是在为将来埋下一颗不定时地雷。

一项调查表明:中小型软件开发企业的多数产品及大型软件开发公司的小项目都没有采用适当的安全保障措施来确保安全控制目标的实现,即便是基于网站的应用程序也是如此。

昆明亭长朗然科技有限公司的软件安全顾问Richard Yu称:“多数Web应用系统的开发项目初期并没有让信息安全专业管理人员参与,所以在项目初期的需求分析时即缺乏安全需求的输入,到随后的系统功能规划和设计开发时就更无法保障结果满足安全控管目标。”

软件开发协会的一次软件开发风险分析称:软件开发市场上常见的现象是不断增加产品的功能特性,在软件系统得以实施的后期,安全问题出现后再进行修复的成本异常高昂,因为这时已经很难将安全控制功能推进软件之中。

只有少数行业的关键应用软件的开发会让专业的安全人员进入,多数的软件开发人员并不会意识到安全的重要性,实际上,安全实践应该成为软件开发的一个组成部分,就像软件质量保证实践一样进行必要的渗透测试,而且同样还需要不断的改进安全控管功能。

亭长朗然公司的安全分析师James Dong表示:“几乎所有快速开发的中小型应用软件在安全方面都是失败,其中的重要原因并非赶进度这么单纯,实际上,没有多少软件用户能意识到软件的安全问题,更没有多少用户了解软件的安全问题,如果再没有专业的安全人员积极参与,程序开发人员根本不会去关心如何开发出安全的软件。”

由此,我们看来,要想提高软件系统的安全性,将安全特性内置于软件开发的整个生命周期之中,需从源头抓起,首先要加强软件用户和开发人员的基本安全意识,再提升开发人员的安全技能,要想打造与国际接轨的软件外包产业,获得重视安全的国外大客户的订单,特别要注意先向程序开发人员灌输基本的信息安全意识

software-development-security-training