如何向无意愿的人们推销信息安全

不可否认的是,今天各类型的组织要取得持续的成功,保障组织赖以生存和发展的信息系统和信息数据的安全非常必要。

然而要实现这些安全保障的总体目标并不容易,随着云计算和移动应用的日渐普及,对信息系统的安全控管面临技术和商业双方面的挑战,全球供应链,网上交易,社交网络,移动办公等等让信息数据四处分散,这令传统的中央控管式安全架构力不从心。

当然,创新的安全控管技术也不断问世,让组织的安全管理层可以选择来部署,以便应对不断演化的安全威胁。然而,这些技术控管措施可能并不全面和完整,而且终究需要组织内外的相关人员来认识、理解和接受才能发挥效力,这就需要我们各类组织的信息安全管理层考虑人员的信息安全意识问题。

即使您的目标受众对信息安全一无所知,他们中的大多数可能也不愿意听您苦口婆心的布道,这并不是他们的错,人之初,性本善。

我们需要在沟通的内容、方法和方式上进行改变,没办法,员工的安全意识培训是企业内部沟通的重要组成部分,谁都不想看见“台上念着稿子,台下昏睡一片”的悲惨场景,是吧。

在内容的创作方面,有几点要注意:1.要紧紧围绕组织的安全方针政策,安全内容应该为组织的成功服务,在商业化组织讲保护国家机密简单就是在浪费人们的生命;2.接合组织的商业流程和安全控管标准和体系,比如如果使用了Lotus Notes作为公司的邮作系统,则不要在邮件安全培训的内容中出现Microsoft Outlook的安全使用技巧;3.内容设计让学员在工作内外都有所收益,尽管安全意识教育的目标是保护组织的成功,但组织的成功和员工个人的成功是一致的,信息安全的基础知识,基本理念和方法往往是通用的,了解和掌握这些可以帮助到学员保护好自己、家人、朋友甚至未来的事业。

光有内容并不够,有效的安全意识计划重在沟通,说信息安全意识靠“宣灌”并不太恰当,沟通是双向的,是需要互动的,否则就是说天书、放广播电视,再好的内容在那些对安全没有兴趣的人们眼中,也有强奸民意、恶意洗脑之嫌。

要让目标受众乐于同安全培训专家人员进行沟通,愿意了解您要说什么,得给他们一点甜头儿,没办法,对于多数人来讲,这个世界上比接受安全培训更好玩儿的、更重要的事情多着呢。这不需要太多投入,安全预算中的半个百分点拿来做安全意识培训活动参与奖,就会让员工们趋之若鹜。

如果您看着员工们来了,就大骂他们个个是菜鸟,不懂基本的安全常识,给组织造成了重大的损失,那他们也不会给面子,拿了奖品立马走人,或者还有可能留下来捣乱让培训活动搞不下去。所以,吸引他们来之后,要留住他们,要让他们在安全方面有所收获,您和组织也就有了安全培训方面的成绩。

要让安全意识培训丰富多彩,不枯燥,不乏味,您需要多种多样的沟通方式,标语、手册、彩页、海报、电脑壁纸、屏保、日历、手机座、圆球笔、小茶杯、鼠标垫等小礼品必须要有,但这些传统的招数已经不再新颖,也不足够,我们需要来点互动式的社交活动、ACG、情景剧、闯关争霸赛、挑战类安全小游戏等等。

我们曾经创作了一部信息安全战争游戏,用于帮助员工认识组织所面临的各类信息安全威胁,它们包括但并不限于:火灾等自然灾害、黑客攻击、网络钓鱼、网络诈骗、信息窃贼、商业间谍、内鬼、叛徒……

当然,您不用担心员工会沉迷于游戏,而不再为组织创造价值,因为信息安全教育游戏不是靠卖游戏装备来赢利。

相信,担当组织信息安全管理重任的您,在信息安全意识教育内容的设计制作和培训沟通的方法方式上做了改变之后,会改变那些信息安全的落后分子,吸引他们的眼球,并让他们理解和接受组织的安全策略和基本的安全理念,进而帮助您和组织取得漂亮的成绩!

探讨从管理层面应对零天攻击的有效对策

科技创新速度之快,让信息安全负责人员可以从容实施各类安全保障措施,来应对各类泛滥的安全威胁。

然而,零天(zero-day)攻击似乎让安全负责人防不胜防,传统上的漏洞(或称弱点)生命周期规律正在被打破,黑客不再向以往那样炫耀发现了某些系统的漏洞,然后有跟进者积极寻找漏洞的利用方式,并尽可能写出可以简化利用漏洞造成破坏的代码,与此同时,受影响系统的厂家积极修复漏洞,并发布补丁和公告,以便用户尽快修复。

黑客们发现要想取得重大成功,最重要的是速度和数量,要抢在厂家的修复建议出来之前尽可能感染和控制最多的终端计算系统,所以,他们极力制造能自动入侵和感染其它计算系统的蠕虫型病毒,并搭建僵尸网络命令与控制中心,以便能有效利用这些资源牟利。

然而,这种攻击方式显得有些漫无目的,曝光的安全漏洞经常会被大型厂商及时修补,让黑客们的僵尸电脑损失不少,于是他们将目光转向了对特定目标的攻击,当然也学聪明了——不轻易向公众和厂商透露漏洞信息,只在一个小圈子里进行未公开漏洞的买卖。

这种新型的锁定目标的零日攻击的危害性更大,黑客利用系统厂商都不知晓的严重安全问题,最终用户如何防范呢?这不禁令人不寒而粟。

更让人担心的是0day遇上APT,即高级持续性威胁,APT是长期的、有计划、有组织的黑客潜伏行动,目标是窃取机密信息。趋势科技中国区资深产品经理林义轩表示:“以往这类攻击手法都针对政府和某些政治狂热分子为主,后来这种攻击被黑客广泛使用在一些大型企业的核心资料窃取上。”

假如黑客已经渗透进公司的安全控制中心,即便部署再多的安全控制措施如防病毒、入侵检测及防火墙等等,在海量的数据中,恐怕也难检测出一点潜伏者的蛛丝马迹,即使某位系统安全管理员在例行检查日志或报表时发现异常情况,这时再追查善于伪装的攻击者恐怕也是亡羊补牢,为时晚矣。

那有什么招儿呢?总不能无所作为,坐以待毙吧?应对之策无非构建多重防御体系,加强安全意识教育。

如果对关键的核心机密数据只实施一层防御措施的话,简单的0day零日攻击即可宣告机密数据外泄。如果有多层防御体系,攻击者要到达突破多层安全控管措施,到达核心层,所需的时间和精力会成倍上升,同时,多层防御也容易使这种潜伏式APT攻击行为暴露马脚,安全团队也有足够的时间还进行响应,比如进行防御体系的及时修复和加固。

而加强对员工们进行信息安全意识教育,则是防范0day和APT攻击的最后一道防线,再坚实的城堡也需要人员来守卫,如果人员打开城门,不加抵抗直接投了降,那多层的复杂防御体系反倒会方便攻击者进行占领之后的守卫或深入渗透。而在信息安全防范体系中,普通员工甚至管理层都类似城堡的守卫人员,经常会成为攻击者利用的对象,比如通过社交攻击攻击、网络诈骗或钓鱼邮件攻击等方式获得信息系统的控制权或高管对机密信息的访问权。相反,警觉的经过充分信息安全培训的员工会意识到这些攻击事件,并及时在全员范围内发现警告,这便让攻击者和攻击行为无处遁形。

切记,狡猾的攻击者会不断变换手法,并且找寻和利用新的未知安全漏洞,所以,安全防范体系仍需不断加强,而针对全体员工的安全意识教育,更需紧跟时代变迁的步伐,针对各类新老威胁,不断改进,重复刷新。

最后,需要安慰读者的是,狡猾的掌握着0day漏洞的资深黑客并不多见,魔高一尺道高一丈,只要我们坚持信息安全分组保护、多层防御的原则,认真在全员范围内进行信息安全认识和技能的普及教育,绝大多数低级的黑客攻击行为将被制止,而APT攻击也会得到相应的有效遏制,正义终将战胜邪恶。

在对全体员工进行安全意识培训或安全理念的普及教育方面,昆明亭长朗然科技有限公司有丰富的实践经验,特别能针对客户的特殊信息科技环境,定制设计和开发出最合适的安全意识培训方案和课程内容,像针对APT攻击的防范手段一样,这些培训方案和内容资源也是多样性、综合性和全面性的,安全培训的方案实施也是长期的、有计划和有组织的。

security-attack-0day