安全意识计划改变用户安全观念

世界各地的人们正在通过网络进行互动,这是网络空间中时刻发生的事情。与此同时,我们需要记住,网络攻击一直在发生,而且这些攻击的肇事者通常针对同一个人和团体。例如,黑客可以从组织机构的计算设备窃取数据,他们可以使用该信息向用户的系统发送恶意代码。对此,昆明亭长朗然科技有限公司网络安全研究专员董志军表示:不要心存侥幸,任何组织、任何人员都可能会成为黑客的攻击目标。虽然目标坚定的黑客攻击(网络犯罪)很难阻止,但是我们总是有正确的方法来防范和应对,进而减少可能的损失,其中包括采用可靠的安全软件和遵从良好的作业程序。

请记住,黑客经常使用扫描探测及入侵渗透工具来破坏计算设备或窃取其他敏感数据,但是在安全管控措施到位的情况下,他们的很多方法都是无效且徒劳的。不要话说回来,人员因素导致的安全问题成为近年来业界担忧的根源。越来越多的证据表明,组织网络安全面临的最大威胁来自内部。举例来讲,员工经常通过共享密码、使用公共无线网络发送敏感信息或不保护社交媒体帐户的隐私而使组织面临黑客攻击的风险。人类是复杂的,员工们并不像系统那么听从计算指令,因此人性的弱点难以像安装更新那样轻松修复。

虽然可以在遭遇安全事件之后进行救治,但是外谚云“安全总比后悔好”。除了作为对整体业务成功的长期投资之外,旨在修复人为错误根源的意识和培训是任何明智的信息安全方法不可或缺的重要组成部分。安全意识培训是一项旨在帮助员工更好地了解周围环境并针对组织的安全需求做出更好决策的计划。在信息安全方面,它是一项启发人们思考自己正在做什么以、想要做什么以及应该怎么做的思维工具。安全意识让人们更加了解周围环境的安全需求,对如何保护自己和组织有基本的了解。

安全意识,尤其是培训,并不是(总是)免费的,那么我们如何证明费用合理呢? 让我们来看看五个潜在的商业利益。

降低信息安全阻力。如果有足够的意识和培训,员工可以更好、更有效、更高效地使用安全控制措施。对于初学者来说,让其理解和接受如防火墙、防病毒、密码规则等的存在是有充分理由的;唯有理解和接受了,他们才不太可能忽略、绕过或禁用它们。例如,了解我们为什么需要长密码,以及如何选择强而好记的密码或口令短语,可以更轻松地确保安全。员工拒绝透露或分享他们的密码是通过意识和培训获得的另一项安全控制目标。

改进的信息安全、隐私和合规性。意识和培训的最直接好处来自对组织信息安全工作的改进。例如,如果员工不知道、不关心并且懒得遵守,那么办公桌清洁政策几乎毫无价值。这就需要提升安全意识!该政策的存在本身就是管理层意识到这一需求的标志,而其清晰度、重点和激励有效性取决于该政策是否被充分了解。作为整个组织范围内信息风险管理方法的一个组成部分,安全意识和培训可以实现所有其他安全控制,并支持实现广泛的业务目标——包括遵守隐私、会计、治理和其他法律和规定。

避免或降低信息安全事件、漏洞等造成的成本。与一般组织相比,具有安全意识的员工在训练有素的安全专业人员的支持和指导下,不太可能遭受信息安全事件、隐私泄露、计划外停机等。知道要注意什么的员工不太可能落入明显的骗局或忽视可疑的早期迹象。他们相当于熟练的司机,在适当的时候格外小心,在路况好的时候能够取得大胆的前进。而且,由于员工的发现和适当的反应,真实发生的安全事故都可能更短被报告、损失也更有限。在识别和报告事件之前,事件响应无法开始,这两者都取决于员工知道在没有延迟的情况下该做什么。

提高声誉和更高的可信度。如果大多数员工都具有安全意识,那么局外人和访客就会认为该组织显然非常重视安全和隐私。从有人到达场所或访问公司网站的那一刻起,就会有一些安全线索,一些是显而易见的,例如警告标志和安全证书,而另一些则更微妙,例如有效地遵循安全工作流程。人与组织互动方式的差异会影响他们愿意相互依赖的程度。信任是商业的主要因素,也是组织声誉和品牌的重要组成部分。在商业世界中,良好的企业形象很重要!

对异常情况的感知意识 。“态势感知”几乎是第六感,很难准确解释为什么有些邮件或电话“不太合适”,尤其是在每种情况都不同的情况之下;因此,不可能针对要注意的内容定义精确的规则。许多网络钓鱼邮件都以非特定的问候语开头,例如“尊敬的客户”,但有些则没有:鱼叉式网络钓鱼攻击通常使用收件人的姓名,通常还带有其他信息,旨在让发件人看起来像是同事、熟人或朋友。更重要的是,除非员工做出适当的反应,例如不打开附件或单击链接,并且可能寻求帮助以查看消息,否则即使暗示错误也无济于事。

上述列举了主要的安全意识的目的和价值,当然,组织不一定必须为安全意识材料和培训活动付费,但是员工会天真、无知且没有动力。为了方便起见,安全控制将被忽视、遗忘,有时甚至被禁用或绕过。那么组织将显得不可信,其声誉和底线都因本应预防或减轻的事件和违规行为而受到损害。

那么有什么安全意识培训的训练方法?通常,培训是通过培训计划来规划的,例如,可以规划安全意识课程内容,定期进行内部培训,可以由内部专员或聘请外部顾问、讲师或类似机构提供。考虑到标准的现成培训可能并不适合所有人员,因此根据不同类型的受众微调内容也可能有意义。当然也可以尝试现场培训,搭建一些互动式的体验展台,让员工积极参与网络安全意识计划。

如同企业文化建设一样,对于组织内部的安全专员来讲,安全意识培训其实无处不再,还可以使用多种方法,例如:

  • 让员工参与文档开发——在发布政策和程序文档之前,请员工们提供意见。
  • 较短的演示会议——在会上解释正在发布的新政策和程序,征求员工们的意见,澄清所有误解。
  • 内部网刊或时事通讯——简单的故事(尽可能多的例子)可以帮助员工理解为什么信息安全很重要。
  • 通过内部论坛进行讨论——发起和参与由信息安全事件引起的具体问题讨论。
  • 电子学习——创建在线培训课程来解释这些安全主题的重要性,并培训员工。
  • 动画视频——一种非常强大的演示方法,可以通过电子邮件、内联网等方式分发它们。
  • 聚会时间——使用一些定期会议(例如聚会、周年纪念等),简要介绍信息安全最佳实践。
  • 日常的面对面交流——无论走到哪里,无论遇到谁,都可以推销信息安全理念。
  • 发挥内容创意——奖励员工创作包括图片和视频等意识内容,可激发兴趣、启发内力和激励行动。

切记安全意识计划不是搞几次就能完结或一阵风刮过就算了的运动,它需要不断地重复和改进,当然也需要不断创新的内容和玩法。在这方面,昆明亭长朗然科技有限公司积极顺应时代变化,专注于帮助各类型组织机构解决“人员”方面的安全风险,我们创作了大量的教程资源内容,包括安全、保密、合规等主题在内的电子图片、动画视频、互动游戏和电子课件,同时,我们拥有基于云计算的弹性学习管理系统,可以帮助各类型机构快速发起针对全员的安全意识在线学习计划,进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们,预览课程内容和洽谈采购事宜。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

信息安全意识教育方案的五个重要议题

网络安全事件调查员及IT安全审核员们的研究一次又一次地表明:网络系统中最薄弱的链条几乎始终是人为错误,有人无知、有人大意、也有人明知故犯。对此,昆明亭长朗然科技有限公司网络安全顾问董志军表示:保护企业数据资产的“最重要”因素是什么呢?可以肯定的是,行业杂志和“技术渠道”经常在宣传最新的IT安全解决方案。但是,尽管这些解决方案可以大大有助于加强系统网络,但许多解决方案仍需要专门的IT人员,甚至可能是顶级IT大咖来进行配置和维护。这就造成很多针对大型机构的IT安全解决方案只在项目招投标中得到了展示,真正的使用情况非常不乐观,安全控管系统被闲置或弃用的比例非常之高。

中小型企业的情况更加严重,他们面临着与大型跨国集团公司同样的网络安全威胁,却又缺乏资源来雇用强大IT队伍,实际的情况是,中小型企业几乎付不起IT安全专员的薪资。对于这些客户而言,防御网络攻击要求最佳地利用资源,并且很少有技术或其他方式的解决方案比受过良好安全训练的员工更具成本效益。在高速信息驱动的环境中尤其如此,在现代化的企业工作环境中,电子邮件和上网流量占了IT基础架构的大部分需求。

于是,大多数黑客都在努力利用电子邮件和不良网站渠道,来诱使用户单击恶意链接或开启恶意文件,进而暗中安装病毒、蠕虫、特洛伊木马、键盘记录程序、勒索软件和其他恶意软件。试想:当通过一封简单的电子邮件就可以轻松完成入侵,得到自己想要的东西时,何必要花费数小时、数天甚至数周的时间来尝试破坏公司的外围安全防御系统呢?

因此,各类型组织机构必须进行针对全员的信息安全意识培训,并定期向全体职员更新和推送有关新出现的威胁和手法,以帮助员工们做好准备,使其成为抵御信息威胁的第一道安全防线。那么,我们应该从哪些方面着手,开始信息安全意识培训计划呢?如下,我们向您分享几条重要的议题,它们是安全意识培训教育业界总结出来的常规实践。

一、人身安全与环境控制

安全意识不仅涉及公司计算机或移动计算机设备中的内容。员工应意识到源于工作场所物理方面的潜在安全问题。这包括工作空间意识以及物理场所安全。

工作空间问题的示例包括:

  • 访客或新员工偷看员工输入密码(亦称为“肩窥”)
  • 允许声称自己是设备设施检查人员、清洁工或其他不寻常人员的访客进入(亦称为“假冒身份”)
  • 将密码留在桌子上的纸片上
  • 离开工作电脑时,并且不使有密码保护登录

物理场所安全可以涵盖建筑物的物理出入方面,包括启用钥匙卡的门锁、消防灭火器和适当加固玻璃的锁定和安全监控系统等等。

但是,即使这些看似不可阻挡的防御措施,要让其生效,也必须添加安全意识组件。例如,要让员工在进入园区或大楼时,看到陌生人在门前闲逛必须警惕。当员工使用他们的钥匙卡并打开门,他们的身后有人在门关上之前随之进入,就会发生一种被称为“尾随”的技术。还有一种相关和类似的违规行为,入侵者在员工的帮助下进入,例如声称自己丢失了钥匙卡,或装作携带重物的挪不出手的访客,请求员工或保安为他们“开门”。

物理安全性的维护和保养不仅对维护人员很重要,而且对普通员工也很重要。例如,如果您注意到即使没有适当的授权,启用了钥匙卡的门也可能会被卡住而处于打开的状态,或者安全摄像机似乎已损坏或关闭,请务必将此信息报告给适当的部门和人员。

二、可移动媒体介质安全

对于员工来说,在停车场中、大楼外捡到可移动的U盘驱动器或外置硬盘驱动器,将其带入内部并插入计算机以查看其属于谁的或里面有什么文件,这种情况比人们想象要普遍得多,不幸的是往往该设备中已被植入了恶意软件,用以销毁或接管他们的计算机,或加密文件以进行勒索。私有设备和公司设备的安全使用至关重要,未经授权的可移动媒体可能会引起数据安全问题、恶意软件感染、硬件故障和版权侵害。

所有工作人员必须接受足够的安全意识教育,有知晓有关不请自来的可移动媒体介质可能带来的威胁,并且禁止访问任何杂散介质(例如外部硬盘驱动器),即使这些介质位于安全系统上也是如此。

三、自带计算设备政策

自带计算设备涵盖了员工可能在工作环境中使用的个人计算机资产。它们可能包括可用于窃取敏感数据的移动设备、音频播放器、数码相机和各种其他便携式电子设备。

自带计算设备也是“IT消费化”的一部分,通过这种方式,个人消费者级别的硬件和软件被带入组织机构的内部。确保自带计算设备的安全性是一项艰巨的任务。但是,企业机构可以通过实施主动的安全培训计划来实现这一目标。该安全培训计划应为员工们提供以下最佳实践:

从安全角度来看,每个移动设备都不是100%安全的。尽管移动设备的安全性是如苹果和谷歌等厂商非常关注的问题,但是仍有大量工作是需要做的。不加安全锁定的设备比锁定的设备更容易受到攻击。组织机构应建立可接受和禁止使用的设备列表。安全人员必须核实每个自带计算设备都在可接受的列表内,不在列表内的所有其他的设备应该被禁止使用。

除了设备本身之外,还应指定设备上允许的应用程序。许多免费的移动应用程序都是不安全的。自从应用商店成立以来,恶意软件活动一直以用户为目标。因此,组织机构应为员工们提供有关受感染和未感染应用程序的安全培训,并鼓励他们仅使用允许列表中的那些应用程序。

所有员工都应意识到自己的自带计算设备受到不断安全监控的事实,并且任何恶意活动都可能警告安全管理。此外,自带计算设备策略应包括密码保护,以在盗窃或损坏时保护关键数据。当然,也应使用最新的防病毒程序保护每台自带计算设备,并且保护这些设备系统和应用程序的更新。

四、电子邮件和及时消息诈骗

电子邮件和及时消息诈骗涉及欺诈性和不请自来的电子邮件或即时通讯消息,它们会诱使用户获得免费优惠、虚假的商业机会、有担保的贷款或信贷、健康和饮食计划等等。据公安部门权威说法,诈骗者经常借助热点事件,利用网络钓鱼邮件欺骗了许多职场人员。

各类型组织机构的安全培训计划必须包含一些提示,以帮助员工们了解电子邮件和及时消息骗局,并教育他们如何避免这些骗局。以下是常规情况下员工们应了解的:

  • 不要信任不请自来的电子邮件或QQ、微信、短信等消息
  • 不要轻信通过电子邮件请求修改支付账号或付款的请求,尤其是在与领导确认之前
  • 启用垃圾邮件、不良短信等过滤
  • 正确配置您的电子邮件客户端
  • 安装防病毒和防火墙程序并保持最新
  • 不要单击电子邮件、短信或社交媒体消息中的陌生链接
  • 当心邮件附件和网传文件。如果您是从一个看起来像朋友的朋友那里得到的,请使用其他不同的渠道,与他们联系以确保他们确实发送了

五、电信诈骗

电信诈骗被定义为故意欺骗用户的虚假或欺诈行为。攻击者通常通过虚假来电显示号码,并编织各种各样的骗局来伤害员工。这些骗局包括:网络贷款、代办信用卡、网络交友赌博和投资、兼职刷单、购物退款等等。公安机关反诈骗经常提醒人们冷静核实,谨防受骗。

一个有用的培训计划应教会员工们有关电信诈骗的知识。员工们不应轻易信任骗局,而应学习如何应对。在工作中,仅应信任经过安全部门验证并与公司业务相关的电子邮件、电话及消息。如果有任何可疑的电子邮件、电话或消息,请立即通知IT安全部门。

总结与补充

当然,强大的IT安全课程只是任何综合信息安全计划中的一个组成部分。所有组织都必须部署一系列外围防御措施,包括防火墙、防病毒软件、计算机系统上的最新等等。

总之,员工在保障业务成功中扮演着至关重要的信息安全作用。未经培训和疏忽大意的员工可能使企业面临多重数据泄露的危险。因此,组织必须采用可行的信息安全意识培训计划,其中应包含阻止网络安全事件发生所需的基本准则。上述的几项常规安全意识培训议题都是昆明亭长朗然科技有限公司的大量客户在信息安全管理实践中探索出来的,希望这些宝贵经验能够帮上您和您所在的工作单位。

昆明亭长朗然科技有限公司专注于帮助各类型组织机构提升员工们的信息安全意识,我们帮助客户策划和制定安全意识培训计划,并提供各种安全意识课程内容资源,以及安全宣教教育活动的支持。欢迎有兴趣和有需要的客户,以及合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898