小议电商行业信息安全管理体系建设

electronic-commerce-and-isms
除了市场经济计划体制下的官营有政府做担保之外,传统的民营私营实体经济往往仍停留在“一手交钱、一手交货”或“熟客交易”阶段。尽管在同一个中央集权国家的统一法制体系之下,多数民企遵纪守法,但是违背商业伦理、缺乏契约精神的无赖企业家依然常见,这种现状显然影响着企业家们的创新和开拓精神,也制约着传统行业的发展和壮大。

电子商务的优势除了降低仓储和店铺成本之外,需要解决的重点是建立信任机制,电商通过交易担保来帮助建立信任机制是一种中国式的伟大创新,但是对于构建商业伦理和契约精神却可能是起到负作用——一旦没有了这个中间担保机制,人们便会借机使出各种“恶”来。而如果没有这种中间担保机制,这个社会问题反倒可能会逐渐得到自我修复直到最终解决。昆明亭长朗然科技有限公司电子商务行业信息安全观察员James Dong举例说:这就是为什么一些沿海企业不担心远在地球另一端的外国客户付款,反倒对国内客户的耍赖提心吊胆的原因。

电商行业竞争异常激烈,让不遵守商业规则、急功近利的价格战、媒体战、广告战等事件层出不穷,消费者仿佛能够从中受益,因为某家某产品可能比竞争者便宜了五毛或一块钱,但是这里却付出了更多的时间资源和社会成本,更不用说那些虚假的促销活动更是在浪费人类宝贵的资源。

电商行业要考虑到生态文明和可持续发展,并将这些理念应用到信息安全管理体系之中,在信息系统开发的需求搜集阶段便要考虑信息安全需求。

首先,要将要考虑人文要素,考虑到如何防范黑客窃取用户帐户及资金、用户如何强化个人帐户安全保障;

其次,要考虑到员工及合作伙伴的安全操作,建立必要的审计监察功能,防止各类违法违规违纪的内幕操作。

最后,亦要考虑竞争者的恶意访问和窃取敏感信息数据,以及防范价格出现异常的情况。

上述三点主要集中在信息系统的信息安全技术控管层面,不过,即使利用大数据构建的人工智能系统,也无法替代必要的人工操作,我们需要建立必要的信息安全运营管理流程,以满足必要的业务安全控管目标。如下昆明亭长朗然科技有限公司向您分享几点必要但并不全面的信息安全运管流程。

首先,在处理客户问题方面,一部分信息安全相关的事件需要得到适当的标识、跟进和有效处理,我们简称客户信息安全事件管理流程,此流程可以基于ITIL之类的IT服务管理系统构建。

其次,各类系统本身的安全问题的识别和解决,这些问题的来源一方面可以是其它流程的输入,比如客户信息安全事件管理的报告输出显示同一个系统最近出现大量的同类安全事件,则应该输入到信息系统安全层面寻求解决;信息系统监控中心可能发现异常的访问流量,也应该通知系统安全事件管理流程;

最后,则是有效控制变更,不少信息安全相关的事件都是由于变更管理不善而引起的,虽然变更管理可能牵扯到信息安全控管范围之外的更多内容,但是在变更管理中加入必要的信息安全元素必不可少,比如变更之前的数据备份、受影响用户如何的沟通、以及回溯计划等等都应该受到适当的评估和事前准备。

我们还要补充一点的是虽然信息安全管理并非电商的核心竞争力,也无法干涉业务领导层的一些战略决策,但是却可以从安全理念上安全伦理上给出积极正面的帮助,这些信息安全领域的管理理论和要义无疑也能帮助电商企业构建积极健康的职业操守和企业文化。商业管理方面的薄弱往往是电商行业的软肋,这些软实力往往决定一家企业的信誉和公共形象,而在电商企业内部推进信息安全企业文化建设,无疑可以从员工们的信息安全意识培训开始。

总之,信息安全管理体系建设不仅能够帮助电商解决业务流程中的安全问题,也能给客户和供应链带来更多安全方面的信心和保障,更能促进电商企业管理水平的提升以及推进积极健康的职业操守和企业文化建设。

再谈信息安全意识推广计划

在很多IT安全专业人士眼中,针对普通用户的信息安全意识教育培训是很“小儿科”的。然而,即使是安全技术专家,也不得不承认一个事实,那就是越来越多的针对企业级信息系统的攻击开始借助普通用户薄弱的安全防范意识,臭名昭著的高级可持续性威胁APT便是如此。

普通用户、VIP人员越来越多地成为网络犯罪分子入侵关键信息系统的跳板,甚至IT人和安全人,也都会面临各种各样的社交工程学攻击手法,这便让诸多信息安全管理人员将目光转向针对全员的信息安全意识教育领域。

如何开始呢?如何科学地制定和实施一套信息安全意识推广计划呢?昆明亭长朗然科技有限公司信息安全意识顾问董志军说:这是一个相对古老的管理话题,在此之前我们有多次谈到过,随着时间的推移,内容多少有些变化和更新。我们假定一家大型集团公司开始启动正式的信息安全意识推广计划,如下是整个计划的概貌。

一、计划概要

借助发布或更新安全政策与标准之时,首次配以一次大型的信息安全意识宣传推广活动。每月或每季度分批次分重点,进行不同安全主题的沟通宣传。针对全员的安全意识每年进行一次全面的刷新,并将其纳入新员工入职培训活动计划中。

二、初次推广

不管是首次发布、还是重大变更了集团层面的信息安全方针政策和标准指南,都需要进行大型的安全意识推广活动,如果是初次活动,我们建议使用较为全面的、涵盖了大部分信息意识主题知识点的教程资源,当然最好能使用一些定制化的内容,比如邀请高管讲话,或录制高管的讲话视频等等,以显示高管层对信息安全的重视和承诺;有了这些,员工们才会更加认真对待信息安全。

三、分批推广

每月或每季度分批次分重点进行不同安全意识主题的沟通宣传,可以更深入地宣传相关主题的内容,让员工们更加理解安全政策和标准的精神,在强化相关制度流程的执行力的同时也可以起到不断提醒员工们注意保护信息安全的作用,经常提醒,才更容易让信息安全成为习惯和文化。要深入不同的安全主题,特别是结合具体的商业环境、信息安全目标、战略、标准、流程等等,通常需要量身定制宣传推广内容。

四、年度刷新

每年审议和更新一次信息安全方针政策和标准指南,与此同时,全面刷新一次员工们的信息安全意识认知,教程资源可以在此前的基础上进行定制化的改进,以尽量减少重复不变的内容,免得枯燥乏味。当然,对于重点的需要重复强调的部分,仍然要保持重复使用。

五、入职学习

对于新员工,在入职培训期间,也要求进行一次全面的信息安全意识学习和考核,以保证全体工作人员都拥有基本的必需的信息安全意识。学习内容可以是最近一次针对全员的安全意识推广活动教程资源。

六、定制建议

信息安全管理处于初级阶段

对于计划初始做信息安全意识推广,但针对全员的常规性的信息安全意识培训制度尚未建立起来的客户,我们通常建议客户在最开始时,先选择一批通用的宣教资源或课程,少量定制。这样可以快速实施安全意识推广活动,并且节省大量的宣教成本。对于IT安全团队来讲,可以参考教程资源中的内容精华,改进安全管理工作和积累活动经验,同时降低项目计划风险和试错成本,还能留给下一年信息安全意识活动更多的改进或提升空间。

信息安全管理处于成熟阶段

对于信息安全文件体系比较完善,制度化管理水平较高,针对员工的信息安全培训已经成为常规工作的客户,我们则推荐定制化内容开发。因为很多安全相关的标准和流程都已经在实际工作中实践了,培训相关的原始素材也都有了不少,定制开发有了相对明确的输入内容。这时用新的方式来增强内部沟通,可以强化员工们对信息安全相关要求的理解、以及对相关安全理念的全新认知。对于信息安全团队来讲,定制课程的项目计划可控性强,成功率高,风险低。

总结来讲,如果我们在前期没有进行过大规模成体系的信息安全意识宣传活动,那么无疑员工们的信息安全意识水平是较低的,不管是通过风险评估、员工面谈、考核测试还是模拟渗透,几乎都可以得出这个结论。只是要进行全员信息安全意识的提升,科学的工作方法如何?如何衡量信息安全意识工作成效?如何让信息安全意识培训更贴近企业的实际商业环境和信息安全管理流程和规章制度?我们在一篇短文中可能介绍不了这么多,不过,如果您有兴趣了解更多,您可以直接联系我们,咨询更多详情。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898