化解信息安全管理中的沟通不畅难题

很多IT人无疑被赋予了参与内部信息安全管理的重任,可是不少信息安全专业人员老是觉得不受高阶管理层的重视。昆明亭长朗然科技有限公司企业安全管理顾问董志军说:组织机构的管理高层往往并不了解太多安全技术行业术语,显然不能轻易放下面子、也没有太多时间来了解这些术语的含义。所以,IT背景的信息安全人员在与高层沟通时,要注意避免讲纯“技术话”。

了解一家组织机构的信息安全问题并不太难,特别对于那些有审计相关工作经验的人来讲。在工作区域走一走,看一看,便能粗略了解该单位的信息安全管理大致现状及治理水平,更何况那些在职场环境中常期工作的信息安全专业人员呢!实际上,我们不需要太多系统层面的安全漏洞扫或脆弱性描评估报告,就能找出一家组织机构最需要迫切解决的信息安全问题。

知道深层次的信息安全问题并不一定就能很好的解决掉,即使有不少专业信息安全从业人士知道该怎么解决这些问题,但并不一定能够解决好。其实,很多企业级别的信息安全问题,并非能够从技术层面有效解决。人们常说:信息安全管理中最薄弱的环节是人员。要从“人员”的层面解决信息安全问题,毫无疑问,需要从信息安全认知沟通开始。

不少信息安全从业人员以为信息安全沟通就是把自己所懂的安全知识和能力都传授给他人,这显然不符合有效沟通的目标,再说对于管理层和常规用户来讲,他们并不需要了解太深入的信息安全知识,或者成为IT人一样的专家。

很多企业安全管理团队根本无法吸引高层领导们的重视,不能单向面认为是高层领导们的工作失误或者认识欠缺,安全管理人员要学会业务语言,并且扩大传统的安全认知范围。高管们最不喜欢的是安全人员一来就滔滔不绝地谈论如防火墙、黑客入侵防范等安全技术,所以我们要使用商业语言——从业务信息风险开始是很好的切入之道。可是我们也不能只将目光局限在IT安全这一个小领域,我们的安全管理团队需要站得高,看到全局,就需要将更大更广的安全治理架构纳入的话题中来。

跨部门的安全协作可以帮助我们扩展“大安全”视野,财务部门关注较多的是业务流程比如交易的安全、财产的安全、欺诈防范、风险控管和内部审计。在信息化的过程中,显然信息系统和信息数据的保护也会成为重要的一块儿。传统的物理安全如工作环境、生产安全、职业健康、消防安全等等也是保障信息安全的重要支撑。了解得越多,越有利于探讨出合适的全面的信息安全问题解决方案和计划。

在很多信息安全问题解决方案中,仅仅得到了高管们的支持和赞助还不够,因为很多信息安全决议都会影响到最终用户,也就是常规用户。常规用户往往并不如高管们那么“识大体”,所以对不同岗位群体的用户要有针对性的沟通方案。不过,常规用户虽然不那么“识大体”,但是更容易受到上司和周边同事们的影响,所以紧紧抓住各部门领导和沟通协调人员,通过他们来促进信息安全沟通才是正确的方法。

由上我们可以看到,一种有效的化解沟通不畅的方法是将用户按角色进行划分,对不同岗位的人员设定不同的沟通战略和内容。亭长朗然公司董志军举例说:对中、高阶管理层,通过面谈和会议为主,在线的信息安全意识培训课程为辅。对于常规用户,以在线的信息安全意识培训课程为主,同时要求部门负责人,即中阶管理层强化本部门相关安全流程相关的宣传。

信息安全所面临的最大威胁不是外部黑客,而是内部员工。更准确地说,信息安全管理中的最大问题是内部人员的安全意识沟通问题,安全管理及员工培训负责人需要用受众能够接受的语言和形式,需要通览全局站在“大安全”的角度,又需要兼顾不同为不同角色和职位的员工们制定不同的信息安全意识教育计划。

corporate-communication-system-and-people

欢迎您联系我们,探讨更多这个话题相关的内容。

昆明亭长朗然科技有限公司

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

如何保障信息安全控制措施的有效性

最新一项针对企业用户的开放式信息安全调查表明:近半数(46%)的最终用户对公司的网络信息安全控制措施表示不理解和不满意,而这其中几乎所有(94%)都曾经尝试并企图躲避或越过公司的安全控制措施,而有近半数(52%)曾经成功地躲避或绕过了一种或多种安全控制措施。

举例讲,很早年国外就有专业测试机构NSS通过媒体曝光网络防火墙的失效问题,当然,那时候只有专业的渗透攻击测试人员才能轻易让企业的网络防火墙失效,其方法在今天看来已经极其简单,而且也非常容易实现,就是在内部通过伪造源地址对防火墙发起欺骗式拒绝服务攻击,尽管多数防火墙都有对源IP地址进行校验以及防范拒绝服务攻击的能力,然而防火墙处于被动响应的地位,其可处理的网络连接数资源往往会轻易的被内部一台普通的PC耗尽,进而让防火墙无暇顾及更多访问控制规则。

不过,话说回来,尽管今天很容易实现这种攻击,普通计算机用户的安全攻击水平离脚本小孩还有不少差距,更不用说多重防御体系的构建,安全政策和制度的实施等等给普通用户的心理威慑,所以,多数企业的网络信息安全管理员并不是很担心安全控管效果的问题,反而更多操心的是安全系统控管的力度、安全产品相关策略或规则的定制问题。

系统安全管理员们当然没有错,一项新的安全控管措施要在企业内部实施,当然不是一蹴而就的,不管是身份管理系统、访问控制系统、平台安全系统还是数据安全系统等等的实施,都需要一个漫长的与企业计算环境进行匹配的“磨合期”,除非那些配置的非常自由开放的、形同摆设的安全控制系统,多数安全项目的“磨合期”少则三五天,多则三五个月。

“磨合期”内系统安全管理员、操作人员和最终用户们可能会反复进行测试或实验,以便使新上线的安全控管措施最大限度的发挥其功效,即起到保护企业安全的作用,当然,安全负责人员可能会向最终用户发布新的安全精神及安全系统上线的变更通知,而精明的最终用户这时会做些简单的试探,但往往不会有过多犯规或顶撞行为,也不会公开尝试躲避或越过控制措施的动作。

“磨合期”很顺利得以完结,系统安全管理员甚至操作人员对这些安全控管系统的新鲜感也越来越低,似乎运行比较平稳,没什么好继续搞下去的必要。而此时,精明的最终用户开始活跃起来,而那些对安全即无知又大意的最终用户也开始被企业内外部的攻击者支配了,这正是最危险的时刻,结果当然导致半数的半数,即四分之一的用户成功躲避或绕过了这项不再“新”的安全控制措施。

殊不知,还有更危险的还在后面,系统安全管理员或安全操作员某天发现了这项安全控制措施或称之为安全控管系统的“漏洞”,准确讲,是他(她)的工作不足。在这个棘手的问题处理上,不仅出于自保的原因,还可能包括自身对“不再新”安全系统的厌倦、不满甚至反感,他(她)可能会逐渐将此项安全控制措施淡化处理甚至彻底丢弃。

一项计算机网络安全控制系统的生命就这样香消玉殒,即便新的再来,也仍将重复同样的历程,问题的根源何在?不能怪罪系统安全管理人员或安全运行操作人员的喜新厌旧、疏忽大意甚或玩忽职守,也不能责怪安全产品厂商售后服务及跟踪支持的力度不够,更不能责怪普通用户的不配合或高级黑客的狡诈。

问题的根源在安全管理流程安全意识培训的缺失,在“磨合期”,安全管理负责人即应建立长久的可持续重复进行的安全系统维护流程以及安全运营操作流程,并定期检查以确保安全工作的持续进行并得以不断的改进。同样在“磨合期”,安全管理负责人应该加强系统项目人员、运营操作人员和最终用户的沟通和协调,这其中重要的一项是对相关人员进行系统的安装配置、管理维护必要的培训,包括技术操作和流程制度;另一项是加强最终用户的信息安全意识培训,让他们理解和认可这些安全控管措施对于公司和个人成功的重要性和必要性,并会基本的应用操作以便保护好自己,要考核他们对这些信息安全基础的掌握情况,并让他们签署安全承诺书。

当系统安全管理人员、安全运营操作人员和最终用户都知晓自己的安全职责,掌握基本的安全防范技能之时,安全管理负责人只要稍加监控,便可轻松保障信息安全控制措施的有效性。

昆明亭长朗然科技有限公司有丰富的网络信息安全项目实施经验,并且通过帮助客户建立安全相关流程及安全意识和技能相关培训,获得了众多客户的一致好评。亭长朗然公司的企业安全项目总负责人James Dong是国内为数不多的同时拥有CISSP,CISM和CISA国际权威信息安全相关证书的专家之一,欢迎各界朋友通过邮件与他联系,邮件地址是james@securemymind.com

security-countermeasures