如何提高网络钓鱼防范意识

网络钓鱼是一种发送给人们的欺诈性电子邮件或消息,其试图诱使接收者放弃密码等机密信息,或打开恶意文档。常规网络钓鱼是一种“广撒网,捞到一个算一个”的方法;而定向式鱼叉式网络钓鱼则是一种为目标量身定制的“少而精”的方法。

高点击率和更先进的网络钓鱼攻击使网络安全业界人们怀疑不良信息过滤技术以及安全意识培训的有效性。对此,昆明亭长朗然科技有限公司网络诈骗预防中心主任董志军称:当我们将人工智能与机器学习等技术用于侦测不良消息时,可以提高识别率,加上过滤和告警等联动机制,可以大幅降低“广撒网”式钓鱼消息进入人们视野的概率。但是再厉害的技术也对打击定向鱼叉式网络钓鱼攻击的帮助不大,因为对于人工智能机器人而言,那些诈骗类邮件和消息与正常的无异。当有人中了定向鱼叉式网络钓鱼攻击之后,便来抱怨说技术和培训没用,我们只能回复说攻击手法太先进了,其实隐含的意思是与攻击者相比,受害者显得太弱了。

不管技术怎么演进,必然要有攻击和受骗案例在先,才会有防御和应对措施的出生,尽管从科学角度讲,道高一尺魔高一丈,我们总是会落后于网络钓鱼诈骗分子,但是使用心理方法对抗心理攻击,在攻击者玩儿出新手法的同时,在人们面对这种新手法时,能即刻更新自身的辨识和防范能力,让自己变得强大到可以对付攻击者,这将会对网络犯罪分子的致命打击,他们利用的空间可能就是那些没能获得这种心理对抗方法的部分群体人员了。

通常来讲,安全意识培训解决方案应解决为什么安全对于员工的安全和工作成功而不是合规性很重要的问题。现实情况却恰恰相反,很多安全意识培训工作是被动的完成主管机关或上级交办的任务,秀一下“合规”而已。这种出发点就有问题,将很难改变人们对安全的心理态度。结果造成人们不会认真看待安全,这样就难以改变他们思考和行为的方式。

安全意识培训不是娱乐观众,当然也不应该枯燥乏味,应该让员工觉得这是一项义务和责任。这也是昆明亭长朗然科技有限公司坚持不断创作安全意识宣教内容,用于助力客户进行意识训练的重要原因。

有些网络安全公司也搞安全意识教育,他们喜欢委派所谓的网络安全“专家”给客户讲课。那些“专家”是玩新概念的高手,每句话都会讲一些“高大上”的名词,让学员听不懂,用网络流行词说就是“不明觉厉”,这种不说人话的行为最多抬高自己的身价,让客户多花钱,实际上对提高网络钓鱼防范意识没什么帮助。昆明亭长朗然公司倡导的安全培训的方法针对的是人们的实际情况,以案例再现和分析讲解的方式进行的,这样能够抓住和启发人们的想象力和思辨力,将安全思想理念融入到具体工作之中,这正是使用心理方法对抗心理攻击的核心。”

为了减少成功的网络钓鱼攻击,业界推出了网络钓鱼模拟服务,模拟真实攻击的未经宣布的场景可以让组织评估其员工对钓鱼威胁的认识程度。

欧美多家机构进行的科学实践证明:那些运行过大量模拟网络钓鱼活动的组织不太可能成为网络钓鱼者的牺牲品。这种良好的表现使钓鱼模拟服务成为目前公司提高员工网络钓鱼防范意识的大胆尝试。不过,也有需要注意的地方,在帮助各类型客户进行了10多次网络钓鱼模拟之后,我们需要发出警示,对于政府参股控股类的企业机构,要多加小心谨慎,避免操作不当陷入内部政治斗争漩涡。同时要注意一个度,避免让员工们过度敏感而不相信正常的业务邮件和消息,进而影响到日常工作。

提高网络钓鱼防范意识是一项长期性的艰巨的工作,我们建议组织机构和企业公司每年都至少搞一次全面的网络钓鱼科普宣教,列出最新的骗术案例,并在可能的情况下,进行一次模拟的网络钓鱼活动。

昆明亭长朗然科技有限公司有相关的网络钓鱼防范意识课程、线上学习以及模拟钓鱼服务,如果您需要体验或者获得更多详情,欢迎联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

安全意识教育的商业价值

安全意识对您的组织重要吗?昆明亭长朗然科技有限公司的一项开放式在线调查结果表明:少量用户20%认为安全意识“不重要”,和认为“非常重要”的19%几乎持平,而多达61%的受访者对此表示并“不关心”。这项公开的调查并不是一项性格测试,所以没必要对受访者进行严格的分类。总体来讲,安全意识对于受访者们来讲是“可有可无”,并非那么紧要的事务。

不少安全从业人员向我们抱怨称公司领导对信息安全的重视度不够,认为只要不发生影响电脑正常使用的恶意病毒事件就万事大吉,但是却重视员工的安全意识培训。安全专业人员对简单的信息安全意识受到高层“过度”的重视表示不理解,的确我们不能否认要搞好企业安全建设,专业人员所拥有的特别安全知识和技能是必需的。

安全专业人员的抱怨并非没有道理,但是也并不全怪领导“不重视”信息安全工作,毕竟领导们多不是信息安全专业出生,他们更不是这个领域的专家。领导们往往站在业务全局或所属部门的角度来审视信息安全,尽管他们对信息安全的认知可能并不足够,但是他们无疑更理解业务或部门对信息安全的需求。

安全专业人员也并非全都是业务方面的“门外汉”,基本的业务流程现多被信息化所驱动,信息安全专员多少都懂些信息系统基础,稍加努力了解一些业务架构和关键的流程,以及对IT安全方面的依赖,便可轻易成为又懂安全又懂业务的职场精英。昆明亭长朗然科技有限公司的安全顾问Alice Wong称:除非安全专家想往业务方面发展,否则多数情况是安全专家只想获得对他们的专业技能的认可和尊重。解决方案很简单——领导们在进行新业务或项目的调查分析之时,或在制定相关决策之前,向安全专家们咨询顾问一下。

安全专家们愿意为公司的成功更多付出专业方面的正能量,但是信息安全专家们显然不愿意也不会为员工终端层面的安全问题负责,他们会认为那些太小儿科,但是问题在于普通员工往往有更关键的工作——创造更多的商业价值,而不是成为安全方面的高手。矛盾出现了,安全专家们纠结了,身处管理层要负责的“领导们”必须得有所作为,他们要成为安全专家与终端员工甚至最终用户之间的沟通桥梁,他们需要让终端员工们掌握基本的必需的安全知识和技能。

信息安全专家,不管是技术方面的还是管理方面的,现在都应该认识到真正的问题和挑战,要为领导们所认可和接受,必须改变以往的傲慢立场,深入一线了解和评估基层员工们的安全认知水平,制定和实施必要的安全意识培训战略和计划……

而业务主管及高层的领导们则应该考虑到专家们所受到的限制,给予所需的必要的支持,让员工安全意识培训计划能够顺利地在整个公司或部门范围内得以顺利落实。