企业安全是业务成功、法规遵循及道德建设的要求

security-management-driver
所有组织机构的领导们特别是信息科技的掌权者们要确保敏感信息不落入错误的人的手中,而正确的信息必须及时而准确地达到目标受众。这便是信息安全三要素,也称信息安全的三个基础属性——保密性、完整性和可用性。

对于为什么需要企业安全的问题,人们的认识可能并不足够,多数仍然停留在防病毒感染和防黑客入侵的较低层面。昆明亭长朗然科技有限公司的信息安全观察员James Dong称:今天我们需要全新的视角来理解企业安全,因为信息科技以及信息数据已经成为多数现代企业的核心竞争力,一家公司想要取得业务上的成功,并且让这种成功得以持续,就必须保障核心竞争力,以便取得和保持在业内的领先地位。

每天,大量的敏感信息诸如智慧财产、法律文档、合同约定、财务报表、集团批示以及人力资源文档等等都在从一方到另一方不停地四处传送。一不小心便会让敏感信息落入竞争对手或商业间谍等错误的人的手中,更可能引发媒体、社会大众、股民以及客户的曲解,进而引来监管执法机关的介入调查。亭长朗然公司James表示:合规经营需要我们保障企业信息的安全,是信息安全管理者开展工作的一大驱动力量。

大部分的电子数据在存储、传输和获取方面可能造成的安全问题并不仅仅会波及业务成功和法规遵循层面,尤其在目前的政治大环境下,央企、国企成为社会舆论的焦点和改革的重点,在敏感问题和敏感时机一不小心便容易成为道德谴责的对象,甚至无辜的牺牲品。在公司员工职业道德以及行为操守方面,我们需要员工们有代表公司形象和信誉的正确的信息安全行为规范。

很多时候,公司丢掉订单或业务疲软等等的原因并非营销战略失误或力量不足,而是信息安全事故影响了公司的信誉,同时多数信息安全事故的起因都是人为所致,所以我们得加强全体员工的信息安全意识教育,减少由于人为因素而造成的信息安全事故,正确响应信息安全事故,让事故对业务的冲击降低到可控的最小范围。

同时,强化对员工进行信息安全基础知识的熏陶和教育,也是各类信息安全相关法规制度的要求,以及企业文化以及员工职业道德操守建设的重要部分,强化企业安全,需要全体员工的支持。比如我们可能需要让员工使用比如U盘或DVD等移动介质,我们要让员工们学会基本的数据加密,这样,即使移动介质不幸在外出时丢失,公司敏感甚至机密的数据仍然不易被泄露。即使我们部署透明加密技术以及其它各类企业安全管理流程,我们仍然需要员工们知晓这些安全技术及控管流程,并且积极主动配合相关工作,因为只有人们理解了信息安全管理的精神要义,才会真正的在态度和行动上进行支持。

昆明亭长朗然科技有限公司有创作多部企业信息安全培训内容,包括动画视频和电子课件,也有支持移动学习的在线教学系统,欢迎联系我们洽谈合作或只是想预览一下作品。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

网络信息安全的发展趋势展望

互联网行业变迁迅速,我们这一代IT人都是亲眼目睹、亲身经历的。当驱动着和支撑我们的日常生活、学习和工作的各类应用、数据都分布于云端之后,未来还会发生什么呢?世界将走向何处呢?

您可能觉得这个话题太大,远离了我们的视野范围。其实“人无远虑、必有近忧”,至少对我来讲,在网络信息安全领域,我们需要有一定的远见。昆明亭长朗然科技有限公司创始人董志军总结说:本人做了多年网络安全技术工作和企业信息安全咨询工作,经历过一波又一波安全控制产品和技术的热潮,目睹着一批又一批一夜暴富的安全厂商和竞争失利暗淡出局的昨日黄花。

说到这儿,相信您也会深有同感并心生感叹,我们都希望能够预见未来,以便做出正确的决策。安全领域的未来将是怎样的呢?

首先,云端的优势越来越明显,而终端也越来越多样化和移动化,传统的接入管道和网络边界的会逐渐变成人们视而不见的基础设施,虽然不会消亡,但不能一直处于扩充态势。这样看来,那些内网安全、网关安全之类的措施,与云端化和移动化大趋势不够契合,所以在未来的日子,这些类型的产品也会成为配角,需求少了,厂商的日子也会越来越艰难。

其次,随着消费者对隐私保护的关注、运算能力的增强、安全证书的降价普及,加之防线路窃听和中间人攻击的刚需,端对端的加密传输必将大行其道。这样一来,那些靠协议分析的网络安全产品将失去用武之地。虽然加密保护了消费者的隐私和数据传统的安全,但是却不被监管机关喜欢,他们需要能实时解密的利器,以便进行追踪和审计。处于云端的服务商自然必须得向管理当局提供特殊的用于解密的密钥,但是管局显然不会满足于解密大众的主流化网络应用,其实我们也知道,管理当局直接让服务商派专员入驻提供现场服务的情形更为常见。只是,管理当局真正想要的宝贝是对常规性的加密协议进行解密的利器,目前估计也只有美国的监管机构有这个能力,但是这种能力我国早晚得拥有,而且是不公开的拥有。这里面关键的不见得是技术难题,而是整合能力,那些和政府机构关系密切的厂商如何能抓好这个机会,必将挖出一个大金库。

最后,终端安全已经被360和BAT这些大腕们搞到没一点儿利润空间,所以有不少厂商将目光放到云端安全。这里面可以搞的创新就很多了,把传统的网络安全服务搬到互联网云端是最快捷的了。但是这里面有个问题,是网络安全厂商的顾客们往往是政企大客户,受制于互联网保密等法规的限制,他们不可能完全开放地拥抱互联网。所以,互联网安全的消费者主流只能是非政府控股的机构——大量的中小企业和个人家庭用户,而他们的信息化水平和互联网安全意识太低,似乎只相信360和BAT。想搞定又能搞定360和BAT的,又有多少呢?当有这个水平的时候,或许早被人高薪挖去了。剩下的那些只靠整几个WEB安全漏洞,忽悠稍小一点又能有钱的互联网服务商,意欲从中分一杯羹。说到Web安全,很多渗透测试人员自称“安全专家”也不脸红,说到底就是一个会使用扫描探测工具和远程溢出工具的“脚本小子”,根本不懂WEB软件编程,和开发人员聊报告的时候就瞎吹,你说东他说西,说到底,就是厚着脸皮把客户吹晕……

唉,其实说来忏愧,笔者曾经就是这种“渗透测试人员”,只是还有一点良心,觉得做这些渗透测试工作不实在、心里不踏实,还给真正有能力的白帽黑客团体抹黑。要说在业界咱也接触过不少真正的高手,这些高手们话不多,却干活很利索,还经常鼓励人们多学习新东西,多分享新知识。

咱没什么领先的科技知识分享,但是至少可以分享一些对信息安全未来的看法。以后的网络信息安全,必将是一种内嵌式的安全,也就是说安全将成为应用的一部分,没有全面知识体系和深厚的技能积累,只能做些简单的低端的活儿,甚至没有机会。托工业文明、IT互联网和改革开放的福,现在的日子还算是太平和富足,除了吃饱穿暖这些早已经被满足的基础需求,似乎也没有什么是必须的了。年轻的信息安全人,勿贪图享受和玩乐,也勿行尸走肉得过且过,行动起来吧,喜欢与人交流的,可以多学习信息安全管理体系,喜欢与机器交流的,可以多学习各种IT技术……

虽然我不喜欢分享黑客技术,但是并不表示没有分享的或不能够进行分享,而是我更愿意分享反黑客的方法。您可以点击如下链接,从宏观的层面,了解信息安全管理相关的知识,以及反黑客的更广泛更普遍的方法。即使您更喜欢玩儿技术,而不是与人打交道,您也可以了解一些无妨。

http://m.securemymind.com

如上是本人的一己之见,由于本人知识和经验有限,不管您对此文任何话题有任何的意见,都欢迎您随时通过如下方式快速联系到我。

董志军

手机:18206751343

微信:18206751343

邮箱:james@securemymind.com

QQ:1767022898