黑客、媒体敲诈与内部泄密事件背后的信息安全思考

搞信息安全,需要找到恰当的平衡点,不能做安全做到太过,影响业务和信息运作的效率;也不能太弱,没有底线让业务信息时刻处于威胁之下。

实话说,不少信息安全事件也并非孤立的安全违规,违规背后多数都有其深层次的原因,如果违规者了解信息安全相关的规章制度以及可能造成的后果而孤注一掷贸然行事,我们则需深挖之,否则类似的信息安全事件仍会不断发生。

昆明亭长朗然科技有限公司James Dong说:防止内部“泄密”,无疑需要强化保密意识和信息安全观念教育,仅靠文档加密防泄漏系统是封不住人们的嘴巴的。黑客、商业竞争者和不良媒体人员多的是渠道。

拜托,黑客和不满雇员与竞争对手联合坑害公司的案子很常见,信息安全的一项重大威胁来自商业竞争对手,他们不仅窃取客户信息和产品研发资料,更会利用财务信息来制造新闻。所以,信息安全远不是信息科技部门的事儿,不经意随便露出的一角都可能被竞争对手恶意利用,强化全体员工的信息安全意识教育,是信息安全负责人及高管们的重要职责。信息安全意识培训计划的关键,是要通过一些信息安全案例来引起员工们的思考,而不仅仅是告诉他们赤裸的答案——应该怎么做。

公开的市场交易不顺畅,人们只能走私下的交易渠道,这反倒促进了社会迈向更深的“潜规则”,地下交易也衍生出虚假报道以及腐败等行为,进而让有效的监管变得更不容易,与之关联社会隐性问题会变得更多。做信息安全管理也能吸取经验教训,要让员工们的正常信息访问和使用需求得已轻松满足,不要过分使用安全技术控管手段来压制工作相关的网络和信息系统应用,要公开那些公司认为不安全的信息系统使用方式,并获得最终用户的理解和支持,建立适当的信息安全需求及问题沟通反馈渠道,站在用户的角度和安全政策的立场想安全与效率,不局限于某个具体的安全管理平台或技术规范,定会灵活快速地处理信息安全相关的问题,同时又满足了用户的业务要求。亭长朗然公司警告称:一味盲目的使用计算机安全技术控管手段压制,可能引起用户的怠工,让业务效率受损;也可能引发最终用户恶意躲避或越过安全控制措施,甚至变身“特洛伊木马”,从内部发起破坏行为。

这是全民自媒体的新媒体时代,人们宁愿通过社交媒体和志同道合的人们触碰。媒体大佬们,该清醒一下了,想想问题的根源何在,以及如何有效疏导。信息安全管理委员会,也需要从中获得灵感,需要让所有员工了解到,即使出于正常的业务创新或市场拓展之目的,也要在公司的信息安全管理制度框架下进行,可能会让增长速度变缓,但是却能带来长期稳健的发展。公司大起来,规章制度多少可能会压制一些个人英雄主义,血气方刚的年轻人想有一番作为,去创造不同,但不能恣意破坏和践踏现有的信息安全秩序,否则伤到的不仅是自己,更是公司众多同事、股东和客户。而要让这引进初出茅庐的职场新员工了解信息安全的关键要义,只能通过员工信息安全意识培训计划来推进,要让员工明白在社交媒体上,和工作相关的内容,哪些可以讲,哪些不可以讲。

要说哪些公司一点儿没有问题,也是掩人耳目,在这个人情社会中,有哪家公司没有点违规操作和内幕交易呢?话虽然这么讲,但是源头上的不干净并不能是借口。成千上万员工代表着公司,从概率上讲,少数员工中肯定有不良的甚至违法的行为,会给公司的形象信誉造成负面恶劣影响,加上不当竞争者恶意中伤,媒体扇风起火肆意放大,想逃离舆论毒箭有时是很难的。但是上市公司高管们需要证明自己尽职尽责,在公司治理、风险管理、信息安全控管和员工职业道德建设等方面有所作为,无疑需要做好表率,在方针政策层面签署高端文件以示支持,并积极赞助和支持相关的信息安全意识宣传推广活动。

我们要谈谈信息安全与法规遵循,有公司员工违纪便称是员工个人行为,这简单就是掩耳盗铃;称对员工监管不力,也是托词,以公司一份子——员工的身份犯了错,就是公司的责任。管理层要勇担职责,要代表公司向受害方致歉,并在公司内部对涉事员工进行处理。当然,信息安全管理委员会更需要让员工们知道的是:影响恶劣的,除了公司的严厉处罚之外,违反国家法律的,更是要交给司法机关处理。

公安机关办案,你敢挑战警方,很不当,等待的只有重罚。正确的方式是好好配合警方,与警方密切合作。要让员工们理解和接受自身的信息安全职责以及规章制度,甚至违反国家法律的后果,也只能通过适当的信息安全培训教育课程来实现。

在此,关于对信息安全与法规遵循方面的认识,昆明亭长朗然科技有限公司创作了多部在线信息安全意识教育课程,欢迎有兴趣的朋友联系我们进行预览和访问。如需定制化的教程,欢迎和我们联系洽谈业务合作。

云计算安全的出路在“共享职责”

cloud-security-responsibility

最近,关注云计算的人们可能会注意到一个新的名词:“共享职责”,它源自英文:Shared Responsibility。

为什么会出现这个新词呢?它到底是什么意思,又能给云计算产业带来什么变化呢?我们邀请到昆明亭长朗然科技有限公司云计算安全研究员Charles Liu来和我们谈一谈这个话题。

国内云计算的投入很大笔,可是落地情况并不容乐观,甚至有业界专家预测云计算产业要落光伏产业的后路,成为预期无限好、现实折人腰的又一个典范。对此亭长朗然公司Charles说:人们的担心不是多余的,云计算目前主要的障碍是落地问题,与其说是应用的缺乏,不如说是安全的顾虑。

让我们分析一下市场与供给,大型的客户如互联网公司宁可自建基于云计算基础架构的数据中心,也不会轻易使用他人的。中小型客户的数据量还不是足够大、计算能力的需求也还不够强烈,所以并不会急于向云计算迁移。而想从个人和家庭用户那儿赚取足够多的钱来支撑庞大的云计算投入和日常的运营开支尚不容易,终端能轻易搞定的,为什么要用云呢?

其实更严重的问题是云计算的投入多数是就是数据中心建设,冗余电力、中央制冷、多台服务器、多条线路、海量存储等基础硬件的建设,这和客户所期望的云计算价值明显有差距,差距主要体观在应用软件方面的不足,可这并不是致命伤。

影响云计算大规模应用的关键问题在安全,要让云计算发挥作用,传统的IT组织需要变革,安全问题是首要考虑的。数据游离出传统的安全边界,谁来负责?这就引起我们今天探讨的“共享职责”一词。

“共享职责”到底是什么意思呢?亭长朗然公司Charles打了个有趣的比方,如同使用“一国两制”的概念来解决香港澳门问题一样,“共享职责”是解决云计算安全的一种大胆创新尝试,但并不是折衷或退让。在“共享职责”条件下,云计算用户和服务商需共同担负必要的信息安全职责,因为唯有将双方的权利和职责放到台面,明确相关的产权归属以及服务中止等问题,云计算合约方能继续谈下去。

我们要拿一些企业应用来看,如技术层面讲,多数非关键的应用可以很快迁移到云端,但现实却恰恰相反,很多企业信息化越来越完善,能运行在“云”端的商业流程和在线应用却在回归企业内网。这种状况让看好云计算产业的人士大跌眼镜,非核心的数据尚且如此,核心业务流程如何能轻易使用公有云计算服务呢?

有专家提及规模效应,除了互联网门户和电商等有较大规模的用户,谁家云计算能跨过地域强制人家使用啊?官员搞云计算建设只是想出政绩或从中捞钱,可能对后期运营和赚钱并不感兴趣,即使发力也只在特定的区域或行业范围内部,规模市场不还是得看门户和电商的努力成果?

让我们预测一下,当云计算产业步光伏产业的后路之时,门户和电商可以出手,以极低价格获得大批计算能力,减个便宜然后低价销售,进而让云计算的价格优势显然出来。云计算过度投资的好处就如同当年互联网线路铺设一样,既然铺好了,有人巨亏,倒闭了,有人捡了便宜,最终对消费者是个利好。不过,即使能便宜到每年50万销售传统上每年500万数据中心的能力,也不见得客户会去买,问题在安全职责上面,我们需要“共享职责”创新理念,在IT服务框架之下建立双方的信息安全及隐私保护合约,方能有效打消用户对云计算安全方面的顾虑。

云计算产业的出路在安全问题的解决,而安全问题将落实到合约及职责层面,“共享职责”是一种创新的选择,相关的沟通和培训是起点。昆明亭长朗然科技有限公司提供信息安全意识培训方面的专业服务,可以帮助云计算服务商及客户有效解决安全方面的顾虑。此外,昆明亭长朗然科技有限公司创作了大量的信息安全意识课件模块,欢迎有兴趣的朋友们联系我们,洽谈安全意识培训方面的业务合作。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898