信息安全事件捂着盖着还是立即通报

中华民族的复兴和崛起主要依赖国民的奋发图强,在全球化大时代背景下,西方当代文明带给我们的积极影响,我们也不能否认。

信息时代风云变幻莫测,源自英美强国的信息安全管理体系ISMS方法在全球政治经济一体化的大环境下演变成了ISO国际标准。毕竟,保护好全球互联网的安全,需要一个可以进行跨国紧密合作的沟通框架;在企业间的信息安全交流和管理中,也需要有共同的语言来建立互信机制。

数千年来,多次朝代更替,中原文化也多次历经外族入侵,然而主体的中华文化特性却能始终保持下来。随着知识经济全球化以及互联网的迅速发展,西方文化对我们的影响也日益增强,不过相信精华将被吸取,糟粕将被摒弃。ISO 27001信息安全管理标准在面临中国几千年传统文化之时,会产生什么碰撞和融合效果呢?今天我们来探讨一下信息安全管理体系中的一个重要话题——信息安全事件管理。昆明亭长朗然科技有限公司的企业安全顾问James Dong说:在信息安全事件的披露和响应方面,西方文明讲求事实和科学;而中华文明则关注伦理与影响。

如何有效响应信息安全事故呢?这里面并没有中西文化优劣之说,但却值得我们细细思索和采取必要的措施。James举例说:大到国家层面的信息安全监管机构,小到公司部门的安全协调人员,都很难让人们主动报告信息安全事件。这就如同领导上台提倡让下属们进行自我批评一样,几乎没人会真正来揭丑亮短,这就是中国公司很少有信息安全事故报告出来的主要原因。

明眼的信息安全管理人员会制定相关的制度,以期通过惩戒“隐瞒不报”、“迟报”、“谎报”等手段来激励人们报告信息安全事故。这能起来一部分的效果,但是并不足够。因为“一票否决”、一把手负责等等政治因素,加上责任和面子,会让安全事件发现人员和级级的领导阶层先做一个评估。评估是为了决定私下大事化小、小事化了,捂着盖着,还是乖乖上报。

此外,即使有一个机构或部门中的某个环节出现一点纰漏,整个机构或部门帮忙“打掩护”的情况也很多见。为什么这些人们要这样呢?他们仅仅只是为了自己小范围的利益而牺牲大范围的集团利益吗?答案并非如此,原因在于人们不理解信息安全事故报告和处理思想及流程。James分析出如下几条常见的心态:

1.在中华传统文化中,事故往往是不好的,丑事坏事都不吉利,应该尽量规避,好事不出门,坏事传千里,我们不应该记录和传播不好的事儿。

2.出事是不应该的,出事儿意味着责任心不足、态度不好或能力有问题……这些无疑将带来负面的影响,不想在仕途或职场倒霉就别让这传播出去。

3.在我这弄出的事儿,我这儿要给它灭了,不要去劳烦上司。等事儿给解决了,可能领导也不过问了,即使再报告或许也能获得个从轻发落,甚至因为响应及时而获得领导的褒奖。

对公司信息安全管理负责人来讲,要让员工们及主管经理们建立正确的信息安全事件观念,可不能不考虑这些固有的文化心态。在了解这些心态之上,采取必要的安全意识沟通教育,方能建立健全有效的信息安全事件管理流程。

再谈中小机构的网络安全工作

打开新闻,每天都有黑客攻击或数据被盗的事故发生。从社会团体到公司企业,再到政府机关,安全事故频发,任何组织都无法幸免。每年由于网络的攻击导致重要数据丢失,导致企业损失惨重,许多接受调查的公司担心技术和网络风险。积极和全面的保护策略可以帮助各类型的组织机构避免外部攻击并保持网络的安全。对此,昆明亭长朗然科技有限公司网络安全专员董志军强调:创建多层防御或“纵深防御”的方法有助于为网络安全提供合理的策略。此方法使用多层安全管控措施,比如设施、产品和制度,而不是依靠单个方法来强制执行安全性。

面对不断变化的网络威胁,安全防御能力也需不断提升。当前,网络安全的内涵和外延在不断扩大,网络环境经历了从互联网到网络空间的演化,互联网时代的安全目标主要是防止数据被破坏、被泄漏和网络瘫痪,网络空间安全时代的安全目标,是包含设施、数据、信息、用户、运维在内整个网络空间的大安全。更是关系到社会稳定和国家安全,因此,如总书记所强调的“没有网络安全就没有国家安全”,网络安全观念也正在经历从外到内的进化。

在保障网络安全的资源方面,大型机构要远比中小型机构有优势。在预算方面,大型机构往往并不差金钱,在人力方面,大型机构不缺优秀人才,在政策方面,大型机构往往是监管的重点。大部分的中小机构显然没有这些网络安全优势,要想在“无国界”的网络空间从林中生存和发展,无疑需要自食其力、自力更生。如下,我们分享一些安全思想,以及一些工作要点和方法,以便中小型机构的IT网络安全管理者参考。

一、加强IT技术人员的权限管控。在政策上,需让IT管理员明白,其“超级权限”是管理层赋予的,所有的重要活动都要有适当的审批授权,所有的关键操作也都需要受到定期审计,不可滥用职权随意作为。IT人员糊弄非技术背景主管领导的事情普遍发生,扮演“内鬼”角色盗窃重要资料、窃取商业秘密和私下搞破坏的情况也时常见诸媒体。与其在出事之后采取行动,搞得雇佣双方“两败俱伤”,不如早期就未雨绸缪,加强IT人员权限管理,防范内部犯罪,达成资方与雇员长期双赢的好局面。

二、加强用户人员的权限管控。在政策上,要让新申请系统账户和访问权限的人员,以及已经拥有系统账户的人员,明白一个道理:其对公司所有系统的访问权限,都应该服务于工作目的。因此,用户必须按照公司的要求,正当地使用其计算设备以及访问权限,同时公司有权监控所有用户的系统使用行为。定期(建议每季度)审核各类系统的账户和权限清单,及时停用或删除没有必要再继续访问该系统的账户,以防离岗离职人员在非授权情况下访问系统,造成数据失窃或系统损坏等事件。

三、实施必要的网络隔离与管控措施,按照部门及业务单元,将内部网络划分成相对隔离的单元,在网络设计和管控方面进行限制,只允许用户访问他们完成工作所需的信息,而不允许他们访问其他与工作无关的信息。当然,对互联网的访问需要进行监控,以符合公安机关的网络审计要求,同时也有利于了解员工们的互联网使用情况,提升员工满意度和生产力。

四、采取最佳安全实践,建立信息资产清单,强化对关键信息系统的保护力度,同时确保计算机系统安装并正确启用防病毒软件,确保信息系统都得到了必要的更新、安全漏洞得以及时的修复,确保用户们拥有良好的安全习惯和安全觉悟,比如使用强密码、保持桌面安全、不随意放置计算设备以及敏感信息等等。

总之,灵活、快速是中小型机构的特点,在安全管理方面可以避免大型机构的教条主义和形式主义,选择最适用的安全控管措施并实践之。中小机构的网络安全管理工作,也是对信息、系统、人员、技术和流程的综合全面利用,在远程工作和移动工作越来越普及的今天,从用户的权限控管、人员的安全意识入手,是成功的要点,也是必要的步骤。子不教,父之过。员工们如果因为没有受到足够的安全政策和安全意识的教育,而犯了错误,无疑也是网络安全管理者与IT负责人的失职。

为了帮助各类型的组织机构提升员工们的安全意识,昆明亭长朗然科技有限公司制作了大量的安全意识教程与安全作业指南,希望对中小企业的网络安全管理者们有所帮助。教程内容包括动画视频、平面设计和互动式电子课件,以及在线学习系统资源。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898