信息安全意识计划的关键成功因素

现在几乎所有的信息安全管理负责人都认识到只依赖技术方面的安全控管是不足够的,与此同时,在流程和人员方面的安全控管越来越受到信息安全总监和经理们的青睐,尤其是针对全体员工的安全意识培训计划逐渐成为信息安全管理工作的重点。

由于信息安全意识教育是比较“软性”的安全控管措施,也没有相关的国际国内标准可以遵循,所以通常被认为比较难以衡量安全意识培训计划的成效。实际上多数组织在进行一两次大规模的安全意识培训活动之后,发现整体安全状况的改进并不十分理想。

为什么有些安全意识培训活动并达到所期望的效果呢?昆明亭长朗然科技有限公司的安全意识培训顾问Bob Xue说:当我们与多数安全意识培训计划负责人进行接触时,都会获得信息安全意识教育至关重要的积极反馈,然而谈论到安全意识培训活动成功的经验和失败的教训时,会强烈感知到客户的迷茫和无力。

在分析了林林总总的原因之后,亭长朗然公司的Bob总结了几条成功实施信息安全意识培训计划的关键要素,并且分享如下:

1.获得最高层的支持,信息安全管理中有Top Down Approach“至上而下”方法论,信息科技、安保中心、人力资源、员工培训等部门的负责人会认识到信息安全意识教育的重要性,但是并不能代表C-level的高管们也有同样的认识。获得高管们支持的办法并非需要太多的说服工作,但是要注意让信息安全意识计划的学员们知道高层对信息安全的重视,可以邀请一些高管,让他们现身对全体员工谈一谈信息安全,将高层要传达的安全讯息录制成安全意识教育视频。这种安全意识教育视频录制活动的好处是让高管们获得了重视信息安全、工作尽职尽责的美誉,中间经理层和员工们也更能接受最高管理层传递的信息安全理念。有了最高层的支持,就如同拿到了在组织范围内进行信息安全意识教育的“尚方宝剑”,不需要花费太多动员工作在中层经理主管和基层员工们身上。

2.安全意识教育计划和安全意识培训内容要结合实际的工作环境,每家组织都是独特的,不仅表现在组织架构和安全文化方面,就信息安全管理方面而言,每家组织需要保护的关键信息资产也各不相同,所使用的信息系统、工作流程和安全策略也各有差异。在制定安全意识教育方案时,一定要考虑到业务环境和信息环境,通用的安全意识教程可供参考,但是不能有太大的期望,毕竟不够定制化的服务更加贴身,更符合实际。

3.明确信息安全责任,讲一大堆信息安全对组织重要性的大道理往往会令基层员工有“听天书”的感觉。信息安全关乎所有人的职责,关键要通过信息安全意识培训计划,让全体员工了解到自身所要担负的安全角色和职责,不同部门和工种的员工的安全角色可能会有稍许差别,管理层的安全责任更加重大。安全意识教程要注意覆盖到所有部门和工种的员工,再结合起员工们的日常安全作业流程,简单而直接地告知哪些行为可以接受,哪些行为不可接受,方可让安全方针政策得到员工们的理解、消化和落实。

4.鼓励员工们积极向上的安全行为,让全体员工了解和履行安全职责可以保护自身范围内和部门级别的信息安全,同时组织范围内的安全环境也还需要全体员工参加共建。倡导正确的安全理念和积极向上的安全文化,并不是玩虚的,信息安全管理负责人需要拿出部门资源来引导员工积极参与信息安全策略和作业流程的建立和优化,更需要奖励为组织的整体安全文化建设做出杰出贡献的个人或部门,比如对发现业务流程或信息系统安全漏洞的员工给予物质奖励;对积极正确响应安全事故、帮助组织降低业务安全风险的员工进行精神表彰等等。积极向上的安全文化不仅是安全意识计划的追求目标之一,反过来也会促进安全意识计划的成功实施。

5.向员工们提供足够的安全支持资源,安全意识教育不应该只是搞个课堂培训、张贴一些标语海报、发放些信息安全意识传单。大部分的员工还是想在遇到信息安全问题的时候能够有正确的表现,只是有时确实不知道碰到问题时该如何处理。这就需要信息安全管理负责人能够提供尽可能多的资源给到员工们,设置组织内部“信息安全网站”是个不错的方法,可以将组织相关的信息安全策略、标准文档、安全流程指南,常见问题等等放置到信息安全内部网站上,供员工们在有疑问时自助查询。当然,还应该放置一些安全教程资源内容以及信息安全部门或团队的联系方式,以便有兴趣、需求或疑问的员工能随时学习或咨询。

6.采用有趣的互动性的安全意识教程,命令与控制型的单向灌输的教育方式已经不适合多数现代组织,一成不变的安全意识沟通方式也难吸引员工们的眼球。员工安全意识培训负责人需要不时换些花招,不时来一些安全意识电子期刊、一段安全培训卡通视频、一小段安全漫画、一个安全疑问及解答等等可能并不足够,因为缺乏互动。一个在线安全意识互动活动、一部在线安全意识培训课程、数十道安全意识测试题、三五个安全场景挑战等方式会让员工在参与过程中进行思考。只有他们进行了信息安全相关的“思考”之后,才会Know Why“了解为什么”在信息安全方面需要这样做,而不仅仅是Know How,该如何做。也只有员工们深刻理解了“为什么”之后,他们才能在各自独特的工作环境之内应用正确的安全理念。

简言之,那些只使用些酷眩的海报、月历和鼠标垫那些小玩艺儿便可进行信息安全意识教育的期望必定变成失望。想要成功进行信息安全意识培训计划,除了坚持不断执行上述几点关键要素之外,还是不断坚持和循环执行,这正呼应了信息安全管理体系ISMS的导入方法,即将PDCA持续改进的理念和方法应用于信息安全意识教育计划之中。

昆明亭长朗然科技公司不仅提供安全意识培训计划方面的咨询顾问服务,更能提供安全意识培训教程的量身定制设计、开发和制作。我们的专业信息安全意识推广经验和互动式的安全意识教程模板,可以为客户的信息安全意识计划带来大量的成功因子,欢迎与我们联系,即使是随便聊一聊信息安全管理相关的话题也会让双方受益。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

从安全事件谈无国界的网络与有差异的文化

每天都有着大量不为人知的网络安全及信息泄露事故发生,其中不少都和我们有着切身的关系。这些安全事件或许就发生在拥有我们个人信息的互联网服务商,或许就在我们工作、学习或生活的单位以及与之有千丝万缕关联的组织机构。

通过媒体,我们经常看到美国的大公司如Google、Apple、Microsoft、Facebook、Amazon等时不时便会遭遇数据泄露的报道,还有那些跨国公司、外国政府机构、医院和大学等等也经常被黑客入侵。但反观国内的机构如阿里、腾讯、京东、新浪、网易遭遇数据泄露的情况就少得多,国内政府机构和企业、医院及大学似乎就是“无坚不摧”的。这种情况明显是值得怀疑的,因为美国发明了互联网,也是全球的领导,其在互联网安全防范技术和制度管理等方面都要领先于我国。

值得怀疑的东西就有其可深究的原因,对此,昆明亭长朗然科技有限公司网络安全分析员董志军表示:虽然说被网络黑客等不法分子入侵或者内部人员有意无意泄露数据的“丑事儿”当然不易公开,这在中西方都不例外,但是这里面也还有很多地缘政治文化引起的差异。我们相信不管在美国还是在中国,被公开的黑客入侵事件或数据泄露事故都只是冰山一角,绝大部分都被私下悄悄地解决了,媒体和大众甚至用户永远都不知晓。

那么差异在哪儿呢?引起差异的根本原因是什么?我认为在安全事件发生后的应对措施方面,并不是说扑救的方式有什么异同,而是对受事件影响的人员的告知和安抚,西方人会觉得有必要及时通知到用户,一是对其知情权利的尊重,另一方面需要用户的配合动作,以减轻进一步的损失。中国人,甚至东亚人则想的是一方面该如何避免给用户造成困扰和不便,最好还是不要让用户知晓,另一方面也想帮助用户处理后续的麻烦,不愿被用户误解进而导致恐慌行动和混乱局面,最好的方式就是悄悄处理。

相比起来,您会发现西方人的处理方式比较“开放”,而东方人则比较“保守”,这就是文化差异的根源。说到中国,有人喜欢扯到苏维埃共产主义极权统治的一个传统做法是控制新闻舆论,故意不要民众开化。我不知道苏俄的情况,但在中国,这明明是跨越时空进行附会和瞎扯,国家相关网络安全法规明明规定了网络安全事故的紧急应对措施,一要报送监督管理机构,二要通知受影响人员。

尽管政令法规的出发点都是好的,尽管网络服务商也是为用户着想,但用户可能并不满意,为什么呢?用户不放心呀!服务商是用户数据的管家,管家在主人(用户)的数据泄露后捂着不告知,尽管管家您是不想主人(用户)操心和担惊受怕,但是主人我自此得担负起数据泄露的后续未知风险,比如收到莫名其妙地广告骚扰,甚至受到各种有针对性的网络钓鱼诈骗攻击。主人(用户)们咒骂着网络不法分子,却不知道始作俑者竟然是自己信任的网络服务商,甚至自己工作、学习或生活的单位。主人(用户)们能做些什么呢?告知(外部)服务商和单位内部IT部门,请让我们及时知道事实真相,也请让我们参与进来,即使短时担惊受怕吧!

为什么国家法令那么好,而网络服务商甚至自己工作、学习或生活的单位就不遵守呢?这就是法律落地的问题,西方的法律精神是从下至上的,我国的是从上至下的,说到底我们的民众不具备法治精神,我们的网络服务商,我们各组织机构的网络安全响应团队,都是被动的守法,也就是“安全事件发生了,捂下去就解决了,相当于没发生安全事件,没发生就没通报”。这就造成我国网络安全事件表面上看起来风平浪静,实则暗流涌动的现状。

看了看垃圾邮箱,发现95%以上都是来自海外的,就知道中国互联网的安全治理的很好。再细看那些海外的垃圾邮件,其中有大量安全威胁,比如涉及色情、暴力和诈骗的不良内容,分析一下来源域名、语言和地址,仿佛都来自前苏联共产国家,他们真是国际互联网安全的死敌呀。不过也值得同情,后冷战时代,原苏联国家的人民生活不易,很多人精通网络技术却仍然没有什么好的出路,只有靠网络不法行为来骗取他国人民的钱财,进而养家糊口。如果这些人生在美国,或许会生活的很富足很舒适。

抛出问题不解决不是什么有责任心的企业和人员,对此,董志军称:文化的差异和鸿沟很难填充,其实我并不完全否认中国甚至东亚的这种“保守”文化,也不觉得“保守”文化就一定落后于“开放”文化,举例讲,“保守”文化似乎更利于信息数据的安全保密。近些年流行“文明趋同,文化求异”之说,我们了解一下西方信息安全文化,知己知彼,不多余。在此基础上,如果能取其之长,补己之短,倒不失为信息安全管理的一项策略。当然,能发扬光大我们自己的安全管理文化,使其融入世界,为全球网络安全空间的文明建设贡献积极的力量,则善莫大焉。

为了沟通中西方网络安全意识文化,帮助各国加强彼此了解,昆明亭长朗然科技有限公司与欧、美、印、日等多国建立了业务合作关系,我们引进了大量的海外信息安全意识教程素材资源、软件以及方法,同时,我们也根据中国特色,创作了大量的网络安全、信息保密及合规意识相关的动画视频、电子漫画、海报图片及网络课件。欢迎全球全国各类型的组织机构联系我们,洽谈安全宣教内容的选购与合作,以及安全意识宣传活动的策划与实施。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898