IT安全在组织机构中的地位

在IT安全方面进行投资有什么必要呢?IT安全在业务人员眼中的地位何在呢?最近一家专注于治理、风险、合规以及SAP安全的一家咨询公司进行了一项企业级的网络信息安全调查,结果显示受访者对此尖锐问题的观点差异很大。

近四成的受访者表示IT安全是一项基本的商业实践,并且可以带来相应的投资回报;同时有近四成的受访者表示IT安全是保护组织资产的一项保险;还有近两成表示IT安全是为了让审计人员满意的不必要的开支。

我们仔细想一想,尽管人们的观点差异很大,但是都有其合理存在之处。昆明亭长朗然公司市场安全调查专员James说:

  1. 的确,IT安全应该成为业务目标、业务战略和业务流程的一部分,以便与业务保持一致。
  2. 从风险管控的角度看,IT安全投入是在降低甚至转移信息资产的安全风险,这的确是一项看起来并不是绝对必要的“保险”措施。
  3. 对于多数受访的IT人员如系统管理员来讲,推动信息安全工作的源动力来自审核之类的安全检查,搞安全的价值仿佛就只是让审计人员满意,让审计获得通过而已。

不过,我们再仔细想一想,这几种观点,俨然代表几种对待IT安全的态度,积极、中性和消极。无疑,公司业务高管以及IT安全负责人若要获得IT安全管理方面的卓越成绩,必须从下属员工们对待信息安全的态度上来着手。那句话怎么说来?态度决定行为,行为决定习惯,习惯决定性格,性格决定命运。

如何扭转中性及消极的IT安全态度呢?昆明亭长朗然公司James表示:人们有观点的差异,主要来自认知的差别,若想让IT安全领域里的消极者变得积极起来,最重要的是首先让他们获得正确的信息安全基础知识,进而激发起他们内心中的正能量。

当消极的IT人员充分了解了信息安全的基础知识和普世理念,他们的态度也会来个180度的大转弯,他们会从内心感谢信息安全审计人员,因为是拥有专业知识的审计人员在帮助他们找出潜在的安全问题并给出改正的建议。而持中性态度的IT人员也会认识到保障IT安全应该及早采取积极防范措施确保业务持续性成功运营,而不能心存侥幸坐等出现信息安全事故后再来向保险公司索赔。

不管人们怎么看待公司内部IT安全的地位和价值,IT安全是现代化组织机构所必不可少的组成部分。消极被动的安全心态注定带来不了美好的安全成绩,积极主动的安全态度必将为个人、团队和公司带来良好的促进作用和骄人的业绩。昆明亭长朗然科技有限公司,我心安全,我行安全,我们帮您建立积极的安全态度和安全行为。

再谈社会工程黑客的防范之道

随着信息服务提供商的安全技术更新,以及等级保护网络安全相关法规的落地,诸如加密、安全更新、防火墙、防病毒、多因素身份验证之类的高级安全措施越来越得到普及,这使黑客越来越难以获得他们想要的东西如机密信息资产等。这是网络社会和信息行业付出巨大代价换来的进步,也是值得欣喜的情况。不过,昆明亭长朗然科技有限公司网络安全研究专员董志军警告称:永远不要太过乐观,因为出于思想政见的不同特别是利益驱动的原因,诸如黑客、间谍或不轨人员等网络犯罪威胁客观存在而且无处不在,当他们无法从技术层面下手时,他们会尝试新的渠道,即利用人性的弱点,这样只会让情况越来越糟,因为人性的弱点太复杂多变了。

您可能想问:人员因素越来越成为黑客的最佳目标呢?这是因为人们可能会有意、无意或疏忽大意间犯错。一些不良的安全习惯或常见错误很容易为黑客提供他们所希望的突破口。社会工程学是一种操纵人们去做事的艺术,尤其是与安全相关的事情,例如交出计算机的访问权限或者泄露机密信息。社会工程学黑客并不是利用高超的技术闯入计算机网络或信息系统,而是使用对人类的心理进行操控的技巧。

在许多情况下,这些黑客只需使用少量信息,就可以获得受害者的信任或访问权限。让我们看一些例子:

  • 一名黑客可能会打来电话,自称是您的服务商,并说您的账户已被标记为异常活动,需要验证您的身份,实际上是在骗取您的身份信息。
  • 一名攻击者冒充您所在单位中的同事(例如佩戴假工牌的技术支持人员)或顾问或其他受信任的外部权威(例如审核人员),进而获得您的信任,并跟随您进入内部受限工作区域。
  • 一名黑客甚至可能添加您为社交媒体好友,然后从您的个人资料或发帖中收集信息。
  • 一名黑客可能伪造知名机构的网站,向您发送链接,进而对您进行网络钓鱼攻击和恶意软件感染等。
  • 一名黑客可能通过假冒高管的电子邮箱或在社交媒体中假冒成高管,向您紧急借钱,或要求您转账给特定的户头。

如何最大限度地减少社交攻击造成的损失呢?

从战略上讲,防御黑客的最佳方法是像黑客一样思考。因此,安全专员需要赋能用户,培训员工有关黑客的一切。当然,真实的黑客并非媒体或影视剧中表现的那样神乎其神。媒体通过都是通过夸张的表现来吸引人们的眼球。真实的黑客敢闯敢试、足智多谋而且极有耐心。安全人员可以通过鼓励员工参加黑客挑战赛来培养黑客的思维方式。

从战术上讲,为避免成为社交攻击黑客、网络钓鱼分子、电信诈骗者和身份盗用者的侵害,我们可以做很多事情,比如采取如下一些预防措施:

  • 避免将所有鸡蛋都放在一个篮子里,账户之间越相互依赖,出现安全问题的可能性就越大,所能造成的破坏就越广泛。
  • 为每个网络应用服务使用不同的登录名或密码,当然,最好不要重复使用相同的密码,以确保一个密码的失窃不会影响到其它信息系统。
  • 尽量启用双因素身份验证,这样,即使用户名和密码被盗,盗贼也难以轻松进入您的账户。
  • 定期检查账户登录情况和个人数据,以查找身份盗窃和账户欺诈行为,定期检查访问日志情况以确认账户没被入侵和滥用。
  • 从公共信息数据库中删除您的私人信息,如Firefox监控等一些安全网站或工具可以帮助我们查找自己的私人信息暴露情况,使用相关的资源删除暴露的私人信息。
  • 定期备份重要的数据,不怕一万就怕万一,黑客入侵人们通常为了获利,加密型的勒索病毒使很多企业和个人受害不浅,这是惨重的教训。

话说回来,如同表演各种幻术一样,社交工程学黑客会伪装成各种角色的人员身份,向各类人员发起针对您的攻击。如果服务提供商因受到社交工程诈骗的原因而将您的账户访问权限交给了攻击者,上述这些步骤将不会阻止您的账户受到入侵和损害,但是,它们至少可以帮助您将可能的损失降到最低,以让您对保护好自己更有信心。

对于网络安全人员来讲,要不断更新自己的知识储备,加强网络安全学习。同时要鼓励员工们了解潜在的网络犯罪事件,以便认识到新型的网络安全威胁,进而帮助员工们更好地与组织的安全风险建立关联,强化自己的安全防护意识和能力,履行好自己的网络安全职责,防止沦为社交工程黑客利用来攻击工作单位的对象。

为了帮助各类型的组织机构抵御越来越复杂多变的社会工程学黑客攻击,进而帮助保护组织机构的重要信息资产,昆明亭长朗然科技有限公司制作了大量的用户安全意识培养教程内容和素材资源。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898