漫谈信息安全意识培训政策与对策

近年来,越来越多的信息安全部门被要求处理复杂的任务,而把最佳做法置于一边,这种情况令人忧虑。国家互联网应急中心一位不愿具名的安全老手说:解决复杂性的答案在于信息安全意识培训。

我们可以看到,越来越多的工作任务要由人们使用信息科技来完成。这就让信息系统和环境变得越来越复杂,我们的信息操作员会在多种不同的设备上,使用多个不同的软件应用。在这种局面下,网络防御变得越来越困难。例如,我们很难确保人们都严格遵照固定的安全操作指令要求来行动,这就给攻击者提供了在复杂的环境中实施攻击的机会。

在网络安全防护方面,我们应该如何将钱花在刀刃上呢?国务院国有资产监督管理委员会早对下属国有企业下达了指示:强化组织保障,加强全员信息安全教育培训工作,把相关培训纳入员工培训计划。同时,完善制度规范,建立健全企业敏感岗位的信息安全责任制,加强员工入职信息安全教育。简单说,就是要花更多的钱来更好地培训我们的员工。

当然,除了国资委相关要求之外,网络安全法、保密法、国家安全法、等级保护制度、信息安全管理体系等也都有对员工进行信息安全教育培训的要求。要说国资委等下达的指示多的是,为什么偏偏要特别提及员工安全意识培训呢?昆明亭长朗然科技有限公司员工信息安全培训讲师董志军说:我们分析了很多信息安全事件,发现训练有素、信息灵通的员工可以更好地帮助组织降低网络风险。

那么,该对谁进行信息安全教育培训呢?科技部门人员或用户呢?大多数人会觉得IT团队中的人应得到更多的训练,不可否认的是通过加强对技术团队的安全培训,我们可以让信息系统变得更为安全。但是,信息安全教育培训必须是横跨整个组织的,比如那些有针对性的钓鱼活动,利用的不是技术系统的弱点,而是人性的弱点。所以,在网络安全利害关系方面,所有人都有责任,所有人都是所在公司和家庭的一道网络安全防线。正因为如此,持续性地培训全体员工更为紧要。这其中,重要是通过不断地锻炼和实践,来激发学员的信息安全学习动力。

为什么要持续进行,还要不断地实践呢?董志军表示:一方面,持续不断地进行实践,可以让我们保持安全警觉。这和应对战争的军事准备一样,闲时我们要练好兵,不能懈怠,不然战争威胁来临,仓促应对往往必败。另一方面,不断持续地进行信息安全实践,有利于我们跟进和应对新兴威胁,比如新型威胁已经开始针对生物特征识别了,我们的信息安全教育培训仍停留在密码保护层面,那就不足够。就如同没有及时更新系统安全补丁一样,没能及时更新人员对安全的认知。

如何不断地进行信息安全锻炼呢?在实践中,我们发现的最好的锻炼方式是通过桌面练习和模拟训练。

桌面练习贯穿于我们日常工作节奏,比如典型的信息安全意识在线培训,定期的培训用于刷新员工们的安全记忆,强化安全敏感度;加之工作区域及桌面安全检查,让员工们时刻保持工作区域和个人计算方面的良好安全习惯。

模拟训练就类似我们的军事演习,我们会模拟各种安全场景,用以挑战学员:如果发生这种情况,您会怎么做?哪些信息对您是最重要的?您如何保护它们……

通过不断地信息安全锻炼,我们能够不断推动组织信息安全文化建设,不断提高员工们的安全实践能力,进而让员工们更好地帮助管理组织面临的网络风险。

对于信息安全管理负责人来讲,可以根据所有练习中的发现调整安全资源,合理分配,以最好地管理网络风险。

多年来我们一直在谈论安全意识培训,直到现在这仍是一个激烈辩论的问题。董志军总结说,网络安全业界主要激辩的焦点是如何衡量安全意识培训的效果,这其实如同在网络安全方面的投入和产出一样,很难精准量化。不过这并不影响业务对信息安全意识教育培训工作重要性的认识,在国家层面,我们发现越来越多的网络安全宣教活动,网络安全宣传周便是其一。同时,大量的世界级组织也在不断进行意识培训,以提高员工们的信息安全水平。

当然,也有一些方法论,比如通过信息安全意识测试、模拟网络钓鱼等等方式,来通过数字的方式衡量员工们的安全意识水平。尽管这些方法论是否科学仍然存有争议,但这些努力仍然是正向的,尝试使用知识测试和模拟钓鱼的方法,至少也是在不断进行信息安全方面的训练。

昆明亭长朗然科技有限公司是国内信息安全意识培训领域的领跑者,通过引进欧美相关产品,到自主设计开发符合国情的信息安全意识宣教内容,一步步走来,服务了大量的知识客户,也积累了大量的实战经验。欢迎联系我们洽谈业务合作。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898