信息安全意识宣教闲谈

基于计算机的犯罪对我们来说并不新鲜。病毒已经和我们在一起超过20年了; 间谍软件也已经超过十年的历史; 大规模使用网络钓鱼可以追溯到至少2003年。究其原因,世界信息安全研究人员一致认为,信息系统的发展速度在不断发展和扩大,但不幸的是员工的安全意识计划落后于这个发展速度,故而计算机犯罪有了生存的空间。说到底,在线服务的迅速普及与安全文化的相应接受并不匹配。

因此,近年来,信息安全意识成为信息安全管理的几项关键工作之一。信息安全意识旨在加强人类对信息和信息安全风险行为的理解、信念和看法,同时理解和加强组织安全文化,作为快速演变的威胁的应对之策。例如,经合组织、欧盟、日本、美国都出台了信息系统和网络安全意识相关指南,它们往往包括一些普遍接受的原则:意识、责任、响应、道德、风险评估、安全设计和实施、安全管理和重新评估等等。

说到国家层面的宣教手段,美国发起了国家网络安全意识月——戏称网络安全“十月革命”,其传统盟国英澳加新等自然纷纷效仿,不甘落后。欧盟网络与信息安全局是欧洲网络安全专业中心,通过在社会中发展和促进网络与信息安全文化来协助内部市场的正常运作,为欧盟内部的高水平网络和信息安全做出贡献。它们也将十月定为网络安全月。日本将触角伸向亚太地区,在东南亚找来一众拥趸,领头搞起亚洲方面的网络安全宣传活动。不过亚洲各国远不如欧洲国家团结,没有中印大国及韩国的支持,场面冷清,日本这个“头儿”外语不大好,网络安全宣传力量和辐射度有限,明然不够称职。印度受英国文化影响较深,信息服务经济又很依赖美国,所以该国的信息安全意识宣教活动起步较早,也很西化,不过信息化的贫富差距较大,总体情况不如发达国家乐观。

中国是网络大国,国家网络安全宣传周,以“共建网络安全,共享网络文明”为主题。将围绕金融、电信、电子政务、电子商务等重点领域和行业网络安全问题,针对社会公众关注的热点问题,举办网络安全体验展等系列主题宣传活动,营造网络安全人人有责、人人参与的良好氛围。

回到组织机构层面,安全意识计划是组织可以采用的、以减少内部员工造成安全威胁的最佳解决方案。在安全责任方面,安全意识计划帮助员工了解信息安全不是其他某人的责任,相反却是所有人的责任和自己的责任。该计划还会明确强调,员工应对其网络身份所执行的所有活动负责。

即使组织尚未建立安全意识计划的标准方法,也应该了解到:良好的计划应包括对数据、网络、用户行为、社交媒体、移动设备和WiFi的使用、网络钓鱼电子邮件、社会工程和不同类型的病毒及恶意软件的认识。有效的员工安全意识计划应明确表明组织中的每个人都对IT安全负责。审计师应密切关注该计划涉及的六个领域:数据、网络、用户行为、社交媒体、移动设备和社会工程。许多组织有非常复杂的隐私保护政策,以至于很多员工总是无法理解这些法规。隐私政策是员工登录工作计算机时应该提醒的。隐私政策应更清晰、简短和标准化,以便更好地理解和实践。

组织可以为所有员工创建交互式活动,以便每周参加会议,讨论安全和威胁。交互式活动谈论的内容可能包括对新威胁、最佳实践、问题及答案的认识。

在执行力确保方面,如果组织不惩罚违规者,安全意识计划可能取不到好的效果。如果员工因违反计划,应向高级管理人员报告,以便采取进一步的惩戒行动,否则该计划将无效。信息安全部门可以比对行业模范进行差距分析,以找出该计划中的缺陷。

昆明亭长朗然科技有限公司是最早将信息安全意识引入国内的探索者和领航者,我们帮助各类型组织机构建立适当的信息安全意识宣教计划,以及向受众群体提供必要的标准化和定制化的信息安全意识教育活动。我们的信息安全意识宣教内容资源,及网络安全宣传周活动方案被多家大型机构所采用,欢迎有相关需求的客户以及有兴趣合作的伙伴们与我们取得联系。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

再谈信息安全意识推广计划

在很多IT安全专业人士眼中,针对普通用户的信息安全意识教育培训是很“小儿科”的。然而,即使是安全技术专家,也不得不承认一个事实,那就是越来越多的针对企业级信息系统的攻击开始借助普通用户薄弱的安全防范意识,臭名昭著的高级可持续性威胁APT便是如此。

普通用户、VIP人员越来越多地成为网络犯罪分子入侵关键信息系统的跳板,甚至IT人和安全人,也都会面临各种各样的社交工程学攻击手法,这便让诸多信息安全管理人员将目光转向针对全员的信息安全意识教育领域。

如何开始呢?如何科学地制定和实施一套信息安全意识推广计划呢?昆明亭长朗然科技有限公司信息安全意识顾问董志军说:这是一个相对古老的管理话题,在此之前我们有多次谈到过,随着时间的推移,内容多少有些变化和更新。我们假定一家大型集团公司开始启动正式的信息安全意识推广计划,如下是整个计划的概貌。

一、计划概要

借助发布或更新安全政策与标准之时,首次配以一次大型的信息安全意识宣传推广活动。每月或每季度分批次分重点,进行不同安全主题的沟通宣传。针对全员的安全意识每年进行一次全面的刷新,并将其纳入新员工入职培训活动计划中。

二、初次推广

不管是首次发布、还是重大变更了集团层面的信息安全方针政策和标准指南,都需要进行大型的安全意识推广活动,如果是初次活动,我们建议使用较为全面的、涵盖了大部分信息意识主题知识点的教程资源,当然最好能使用一些定制化的内容,比如邀请高管讲话,或录制高管的讲话视频等等,以显示高管层对信息安全的重视和承诺;有了这些,员工们才会更加认真对待信息安全。

三、分批推广

每月或每季度分批次分重点进行不同安全意识主题的沟通宣传,可以更深入地宣传相关主题的内容,让员工们更加理解安全政策和标准的精神,在强化相关制度流程的执行力的同时也可以起到不断提醒员工们注意保护信息安全的作用,经常提醒,才更容易让信息安全成为习惯和文化。要深入不同的安全主题,特别是结合具体的商业环境、信息安全目标、战略、标准、流程等等,通常需要量身定制宣传推广内容。

四、年度刷新

每年审议和更新一次信息安全方针政策和标准指南,与此同时,全面刷新一次员工们的信息安全意识认知,教程资源可以在此前的基础上进行定制化的改进,以尽量减少重复不变的内容,免得枯燥乏味。当然,对于重点的需要重复强调的部分,仍然要保持重复使用。

五、入职学习

对于新员工,在入职培训期间,也要求进行一次全面的信息安全意识学习和考核,以保证全体工作人员都拥有基本的必需的信息安全意识。学习内容可以是最近一次针对全员的安全意识推广活动教程资源。

六、定制建议

信息安全管理处于初级阶段

对于计划初始做信息安全意识推广,但针对全员的常规性的信息安全意识培训制度尚未建立起来的客户,我们通常建议客户在最开始时,先选择一批通用的宣教资源或课程,少量定制。这样可以快速实施安全意识推广活动,并且节省大量的宣教成本。对于IT安全团队来讲,可以参考教程资源中的内容精华,改进安全管理工作和积累活动经验,同时降低项目计划风险和试错成本,还能留给下一年信息安全意识活动更多的改进或提升空间。

信息安全管理处于成熟阶段

对于信息安全文件体系比较完善,制度化管理水平较高,针对员工的信息安全培训已经成为常规工作的客户,我们则推荐定制化内容开发。因为很多安全相关的标准和流程都已经在实际工作中实践了,培训相关的原始素材也都有了不少,定制开发有了相对明确的输入内容。这时用新的方式来增强内部沟通,可以强化员工们对信息安全相关要求的理解、以及对相关安全理念的全新认知。对于信息安全团队来讲,定制课程的项目计划可控性强,成功率高,风险低。

总结来讲,如果我们在前期没有进行过大规模成体系的信息安全意识宣传活动,那么无疑员工们的信息安全意识水平是较低的,不管是通过风险评估、员工面谈、考核测试还是模拟渗透,几乎都可以得出这个结论。只是要进行全员信息安全意识的提升,科学的工作方法如何?如何衡量信息安全意识工作成效?如何让信息安全意识培训更贴近企业的实际商业环境和信息安全管理流程和规章制度?我们在一篇短文中可能介绍不了这么多,不过,如果您有兴趣了解更多,您可以直接联系我们,咨询更多详情。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898