信息安全治理中人的要素

相对于治理体系比较完善的跨国公司,多数国内公司在安全治理和管理方面比较混沌和混乱。俗话说:治乱世用重典。

负责公司信息安全的高管要想有所作为,必须严肃安全纪律,但是员工们又不是机器,管制太严可能引发消极对抗,管制太松又改变不了安全问题严重的现状。

说到底,多数信息安全问题不是技术控管措施所能有效解决的,要保障公司的信息安全最重要的是解决和人员相关的问题。

如同完善的公司治理一样,信息安全治理也需要“有法可依”,大的社会环境正从“人治”不断转向“法治”,公司要长治久安,保持业务持续性,也需从信息安全制度体系建设上入手。

而要依赖制度体系进行有效的信息安全运作,则需开发各级安全文档,高手高层的安全方针政策、相关的安全标准要求和以及最终用户可以参照的安全流程和操作指南。

为了让信息安全规章制度能够真正落实,防止“有法不依”的现象,需要在制定安全规章制度时认真考虑“人员”的因素,毕竟,实施或应用安全流程的是“人员”,安全流程也只有经过“人员”的参与操作之后才能达到其特定的安全控管目标。

不要让信息安全相关规章流程成为审计检查之后的一纸废纸,则需要强化流程与人员之间的互动,为安全策略和流程找一个负责人,或称所有者,通常是部门的主管或经理,负责维护流程的更新。而部门成员则可能是该安全策略或安全流程的遵循者,只需照章办事。信息安全管理部门可能也需要创建和维护整个公司范围内通用的,以及部门内部所有的信息安全相关策略和流程,并且需要协调监管其它各业务单元和部门的安全作业流程和安全操作指南。

理顺了信息安全部门人员及各部门安全工作流程负责人之间的关系之后,则需强化人员之间的沟通协调,这其中重要的是安全观念的推广。安全管理负责人要制定详细的安全意识沟通计划,包括对全体员工定期提供通用的信息安全意识培训,以及协助重点部门和人员进行的基于角色类的安全培训,比如对于管理层,可能需要了解更多信息安全相关的职责,就需要特别的管理层安全意识培训,毕竟各部门的经理主管们除了保障自身的信息安全之外,还要担当整个所辖部门的安全管理责任。而特别的部门,如保安部和IT部等等,则会根据工作实际需要,获得与职位和工作相关的必须安全培训。

可以通过必要的安全考试来测量员工们对信息安全基础知识和相关作业流程的掌握情况,昆明亭长朗然科技有限公司的信息安全顾问Bob Xue称:唯有员工们掌握了必要的安全知识和技能之后,安全策略和流程方可被有真正理解,安全规章制度才能行之有效,安全治理工作也会随之顺利开启。

有了好的开端要再接再励,要让员工们接受这些安全方针管理和标准化操作要求,一方面,要强化审核,通过查看工作记录、审计系统日志、以及随机抽查检测,等等方法可以了解实施情况;另一方面,也需要进行必要的激励措施,人是追逐利益的,给为信息安全建设工作有杰出贡献的员工以必要的奖励,适当惩罚违反安全规章制度的行为,会让员工们在面临安全选择之时趋向正确的决定。

最后,信息安全治理也需要充分利用“人员”,创建员工们互相监督,互相提醒的安全气氛,让坏人无处藏身,让不安全念头灭在萌芽,让安全风气得到端正,进而让不安全行为不得发生。

security-governance-and-staff

员工安全培训帮助实现终端安全以及法规遵循

当今的各类组织面临着一系列的安全挑战,包括终端安全、法规遵循和自带计算设备BYOD等等。通过实施必要的网络安全控管措施,比如常见的内网安全套件、桌面安全套件,网络信息系统管理员可以实现一定程度的控管目标,但是通常并不足够充分。

网络信息安全技术和产品呈现整合趋势,各类控管措施的功能越来越强,随之的软件设置也越来越复杂,这将导致实现一种控管目标需要庞大的工作量,特别是细力度和动态的控管需求会让负责任的信息系统管理操作员精疲力竭,日程月累,最终系统管理员只能选择放弃那些复杂的系统设置。

实际上,多数网络安全控管系统并没有发挥其主要的功效,有的甚至成了摆设,终其原因,不是网络管理员技术不足或偷懒,而是没有处理好与相关人员之间的关系。拿上网行为管理系统来说,多数组织都没有明确的互联网使用安全政策,全凭IT部门的经理主管和系统管理员拍脑袋来制定各类网站的安全访问规则,这显然是很搞笑和不靠谱的。

此外,还有技术层面的问题,不少网络信息安全产品为了渗透市场,往往会添加同类产品的部分功能,但是又非核心功能,所以控管力度不精细,这就会出现为实现一个目标有多个控管措施,而多项 控管措施之间互相冲突和碰撞的问题,比如为了控制员工使用某些互联网聊天软件,有管理员喜欢添加到聊天服务器的虚假路由;有管理员喜欢从防火墙层面设置访问列表,屏蔽即时通讯服务的认证服务器和网络协议;有管理员喜欢在代理服务器设置访问限制,阻断相关的网络通讯流量;当然也有管理员喜欢使用上网行为管理或上网审计系统来进行相关的控制;还有管理员喜欢从桌面应用安全策略上进行相关的设置……

不要指望这些冲突和碰撞在科技不断创新的大潮中会减少,相反,在竞争日益白热化的市场,即使冲突和碰撞不会变得严重,也会增加信息系统、网络信息安全控管和法规遵循的复杂度,最终让控管本身变得得不偿失。

实际上,市面上多数的网络安全产品都是多余的,至少并没有太大的必要去实施,特别对那些没有明确的安全方针政策和标准的组织更是如此,安全服务价值的接受度不高逼使安全厂商拼命研发和制造安全控管产品,进而通过忽悠客户来“创造”新的市场需求,这显然是本末倒置,“屁股指挥大脑”的一种网络信息安全市场怪相。

要解决终端安全以及信息安全相关的法规遵循问题,就要摆正信息安全中关于流程Process、技术Product和人员People的关系,三者相辅相成,缺一不可。不过现状是在安全控管流程Process方面,市场对安全管理咨询服务和安全解决方案设计服务等等的接受度高,但愿意花钱的不多;在人员People的安全资质和防范技能方面,认识到通过必要而适当的安全意识教育来提升员工安全水平的很多,但知道如何有效建立和实施信息安全培训方案的很稀少。

相比被市场牵着鼻子实施安全硬件设备又将其闲置,加强信息安全方面的软实力,对员工进行信息安全意识教育和培训,可以减轻网络信息安全系统管理员的工作负担,更能在节省资源的情况下获得更良好的终端安全控管绩效。而信息安全法规遵循不仅重点看各类安全方针政策和标准流程,更注重核查相关的记录和结果,以及否有人员参与必要的安全意识培训和流程沟通活动之中。