保障信息安全要依常识行事

近来两三起高学历博士夫妻不知人类如何延续后代的新闻引起了社会大众的深思:常识,其实远不是人们想当然中的那么普及。在信息安全领域也是如此,很多组织机构在出现重大安全事故之后才会重视信息安全,而缺乏足够的安全基础知识,让这些组织机构的安全负责人和高层领导被忽悠,更让匆匆制定的安全解决方案成了头痛医头、脚痛医脚、治标不治本的止痛药。

也别指望找个三五家安全厂商,让他们跳上舞台表演安全解决方案秀,就能从中学习和掌握核心的安全管理知识体系。安全厂商面临着生存和发展的压力,安全问题的解决方案本身不赚钱,赚钱的还都是些方案中使用的商业产品或服务,就凭这点儿,企图想从安全厂家那里得到正确的和适当的安全解决方案无疑是黄梁一梦。

那我们的安全问题如何才能得到解决呢?世间任何事都有前因后果,出现安全事故当然原因不是所谓的风水不好、运气不佳,而是整个安全管理体系的不足。让我们跳开具体的安全事故,或许造成严重后果的最直接的诱因只是随机的一个小事件、粗心大意或恶作剧,然而不能将这最直接的诱因看在成孤立的部分或必要的条件。

水滴石穿非一日之功,冰冻三尺非一日之寒!严重安全事故的发生必定和多方面的整体的环境因素有关,通常我们能看到的造成严重安全事故的最“直接”的诱因只是撞上临界点的“倒霉鬼”,更是巨大冰山露出海面的一小部分。比对于安全解决方案,我们能够说削平这冰山的小山头就完事了吗?

安全意外事故的发生不能完全避免,所以,当有严重安全事故发生时,不要有病入膏肓的世界末日之悲叹,但是也不能掉以轻心,更不能在受到上司的高压之下变得六神无主,失去自我。

尽管信息安全咨询顾问服务现在逐渐升温,但是在信息安全的迷惘时期千万不要急于找外援,因为迷惘或心情不佳的时候很容易被蒙骗或犯下巨大的错误,当我们越是急切地想解决问题的时候,越是容易出错,不是吗?

正确的方法如何呢?通常在安全管理负责人会将安全事故控制在一定范围内,这是通过一定的应急事件响应流程实现的,即使这流程并没有黑纸白字写下来。将安全事故所能造成的影响控制到最低之后,便需要好好反省,不要急于找出“根本原因”,因为拔出萝卜带出泥,“根本原因”往往都是安全管理的不到位,但是在技术层而又需要有台阶可下。

在技术层面要找出合适的“根本原因”的指导宗旨是更多安全资源的获得,但这里所讲的“安全资源”绝不能仅限于技术类的安全控管措施,比如安全产品和技术等等,更多应该放在安全流程措施和安全人力资源。

管理层谈资源管理,技术专家往往会不屑一顾,认为是在搞华而不实的政治斗争,要落实下去还得靠技术控管手段,实际上这是一种浪漫主义的想法,因为技术控管手段的实施最终依赖的是人,受影响的也是人,而多数人并非像安全技术专家那样能够理解和接受这些技术控管手段,忽视“人员”的安全技术系统实施是不会取得成功效果的。

问题何在?安全技术方面的专家往往像高学历博士夫妻一样,研究安全问题比较深入,也可以说很精专,但是不够全面和系统,而信息安全却是一件系统工程,需要安全技术专家来攻坚,但更需要管理方面的人才来整合及领导安全的系统化运作。

所以,不要理睬那些“输入一条指令就可永久解决”,“装台防火墙就能防止类似事件再次发生”或“应该安装数据防泄露系统”等等之类的肤浅说辞,也不要被大概念如安全运营中心SOC之类的玩艺儿冲晕了头。

保障信息安全,要依常识行事,而且必须依常识行事,这里的常识是指国际通行的信息安全管理体系标准。

事实上,即使在安全行业里,仍然没有多少人懂得标准,尽管他们都会说出这些标准的名字,就如同多数不打篮球的人们谈到NBA,都会提及林书豪的名字一样。

注意,在安全认知上没有修炼到一定的程度,是看不懂信息安全管理体系标准的,也没有什么兴趣,这点不难理解,可以找精通这些的专业人士进入信息安全管理层。问题是千万不要摆出“中国特色”或“我家特点”的一幅自大姿态,来批判信息安全管理体系标准,因为这些批判显然是自身无知、而又不愿意承认才造成的一种消极抵抗。这种消极抵抗很可怕,他们拒绝信息安全常识,而且到处传递负能量,想让真正有需要的人得不到常识的洗礼。

常识需要得到普及,考虑到安全管理层往往并没有多少富余时间,昆明亭长朗然科技有限公司特别引进了全球通用的安全常识——信息安全管理体系实施指南,并进行了必要的本地化工作,最终酿制成一部三小时左右的在线教学视频——《九章信安》。

然而,常识并不应该独享,我们建议安全管理负责人员同安全技术专员们沟通,拉动安全团队中的所有从业人员一起接受普世的安全常识和理念,唯有如此,安全团队内部方能顺利地就安全问题和解决方案达成一致,方能用正确和适当的方式来保障信息安全。

备战信息安全管理体系审核

信息安全管理第三方认证为组织的信息安全体系提供客观公正的评价,使组织在信息安全管理方面有更大的可信性,并且能够使用证书向利益相关的组织提供信心保证。对此,昆明亭长朗然科技有限公司信息安全顾问专员董志军称:信息安全管理体系认证的好处不用多说,在经历了长期的信息安全管理体系建设之后,通过第三方独立而权威的组织的审计,获得ISO/IEC等国际权威机构的认证,是组织机构的高管以及信息安全管理层的重要目标,也是信息安全管理体系成功的一项重要展示奖项。

在允许外部审计师进行正式的认证审核之前,组织很有必要进行一项针对信息安全管理体系的设计和实施的全面的复查。

复查应该由组织的内部审计团队进行,在ISO 27001的章节中有强制性规定内审团队要负责审计活动。

一项全面、逐步的审核很有必要,它不仅能找出安全认证计划中可能漏掉的关键步骤,而且是确保信息安全管理体系得到适当和全面部署的最好的方法。

评审的流程需按照ISO 27001中关于评审的要求得以建立和归档,当一个详细的审核完成后,管理层应该评审相关的发现,并且这些报告应该按照ISO 27001的章节要求进行存档。

通常来讲,高管以及信息安全总监发起信息安全管理体系计划,并对其进行支持和赞助,这就需要有相应的组织团队。同时,也需要信息安全专业人员,ISO 27001就有一些培训课程,典型的比如面向Internal Auditor(内审员)和Lead Auditor(主任审核员)的培训课程,当然,也有面向Executive高阶管理层的信息安全领导课程,以及面向全员的信息安全意识课程。

虽然不比专业的信息安全及审核方面的认证如CISSP和CISA等含金量高,但是这些仍然很值得实施信息安全管理体系的组织和人员参加。

内审员的培训课程一般为三天,适合欲建立一套符合ISO 27001标准的信息安全管理体系的企业,组织中将要执行内审的人士以及IT经理、系统经理、IT安全经理等。

主任审核员的培训课程一般为五天,是内部审核员的进阶课程,适合于想把信息安全管理体系引入组织的人员以及立志为第三方认证机构工作的人员,它如何管理和领导信息安全管理体系审核活动。

请注意,由于组织中信息安全相关人员的职责有些差异,所以相关的培训课程也会不断地变化,例如近些年,很多信息安全培训机构已经更新了相关的信息安全管理体系课程,以便更加有角色的针对性。昆明亭长朗然科技有限公司在成立之初,便创作推出了“九章信安”信息安全管理体系实施课程,该课程由24段动画以及知识讲解视频组成,向众多组织机构的信息安全管理人员科普了必要的知识。近年来,我们创作了大量的针对管理层和普通职员的信息安全意识及最佳操作课程,与人们的日常信息安全实践密切相关,用于提升全员的信息安全能力和素养。进一步,推动组织建立成功的信息安全管理体系,并获得权威机构的认证。

欢迎有兴趣预览作品的客户及行业伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898