浅谈企业安全沟通管理

企业安全沟通的重要性

在传统上,企业信息安全管理常用的方法是通过安装设置一些技术产品或系统,进而来“管制”用户们安全行为。在企业安全管理越来越服务化、人性化和移动化的时代,这种方法明显已经落后于时代的需要,负作用越来越明显,当然也越来越受到用户们的广泛诟病。

从企业安全所在的职能角度上讲,安全服务往往位于企业后台的“花钱中心”,并非是能为多数公司带来直接赢利的业务单元。虽然这并不表明在业务精英用户们的眼中,安全无足轻重,但是用户们认为安全只是业务成功的一种保障的观念却是无人能够轻易反驳的。安全服务和业务效率之间有一种隔膜,其实主要是源于缺乏一种相互的理解和融通。要不断提升安全服务质量,让用户们获得更好的安全体验,不断提升客户满意度,无疑需要通过更多的安全沟通。

从人性化管理方面来讲,强制化的命令型的安全管制并不适合需要有更多“创新”氛围的较为宽松的商业经济环境。昆明亭长朗然科技有限公司企业沟通顾问董志军说:过于苛刻的、忽视用户心理接受度的安全控管制度无疑会压抑员工们的创造性和工作主动性,让安全管理团队失去用户信任,甚至会让用户们对安全流程和技术措施产生一种逆反心理,进而刻意忽略甚至躲避安全要求。当然,安全管理也不能一味迁就用户而让资方受损,所以非常迫切的任务就是建立安全管理方面的互信机制,而互信机制的建立源自于双向无阻碍对话的沟通渠道。

从移动化发展的大趋势看,信息安全的大部分保障工作将突破传统的“中央集权”、“固定”式架构,而调整为用户与终端的“地方分权”、“漫游”式格局。旧有的双重边界——工作区域物理安全和网络系统接入安全在移动计算时代慢慢弱化甚至消亡,尽管企业安全团队仍然能够牢牢掌控后台信息系统的安全,但是移动端和接入端,包括用户人员、终端设备甚至第三方访问层面的安全问题会日益突出。无疑只有强化多方在企业信息安全方面的沟通,为安全管理聚集更多人气,才能适应这种移动化演变的大趋势。

企业安全沟通的目标

进行企业信息安全沟通的目标是什么?显然不是通过“脱口秀”节目来展示人员的口才,更不是借助动画短片来活跃工作气氛。

如果企业安全管理团队人员天天闲着,那有多种可能性:要么没有出现安全事故、要么安全事故或安全隐患没有被发现、要么被发现了但是安全管理团队却不知晓。显然,不管怎么样,要防范于未然,安全管理团队要行动起来,通过必要的安全沟通,来让用户们积极主动地发现安全事故及潜在的安全隐患,并进行及时的报告。不要以为发现安全事故和隐患这些工作只是专业的安全人员的责任,所有人的工作流程都与安全有关,换言之,安全关乎所有人的利益。所以,做好企业安全管理,发动群众、群防群治才是上策。

如果企业安全管理团队人员整日忙个不停,那也有多个可能:要么在安装部署安全管理系统、要么在运行日常的安全监管系统、要么在跟进突发的安全事故、要么在实施安全管理体系工作……这些工作都很重要,公司的安全方针政策需要得到落实,大量的信息安全控管措施需要上线并且正常运行。但是,在我们百忙之中,您有没有停下来想一想:各种安全政策标准、制度规定的遵循者是谁?各类安全系统、技术措施的受影响者又是谁?他们理解和接受这些吗?如果用户们不理解、不接受这些,我们忙忙碌碌的价值和回报何在呢?我们可能因为犯了严重的方向性错误,让安全管理工作绩效大打折扣。其实,有了用户们的理解和支持,即使安全政策标准、制度规定并不是尽善尽美,即使技术措施的功能并不是十分完备,但却是深入人心、有强大的民众基础和高执行力的。

总之,对于企业安全管理团队来讲,闲着时,应该强化安全沟通,忙碌时,也应该强化安全沟通。通过必要的企业安全沟通,企业安全管理团队能够帮助用户们建立正确的安全思维方式(思想理念),进一步引导和规范用户们的安全行为。简单说,企业安全沟通的目标是让用户们获得安全观念上的进步,进而体现在安全的行动上。

企业安全沟通的战略与方法

如何发起企业安全沟通活动呢?这个问题并不难回答,通常来讲,正常的企业总能给出各式各样林林总总的答案,比如搞搞安全沙龙、培训、宣传等等。表面上看起来,运作这些活动似乎并没有太多的技术含量,也很容易“秀”出工作成绩,但要真正达到或接近企业安全沟通的目标,却需要很周密的谋划和专业的组织能力。

任何一种政策决策的后果都有其利的一面,也有其弊的一面。同样的道理,不管一家企业的安全沟通管理位于何种发展阶段,搞安全沟通活动也都会有积极和消极两个方面的效果,但是我们不能因为这样就裹足不前,无所作为。那我们该怎么做呢?其实这个问题几乎所有的企业和职能部门都会面临,这是一个管理流程方面的问题,在现阶段,对绝大多数企业来讲,并不需要经历漫长的闭门摸索过程来选择最佳的战略,而只需向全球性的行业标竿谦卑地学习成功经验,同时要充分考虑本土环境、业务和文化方面的差异。

在粗略了解战略的基础上,安全管理团队还需要掌握基本的企业安全沟通方法。

首先要找出需要进行企业安全沟通的地方,自不用多说,关键的地方几乎全都集中在安全相关的规章制度、作业流程、控管系统和技术操作等方面。不管是参照标竿企业引领的行业实践、将任务分派到各部门还是发动核心人员参与头脑风暴,总之,需要列出一个企业安全沟通内容清单,越详细越好。这是一项繁重的工作,万事开头难,对清单进行简单的分类、整合和排序,以便进入到下一步。

接下来,需要结合企业实际情况对内容清单进行一个权重性的评估,评估的准则不仅要考虑投入与产出之比,还需要考虑将个体性的、独立性的上升到全体性的、普遍性的,更需要结合企业安全沟通的目标,在保障业务信息安全的大前提下进行。否则可能会顾此失彼,“抓了芝麻丢了西瓜”。

然后就是推进企业安全沟通计划的制定和战术(方式)的选择,需知,企业安全沟通计划不应该只是一次性的“运动”,至少应该是中长期的,不要妄想通过一次的沟通活动便彻底改变用户们的观念和行为。而在战术(方式)的选择方面,无疑也需要灵活多变,因人而异。即使用同样的玩儿法,人和人是有差异的,有的人态度认真,有的人领悟力强,也有人两方面都不错,当然也有两方面都差劲的。比如同样是发送一封关于电信诈骗或网络钓鱼方面的测试,有的用户就能识别得出来,有的用户就识别不出,有的可能心存侥幸容易上钩,有的敢尝试戏弄对方,有的冷漠忽视,有的积极报告……再比如同样是正面交谈一个安全理念,有的用户会很坦然对待,有的会不以为然,有的会假装认真,有的会不耐烦,有的会有惶惶然有心理压力……不管怎样,通过一定的沟通积累和观察评测,可以将用户们大致划分到不同的群体象限中。对于安全态度和领悟力两个方面都不错的“又红又专”的象限群体用户,不用花太多的安全沟通资源和精力,对于其它三个象限的用户群,则需要在战术(方式)上有所偏重,比如对安全态度不踏实的一类用户,要强化警示和惩戒方面的教育;对领悟力较弱的一类用户,则要有更多的耐心。

最后,我们要设定一些企业安全沟通工作的衡量指标、模块和工具,并且不断改进企业安全沟通计划和方式,要知道企业安全沟通计划不可能一成不变的,要有新意和创意。方式也需要更为灵活和适时,比如对60后的高龄用户,可以用传单和广播,但对90后的职场新人,就要动漫和交互。

企业安全沟通常见问题应对

在大型企业特别是处于平稳发展中的企业中,职场人士们无疑都期待着向好的改变,但是当变革真正来临的时候,人们的第一反应往往是拒绝新的事物。这并非是“既得利益群体的顽强抵抗”,利益的因素不排除,但是在企业中,在高层的支持下,它的份量微小到可以忽视。我们真正要面对的是惯性和惰性的强大力量,它们会阻止用户们接受和吸纳新的安全认知。

如果一家企业长期没有关注安全沟通,突然间发起全新的企业安全沟通活动肯定显得很“突兀”很“另类”。不过,对于企业安全主管负责人员来讲,这一步宜早不宜迟。因为对于高管们来讲,企业安全沟通管理不仅能让多个部门联合起来,汇集企业的凝聚力和向心力;也能让信息沟通在全体人员之间畅动起来,让工作更为协同和高效;还能激发创意与活力,促进创新精神和员工斗志;更能通过保障商业信息安全,在强化企业的核心竞争力的同时,平衡和控制好商业风险。

总结与展望

悄悄地设置防火墙策略,阻止用户们访问某些互联网应用的做法已经不合时宜,公开透明地与用户们一起探讨企业安全管理理念的时代已经来临。

后记

不管您对企业安全管理有什么意见或建议,都欢迎您联系昆明亭长朗然科技有限公司,和我们一起洽谈安全意识沟通与业务方面的合作。我们已经为多家全球知名企业提供了信息安全意识教育方面的咨询顾问和课程设计制作服务,相信我们的成功经验以及我们的卓越服务可以帮助到您。

corp-security-communications

小议企业级信息安全管理

回顾历史,展望未来,通过以往安全事故的经验教训,获得充分的安全管理智慧,结合不断演进的商业环境和安全态势,方能做到未雨绸缪,防患于未然。在过去的数年里,黑客们肆无忌惮地入侵大型跨国公司,信息安全界齐力应对。昆明亭长朗然科技有限公司安全顾问董志军说:随着时间的推移,我们相信:在任何时候这些坏家伙们不会轻易罢休,只会变本加厉地疯狂反扑。正义的人们当然需要采用更为领先的战略方法来应对窃贼和坏蛋黑客们的恶行。

每年都会曝光几起恶性系统安全漏洞,这些漏洞存在之久,分布之广,不仅让漏洞挖掘和补丁修复人员大为吃惊。未被人们发现的、被发现了却未被公布和修复的安全漏洞到底还有多少?说到这个老话题,企业信息安全管理人员简单两眼一抹黑啊。

的确,知己知彼,方能百战不殆。谈到未知的安全威胁,似乎只能徒增恐惧。但是信息安全管理人员不能简单地束手无策或乖乖就犯。其实,我们只要想一想,在漏洞被发现并公布,但是补丁尚未发布或补丁不够稳定时的临时补救措施,便能从中获取应对未知安全漏洞的智慧灵感和管理方法。

信息安全管理,在信息时代,其实从深层次来讲,就是企业经营风险管理的关键部分,积极向上的管理者们会认为做好企业信息安全管理是一件好事情。通常,信息安全工作难以有效开展,关键原因在于对它的投入是一项无形开支,这种投入能够带来的成绩难以有效测定。说到底,投资信息安全,就像买意外保险,即使侥幸不投入,时常也能平安无险。在这种心态下,在追求效益最大化的目标及压力之下,高管们可能就会觉得花这些钱不值得。

直到严重的企业安全事故来临,造成巨额损失时,人们才会开始反思如何在经营效益与安全投入之间寻求合适的平衡点,人们才会开始痛批那些因临时的业绩而忽视长远安全风险控管的目光短浅行为。昆明亭长朗然公司董志军说:我们应该吸取教训,因为在大型的安全事故面前,所有的企业都伤不起啊。

说到平衡点,做系统安全,要有一个基线;做企业安全,需要一个底线,不断提升业绩并不为错,但是扩张太快速,将信息安全视为前进的阻碍力量而避开,无疑会衍生出大量不必要的商业风险。当不再有信息安全底线的时候,积聚的安全弱点越来越多,终究会像火药桶一样爆发——辛苦多年的扩张努力,旦夕之间换来的是血淋淋的剧痛教训。只有信息安全嵌入业务流程,风险管理并进扩张轨道,风险意识形成常规文化,企业才有资格谈论业务持续、基业永青等话题。

现在国家层面在调整经济经济,对每家企业来讲,要适应新形势的变化。一方面,企业将不能再依靠资源消耗和人力红利来保持增长,而要积极通过自主科技创新来提升核心竞争力,这就需要要保护好知识产权、商业秘密和信息安全;另一方面,在新形式下,互联网对企业的经营管理影响越来越大,信息的流动速度会越来越快,信息的分布面也越来越广,信息的渗透力度也越来越强。在这种大背景下,信息安全管理无疑也要紧紧跟随,进行必要的理念和方法的创新。

在拼命扩充产能的年代,信息系统的边界很明显,通过强化企业网络边界的安全管理,可以将大量外部安全威胁加以屏蔽和过滤。在结构调整,服务业比重不断提升的年代,信息系统的边界变得越来越模糊,信息安全管理工作重点要由边界安全转向在线应用的安全,以及终端用户的安全。

在经历几十年的国内业务高速增长之后,很多企业将眼光投身海外,可是在面对复杂的海外政治经济地缘环境时,忽视风险心存侥幸,生搬硬套国内经验,缺乏应急响应机制,一旦风向变幻,便束手无策,让到口的肥肉白白丢掉,甚至让长年的投入打了水漂。在海外投资做企业,信息安全管理方面无疑也要入乡随俗,要考量的差异主要有两点:一、监管法规的不同,别想当然地以为海外发展中国家在信息安全法规建设方面就要落后于中国,国内重关系,海外重合约,满足了中国的“严格”要求也不一定能满足当地的要求。二、行业实践的不同,即使行业变化不大,当身份变成了外企之后,商业实践也随之变化,了解并积极学习当地同行业者在安全管理方面的最佳实践作法,在安全管理方面也用好“后发优势”,是防范海外安全风险的最便捷最有效之路。

对进行全球扩张的大型企业来说,在新兴国家投资时,要建立完备的网络信息系统,在成本和时间上往往都耗不起,关键设备的进口和调试都可能耗费数月,无疑会让企业错失竞争良机,而使用云端服务,在成本得到降低的同时,大幅提升效率。而试水海外的创新型中小企业,无疑最重要的是控制风险,租用云计算来测试市场,可以降低初期投入成本,不管未来的市场反应好坏,都可以随时弹性地进行撤退或扩充的调节。这种“云计算”的转变将带动安全管理思维方式的转变,从国内采购安全系统再出口到新兴国家的想法显然是落后了很多。

如同勤劳智慧的中国人民一样,中国的企业不缺乏奋进拼搏的精神,也不缺乏超级销售、策划高手和经营人才,我们缺乏的是踏实精准做事的原则,我们缺乏的是建立行之有效的制度体系,我们缺乏的是有激情、不随从、敢直谏的企业信息安全管理人员。

各位企业高管们、各位企业安全管理者代表,各位安全管理负责人,要善待企业信息安全管理人员啊!他们可能不懂如何取悦上司和同事,他们的言辞可能有些生硬和夸张,他们的话语可能有些尖锐和呱噪,但是,切记:忠言逆耳利于行。他们为了专业精神,尚能保持一份尊严,就请多满足他们的预算需求,多让他们参与到业务扩张决策以及风险控管实践中吧!

如果贵司内部存在有激情、不随从、敢直谏的企业信息安全管理人员,那无疑是企业之福,是董事会之福,是老板之福,请珍惜这份缘分吧!

同时,对于企业信息安全专业人员,不管在组织内的头衔是什么,大到安全总监小到安全专员,都应该加强对业务知识的学习和理解。因为只有从业务安全和商业风险控制的角度出发,才是真正的信息安全管理,也才能让安全专业知识发挥出更大的企业价值,否则只能停留在较低的技术层面,没有了“经世济用”,个人专业的安全知识和才华充其量只能算是兴趣爱好。

不过,要让企业认同和接受安全专业人员的建议并不容易。安全人员要学会使用业务的语言来阐述信息安全风险以及防范之道,多问一问自己:“我该如何讲,才能让为些业务管理人员们理解和认同呢?”故弄玄虚的专业词汇和高深莫测的新概念,可能只会换来学究气浓和华而不实的印象。在风险应对的策略探讨方面,安全人员切记不要急于在建议中展示某种安全控管措施如特定厂商的技术或产品,因为业务管理层虽然不懂安全技术,但是却更清楚业务安全风险的根源所在,也知道同一个问题会有多种不同的解决方案。

安全专业人员在与各业务单元的管理层建立了初步的关系并学会使用业务听得懂的语言之后,最重要的就是使用科学的方法来探讨业务安全风险控管之道,不管是转移、降低还是消除风险。很多企业的信息资源,比如设备和软件都没个资产清单和准确数目,在面临一些安全事件后,即使实施了准入控制、上网行为管理或数据防泄漏系统,那也是本末倒置,治标不治本。

企业安全管理工作的内涵和外延都在不断演变,远不止是防范病毒和蠕虫的技术范畴,而变成一种效率与安全、投入与风险之间的平衡。拨乱致治,天地交泰,要想基业常青,做好企业安全管理,最重要的是破除沟通障碍,建立良性交互管道。

昆明亭长朗然科技有限公司推出了多个信息安全教程,包括针对海外风险与差旅安全的国内领先课件,以及针对企业信息安全管理者的快速课程,欢迎联系我们在线体验。

enterprise-it-safety-management