解剖信息安全意识活动的成败要素

根据安全意识报告,超过80%的安全意识专业人员具有信息安全或信息技术背景。不到 15%的人拥有培训、营销或沟通等软技能的背景。这就暴露出安全意识工作面临的一个困境:现有人才在安全意识的技术部分是没有问题的,但是却缺乏用户行为改变的软技能。

作为安全意识培训的项目主管,我参与过数百个组织的安全意识宣教建设活动,帮助数百万员工了解信息安全的理念和要义,通过供应链传播、职场流动和员工家庭与亲友们的辐射作用,这将带动数亿国民提升和强化安全防范意识,无疑有助于建立一个更安全更和谐的网络社会。

我们一直说,安全文化需要的是潜移默化,暴风骤雨似的宣传“运动风”来的快速也去的忽然,这正是在建立全面的意识计划需要防止的,文化建设是为了改变人员的不安全行为,这注定是一场长期而艰苦的战争,非运动式的战斗和战役所能取得的。 由于网络安全专业人员(包括意识领导者)精通技术技能,因此他们了解需要改变哪些行为,但是在如何尝试改变这些行为方面却表现不佳。毕竟,人无完人,术业有专攻。

改变一个人的行为是很难的,安全意识培训不应该如此。一般来说,许多组织都会犯“认知超载”的错误,即向员工倾倒太多知识内容,以至于他们在学习后没几天就完全忘记了。这听起来是不是有点熟悉的味道?好的办法是保持安全意识培训的简短而轻松,并专注于真正能够降低风险的内容。因此,需要负责人员提前花时间确保学员的参与度和内容的相关性,避免认知超负荷。

类似日常生活中人们行为改变的触发因素,安全行为的改变也源自安全认知的改变,有些员工会在安全事件发生后自省,然而这种代价太高。前车已覆,后车当戒。学习并吸取他人的教训,避免重蹈覆辙,是当今职场人士几乎都具备的生存能力。这就需要我们加强沟通,去展示一些安全事件案例,去发动一些模拟攻击,借机向受众解释为什么他们应该关心网络安全。然后,我们需要用简单的语言传达我们需要他们做什么,并确保人们能够表现出这些行为。然而,说起来简单,做起来难,很多IT或安全专业背景的人士都会受到知识诅咒的困扰——他们对某件事非常了解,却因为自己是专家而无法准确地沟通传达。我们看到很多媒体主持人在专家面前侃侃而谈,而专家却显得很笨拙,就类似这种情况。因此,我们需要投入一定比例的时间来琢磨沟通事宜,来改进传达关键意识信息的方式。

沟通不是单向的,对于全员安全意识计划来讲,专家的单打独斗并不足够,这就需要协同合作,与各个利益相关者沟通的内容以及沟通方式对于获得支持、认同和行为改变至关重要。建立可靠的计划需要大量不同的技能以及与不同部门的协调。 例如,与沟通部门合作以帮助员工参与,与人力资源部门合作以更好地了解目标群体,与法律和审计部门合作以确保培训计划合规。一起合作的人员越多,成功的机会就越大。当然,沟通合作的群体也可以是外部咨询服务团队,毕竟术业有专攻,有了外部的专业资源的加入,更利于探索启动安全意识计划,该计划不仅可以扩展行业人脉资源,还可以在整个行业中树立安全意识工作的标杆。

信息安全意识专业人才缺乏问题的解决方案是创建安全意识计划。该计划旨在教育员工了解网络安全的重要性,以及他们保护自己免受网络攻击的各种方法。该计划还应重点教育员工了解其行为的后果,例如打开网络钓鱼电子邮件或泄露个人账户的密码。当然,计划也不能忽略变化,即有应对措施。如下我们将简要谈一谈。

网络钓鱼:这里的重点是我们需要交互式的模拟行为,以便人们了解网络钓鱼攻击的迹象、检测到此类攻击时应采取的措施,以及如何报告此类攻击。需要重点关注的是阻止攻击所需的安全行为,而不是模拟钓鱼测试。不幸的是,模拟网络钓鱼不仅是许多意识计划的开始,同样也是结束。要知道,网络钓鱼培训是建立整体安全意识计划的重要组成部分,但其本身还不够。

密码安全:密码安全最关键的方面是人们如何使用密码。更广一点说,人们如何保护他们的身份免于盗用,他们是否与同事分享密码?他们是否为每个站点设置唯一的密码?是否使用密码短语和密码管理器?因为使用一些助记的小窍门和小工具是解决个人密码安全的基本行为要素。当然,也要教导用户启用尽可能安全的身份验证解决方案比如:生物特征鉴别和两步(双因素)验证。

意外应对:虽然恶意的攻击行为是不可避免的,但是大多数的安全问题都是由简单的员工事故或疏忽引起的。例如:将手机忘在出租车上、随意共享文档而没有意识到其中包含高度敏感的数据、或者由于邮件客户端中的自动完成功能将收件人设置为错误(但相似)的人员而意外向其发送邮件。这些问题需要人们养成谨慎对待安全并加强安全检查的行为习惯。

搞好这三项,就有了一个良好的开端,重要的是管理组织内部和周围人员带来的风险,这种风险文化不是一朝一夕能够建立的,文化不仅仅是行为,还包括人们对网络安全的看法、态度和信念。文化以及融入情感的过程对于技术人员来说可能是一个挑战。现有的企业文化对于沟通和协作方式以及最终成功安全改变行为起着关键作用。企业文化有外向和内向两大类,开放式的外向文化(例如科技公司中的文化)通常更喜欢让员工们按照自己的时间表观看和消费的幽默内容,而保守式的内向文化(例如保险、金融和政府)通常更喜欢让职员们阅读的更温和或“专业”的内容和材料。因此,我们需要研究企业文化,了解组织的价值观和信念,为信息安全意识计划规划提供信息。与人力资源人员进行交谈,他们通常最了解组织的文化以及如何影响安全意识计划。

总之,创建成熟的意识计划,需要利用技术技能和以人为本的软技能。大多数安全意识专业人士在技术方面没有问题,通过解决软技能方面的问题,无论是发展自身技能、跨部门协调还是引进外部人员,都将在改变安全行为和组织文化方面大有帮助。最后是小广告时间,笔者就职于昆明亭长朗然科技有限公司,专注于为各类型的组织机构提供信息安全意识产品和服务,我们有大量的知识内容和平台工具,欢迎有兴趣的人员联系我们,洽谈合作事宜。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

多数全球化组织已经制定安全意识培训和沟通计划

最终用户的信息安全意识对许多现代组织都很重要,原因包括如下几点:

  • 人为错误:最终用户通常是组织安全状况中最薄弱的环节。他们可能在不知不觉中成为网络钓鱼诈骗的受害者、点击恶意链接或无意中泄露敏感信息。信息安全意识培训有助于向最终用户介绍常见的安全威胁和最佳实践,以降低人为错误的风险。
  • 数据保护:部分最终用户特别是特权用户可以访问组织内的敏感数据和系统。通过提高对数据保护和安全规范重要性的认识,组织可以帮助防止数据泄露和未经授权的机密信息访问。
  • 合规遵循:许多法规和行业标准要求组织向员工提供信息安全意识培训。通过确保最终用户了解自己的责任并了解安全策略和程序,组织可以证明遵守这些法规要求以及行业最佳实践。
  • 事件响应:发生安全事件时,最终用户的意识和快速响应有助于减轻影响并防止进一步的损害。对最终用户进行如何识别和报告安全事件的培训可以提高组织内的安全事件响应能力。
  • 组织文化:在最终用户中培养安全意识文化可以创建一个更安全的整体环境。当员工了解信息安全最佳实践并积极为维护安全的工作场所做出贡献时,整个组织就会从更强大的安全态势中受益。

总体而言,最终用户的信息安全意识对于组织保护其数据、遵守法规、有效响应安全事件以及在组织内培养安全文化至关重要。然而,放眼全球,有多少组织足够重视并且已经开始对用户实施信息安全意识培训活动了呢?

一个全球信息安全调研报告显示:仍然有近乎三分之一的受访公司的信息安全管理仍处于“待开发”中的混沌状态,有超过半数的公司已经开发出了信息安全管理流程甚至处于相关成熟的阶段。

我们注意到在安全运营比如防病毒、补丁修复、入侵防范以及加密等等方面,只有7%的公司认为自己尚弱,但在安全意识培训和沟通方面,这个数字却达到了29%,并且不同阶段显得经纬分明,30%处于“成熟”及“非常成熟”的比较满意状态,41%处于中等发展状态。这表明,绝大多数全球化公司已经制定出比较详尽的信息安全意识培训和沟通计划,而且信息安全管理从业人员关注的焦点已经不再是传统中的安全技术使用以及日常安全运行及维护,信息安全管理专家们已经开始关注更高层面的信息安全精神问题,以及改进信息安全和进行安全管理方面的创新优化。

报告再次披露了那个老问题——信息安全缺乏熟练的人手,缺乏管理层的认知和支持,信息安全与业务目标及战略保持一致的困难。昆明亭长朗然科技有限公司国际信息安全态势观察员James Dong说:这个老问题一直解决不掉,实际上并不是问题,其实我们需要新的解决之道——强化信息安全意识培训及沟通,打造信息安全群众路线。一旦所有职员都能通过信息安全课程的学习,了解了基础的信息安全知识和掌握了必备的技能,就会实现人人皆兵或全民皆兵的信息安全立体防御体系,信息安全专业人士的缺乏便不在是问题。而管理层对信息安全的认知和支持不足是个伪问题,管理层可能不懂信息安全技术,但他们知道信息安全对于商业成功的重要性,高管可能不知如何管理信息安全,这就需要信息安全专业人员去主动沟通,针对高管,除了信息安全基础知识,还需要十五分钟左右的信息安全管理沟通课程。关于保障业务目标战略及信息安全目标战略的一致性问题,当业务部门的管理层以及所有员工都了解了基本的信息安全知识和相关职责之时,这还是个问题么?因为他们会在日常工作中将信息安全应用到里面,时刻注意着信息安全,而且在有安全问题或需求时会主动联络信息安全管理部门,这才是信息安全管理的“成熟”阶段。

一个利好消息是调查显示10%的信息安全管理人员如CISO、CSO、信息安全总监和经理等等已经直接向CEO汇报,而一年前这个数字是零,这是一个非常积极的变化,信息安全意识培训和沟通将促进信息安全管理人员在职业发展上的晋升!昆明亭长朗然科技有限公司通过提供优质的信息安全意识培训教程资源和量身定制的贴心服务来帮助信息安全管理人员实现宏伟的目标。欢迎对这个话题有兴趣的朋友联系我们,一起探讨合作共赢。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com