借口“临时工”并非解决信息安全事件的良药

近几年,“临时工”、“合同工”等等开始红遍大江南北。诡异的是,多数时候“临时工”已非还是劳动力市场上的用词,它越来越多的成为一些重大安全事故中的“替罪羊”或“挡箭牌”。

尽管社区论坛、自由博客及社交网络等等仍然被舆论监督部门严格把控,但是或多或少给普通大众在公共社会问题上的“起哄”机会;创新的科技不仅掌握在权力机关,也进入了大众的手中,这让居心不良的家伙们在行恶之时多少有些顾虑和收敛。

危机来临之时,公关高人们第一时间想到降低损失,这是再自然不过的。舆论需要一个责任人,“一把手”如何都难逃其咎,但是又不可能无论大小甚事都怪罪到“一把手”,再说“一把手”并非多数安全事故的直接造成者或参与者。

人非圣人,孰能无过?为了照顾大局,公关高人们往往不得不找出“临时工”来担当“常委”,而媒体要联系这些“常委”的时候,则会被告知:已被辞退。

不过,如果一味拿“临时工”当安全事故的缓冲剂,并不一定会百试不爽,原因不仅仅由于法律法规和相关监管审计系统越来越严格,办公室内外的政治斗争也是关键因素。

其实抛开用于权力制衡也有利于良性竞争的职场政治因素不谈,安全事故越来越成为各主任经理们业绩考核的关键指标。虽然将安全事故的终极责任归于主管领导可能有些残酷,但是也有其积极的一面,便是安全能够得到最高领导层的必要重视,因为只有高层重视了安全之后,下属中低层员工方可将安全当回事儿,安全工作方可得到必要的落实。

从科学发展观上来讲,安全事故并非可以完全杜绝,在信息安全领域,中央各部委的相关监管和指导文件也都特别提到信息安全事件,往往并没有刻意提出如何处理信息安全事件的责任人,但是却无一例外地强调安全事故报告和响应流程,因为中央政府及相关部委明白:终极的责任可能并非在下级单位或某位领导,不过对信息安全事故的刻意忽视、隐瞒甚至夸大等等不但不利于一盘大棋,更会令中央和地方多级受损。

而要降低信息安全事故损失的关键动作看起来很简单却不一家能够做到——及时发现安全事故的隐患或苗头,并且报告给适当的安全响应机构和人员。难做到的原因也很简单:可能不知道要报告安全事故,“临时工”们可能根本不会意识到安全事故或持观望心态,员工们可能会认为与自己无关,或想自作主张低调处理;中层领导可能在忙于别的事务,或不想因安全事故而被上级责难……

不少机关或公司并非需要对公众直接负责,所以在出现信息安全事故之后,也不用媒体掺合,只需依据标准的流程将事故划分为合适的等级并且汇报给相关的监管机构和人员。出现信息安全事故,可能是一个人造成的,但是却需要大批人参与事件的响应之中。如果是黑客搞得破坏,我们谴责黑客并进行内部修复;如果怀疑是商业间谍,我们可以报警并诉诸法律;如果是内部员工不经意犯错,我们要加强安全意识教育;如果是第三方员工如“临时工”恶意为之,我们更要加强教育和惩戒。

虽然临时工与正式工相比,素质、法律观念上还是有差距的,但是我们不能只在信息安全事件之后方才注意到强化安全意识教育,也不能只给正式员工适当的安全意识教育,而忽视“临时工”。

虽然“临时工”可能对组织机构的归属感和认同度不够,他们对公司安全环境的熟悉程度不比正式员工,感受企业安全文化的熏陶也不够深入,但是我们不能否认“临时工”对组织信息安全成功的贡献度和重要性。

我们要张开怀抱,如同会提供特别的“转正”政策让“临时工”好好表现一样,我们也需要在信息安全方面教育、感化和激励他们。

“临时工”、“合同工”、“实习生”、“外包岗”等等不是“替罪”的代名词,但是由于战略的需要,他们客观存在,甚至他们也的确更容易带来安全事故。解决之道并非设置更多的人为障碍和阶层对立,对立不如对话,管理好信息安全事件,降低损失,从对“临时工”的信息安全意识教育开始。

temporary-staff-id-badge

从两起事件宣讲员工信息安全手册

最近,又看到和听到一些信息安全事件,无疑,这些事件的原因都是对信息安全的误解和不了解。

其中一起事件值得玩儿味,暑假,清洁阿姨带着自己的儿子来到某公司,借用了某员工的电脑玩儿游戏。后来该员工发现一些程序和重要工作文件丢失了,原来阿姨的儿子要安装大游戏,但是提示存储空间不足,该小伙便悄悄把电脑中的程序和数据给删除了。

我说该员工真倒霉,不过不值得同情。昆明亭长朗然科技有限公司信息安全专员董志军表示:很多员工知道,在职场中,分配给自己工作用的电脑不是自己的私产,但是却不明白,自己作为使用者和保管者,承担着保护电脑的责任,即使交给他人使用,也还是得自己担负责任。

计算机使用责任

员工负责适当使用区域计算机和通信资源,并采取合理的预防措施来保护委托给他们的信息和设备。

员工有责任举报不当使用区域计算机和违反计算机安全的行为。

员工有责任遵守此处所述的政策和做法,以及其他政策和程序,以确保可接受地使用计算机和通信资源,并采取实际措施防止计算机信息和设备的丢失或损坏。

另一起事件是一名员工在与该公司高管面谈时,无意中记下了该高管的系统登录密码。后来,该员工悄悄使用高管的账号,登录到客户关系管理系统,下载了大量的客户名录。结果该员工不但被解聘,还吃了十几天牢饭,并把非法所得充了公。该高管也在后来的办公室政治中被拿这件事儿来压制,受了不少气。

要我说该员工缺乏规范意识,头脑简单,无知者无畏。从技术能力上讲,那么多IT系统管理员,特别是数据库管理员都可以轻松搞到大量客户名录,但是应该明白,IT系统管理员不是数据的所有者,只是数据的管家。就像以前的社会那样,管家管着财主很多钱,但要支配它们使用它们还都要财主说了算。当然,财主发给管理的工作报酬是管理可以自由支配和使用的。街头开锁的工匠也很明白这个道理,他们有能耐打开很多户家的门锁,但是人家没让他们开,他们可是不敢的。

我还要说该高管也是缺乏足够的安全意识,当着员工的面输入自己的密码,也不遮掩一下,这不就是把自己的安全弱点暴露给人家嘛!如果能稍稍注意一点,就能弃恶扬善,防范一起人间悲剧的发生。

越权访问

禁止未经授权访问计算机(硬件和软件)和通信资源(例如互联网、Web服务器、电子邮件)。禁止未经授权访问数据文件和自动化系统。拥有访问能力不代表拥有访问授权。

任何形式的篡改、窥探或黑客入侵计算机都违反安全政策,并带来严重后果,包括解雇和刑事指控。员工在离开现场时需要保护他们的计算机,并在每天结束时将其关闭。

在工作时间内,如果员工离开他/她的办公桌,则需要“锁定”计算机以防止未经授权的使用。使用Windows操作系统,同时按下Ctrl + Alt + Delete键并在屏幕上选择“锁定”选项即可完成此操作。也可以通过同时按下Windows键(在Alt键旁边的)和字母“L”来锁定计算机。

这两起安全事件案例就分享到这儿,职场经历多了,这种事情相信会见到很多。不管您碰到任何信息安全相关事件,都欢迎您拿来和我们分享,一起探讨如何通过信息安全意识教育来防范类似事件的再发。

昆明亭长朗然科技有限公司是最早将信息安全意识引入国内的探索者和领航者,我们帮助各类型组织机构建立适当的信息安全意识宣教计划,以及向受众群体提供必要的标准化和定制化的信息安全意识教育活动。我们的信息安全意识宣教内容资源,及网络安全宣传周活动方案被多家大型机构所采用,欢迎有相关需求的客户以及有兴趣合作的伙伴们与我们取得联系。

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898