自带计算设备BYOD的安全职责探讨

消费型电子设备热卖,功能强大而且携带方便,进而使不少员工开始将自己的计算设备用于工作,即所谓Bring Your Own Device,简称BYOD。BYOD往往会从企业高层和IT部门开始,安全管理方面稍一松懈,便会呈现破竹之势,迅速在公司范围之内普及。

BYOD无法阻拦,但是安全问题会随之而来,在准入控制方面,把BYOD划分在企业外网不失为一种有效的安全域规划战略。一方面,公司的内网可以得到有效的保护,另一方面,又为员工提供使用网络资源的便利。但是随着BYOD越来越多,并且所需连接的资源也越来越多之时,内外网便会逐渐模糊起来,只对用户的虚拟身份进行验证,而忽略终端设备是大的接入控管趋势,公司所需严格保护的似乎只剩下核心的信息系统了。

问题可能不会这么简单,IT企图放弃终端安全的想法任何时候都是很危险的,终端用户并非IT安全方面的高手,人心如水,水能载舟,亦能覆舟,公司信息安全管理层需要认真对待BYOD。

那么,从何做起呢?从资产属性上讲,BYOD属于员工,而用于工作,本身就是公私不够分明的情形,从公司层面来讲,也难以有适当的理由来实施有效的安全控管。简单地问一问:谁将为BYOD的安全负责?昆明亭长朗然科技有限公司进行的一项移动安全调查表明:近半数受访者认为员工自己应该为BYOD的安全问题负责,有四分之一的受访者认为公司(或雇主)应该负责。

简单举例来讲,存储着工作数据的终端设备丢失了,由谁负责?公司要给员工设备相关的赔偿吗?员工要为公司数据的泄露负责吗?显然这是些复杂的容易扯皮的问题,从这个角度来看,似乎双方都有不可推卸的职责。

员工将自己的计算设备用于工作,您认为安全问题应该由谁负责?欢迎联系我们并告诉我们。

借口“临时工”并非解决信息安全事件的良药

近几年,“临时工”、“合同工”等等开始红遍大江南北。诡异的是,多数时候“临时工”已非还是劳动力市场上的用词,它越来越多的成为一些重大安全事故中的“替罪羊”或“挡箭牌”。

尽管社区论坛、自由博客及社交网络等等仍然被舆论监督部门严格把控,但是或多或少给普通大众在公共社会问题上的“起哄”机会;创新的科技不仅掌握在权力机关,也进入了大众的手中,这让居心不良的家伙们在行恶之时多少有些顾虑和收敛。

危机来临之时,公关高人们第一时间想到降低损失,这是再自然不过的。舆论需要一个责任人,“一把手”如何都难逃其咎,但是又不可能无论大小甚事都怪罪到“一把手”,再说“一把手”并非多数安全事故的直接造成者或参与者。

人非圣人,孰能无过?为了照顾大局,公关高人们往往不得不找出“临时工”来担当“常委”,而媒体要联系这些“常委”的时候,则会被告知:已被辞退。

不过,如果一味拿“临时工”当安全事故的缓冲剂,并不一定会百试不爽,原因不仅仅由于法律法规和相关监管审计系统越来越严格,办公室内外的政治斗争也是关键因素。

其实抛开用于权力制衡也有利于良性竞争的职场政治因素不谈,安全事故越来越成为各主任经理们业绩考核的关键指标。虽然将安全事故的终极责任归于主管领导可能有些残酷,但是也有其积极的一面,便是安全能够得到最高领导层的必要重视,因为只有高层重视了安全之后,下属中低层员工方可将安全当回事儿,安全工作方可得到必要的落实。

从科学发展观上来讲,安全事故并非可以完全杜绝,在信息安全领域,中央各部委的相关监管和指导文件也都特别提到信息安全事件,往往并没有刻意提出如何处理信息安全事件的责任人,但是却无一例外地强调安全事故报告和响应流程,因为中央政府及相关部委明白:终极的责任可能并非在下级单位或某位领导,不过对信息安全事故的刻意忽视、隐瞒甚至夸大等等不但不利于一盘大棋,更会令中央和地方多级受损。

而要降低信息安全事故损失的关键动作看起来很简单却不一家能够做到——及时发现安全事故的隐患或苗头,并且报告给适当的安全响应机构和人员。难做到的原因也很简单:可能不知道要报告安全事故,“临时工”们可能根本不会意识到安全事故或持观望心态,员工们可能会认为与自己无关,或想自作主张低调处理;中层领导可能在忙于别的事务,或不想因安全事故而被上级责难……

不少机关或公司并非需要对公众直接负责,所以在出现信息安全事故之后,也不用媒体掺合,只需依据标准的流程将事故划分为合适的等级并且汇报给相关的监管机构和人员。出现信息安全事故,可能是一个人造成的,但是却需要大批人参与事件的响应之中。如果是黑客搞得破坏,我们谴责黑客并进行内部修复;如果怀疑是商业间谍,我们可以报警并诉诸法律;如果是内部员工不经意犯错,我们要加强安全意识教育;如果是第三方员工如“临时工”恶意为之,我们更要加强教育和惩戒。

虽然临时工与正式工相比,素质、法律观念上还是有差距的,但是我们不能只在信息安全事件之后方才注意到强化安全意识教育,也不能只给正式员工适当的安全意识教育,而忽视“临时工”。

虽然“临时工”可能对组织机构的归属感和认同度不够,他们对公司安全环境的熟悉程度不比正式员工,感受企业安全文化的熏陶也不够深入,但是我们不能否认“临时工”对组织信息安全成功的贡献度和重要性。

我们要张开怀抱,如同会提供特别的“转正”政策让“临时工”好好表现一样,我们也需要在信息安全方面教育、感化和激励他们。

“临时工”、“合同工”、“实习生”、“外包岗”等等不是“替罪”的代名词,但是由于战略的需要,他们客观存在,甚至他们也的确更容易带来安全事故。解决之道并非设置更多的人为障碍和阶层对立,对立不如对话,管理好信息安全事件,降低损失,从对“临时工”的信息安全意识教育开始。

temporary-staff-id-badge