永无止境的网络安全战争

网络安全事件带来的痛苦何时才能结束呀?当您一次一次从网络环境中赶走黑客或清除掉内部威胁时,您会发现,这是一件永远没有终点的战斗。原因其实很简单,网络攻击永远不会结束,黑客和内部威胁可能会随时重新开始。不过也正是因为如此,网络安全组织和人员才有其长期存在的客观必要。

很多数组织都认为,当黑客入侵您的网络时,就会开始有数据泄露事件。但是实际上很久以前数据泄露就已经开始了,其中包括糟糕的安全行为习惯、错误的安全配置、对安全隐患的轻视、少得可怜的安全预算、以及对旧设备的依赖或没及时安装安全补丁等等。

网络安全事件发发生不见得是一件坏事,因为它会唤醒人们对安全的重视,并且是实实在在的安全意识学习。当发生安全事故后,相关人员都对信息安全感兴趣一段时间,这有助于人们吸取教训,找出安全弱点并采取补救行动。

不过,并非所有机构能真的获救,很多组织遭遇安全事故后,虽然能够及时恢复,但是经常不知道问题是如何发生的,邀请的网络安全渗透测试专家团队也给不出使人信服的答案。对此,昆明亭长朗然科技有限公司网络安全顾问董志军表示:技术人员喜欢孤立、片面地看安全事件本身,而不进行综合、全面的考虑,这固然是受职位的限制,更多的情况是对安全事件起因的不了解。网络安全攻击事件有一个完整的生命周期,虽然并非偶然的,但是也需要多种必要条件,比如该修复的安全补丁没有及时安装、该强化的安全配置却没有进行、错误的将配置文件放置于公开地点、通过网络或社交媒体发布了本该保密的信息……

在遭受例如品牌损毁、信誉丧失,以及销售放缓、客户流失的恶果之后,现在,安全团队知道必须将时间花在安全更新和部署新技术上,可能会要求资金不足的团队在六个月内执行一项为期三年的安全计划,当然欲速则不达,这通常是不可能的任务。

有效的网络安全植根于强大的组织文化,它重视一致且专注的安全实践和行动能力,治其表不难,难在治其本。要使网络安全战略发挥作用,需要制定全面的安全计划,包括技术上的安全控制措施,更需要管理安全以及人员安全。

当来自外部的黑客、病毒等无法利用网络层面的技术漏洞入侵时,便会开始利用管理与人员的漏洞。因此,安全预算不能仅仅花在购买新设备上,更需要考虑提升管理层以及全员的信息安全与保密意识。这不是技术问题,却是很严重的问题。不是花钱请技术高超的人员就能轻易解决的,需要时间来让人们在安全方面不再自大自满、充满警惕,更需要时间让人们摈弃不良的不安全的旧习惯,逐渐适应新的安全要求和提升对安全威胁的敏感度。

我总是和网络安全负责人员说,处理掉一起安全事故,不是结束,而是另一个新的开始。我们应该考虑,如何防止另一起安全事件再发呢?借机建立和提升信息安全管理体系,将信息安全纳为优先事项,投入必要的资金和资源,不仅仅是直接用于安全和保密的资源,不仅仅是为了满足合规的要求,更需要实际行动,比如强化网络安全管理组织,设立信息安全工作改进计划,制定网络安全可量化的指标,设置人员安全绩效考核,定期进行安全管理沟通等等。

建立信息安全意识计划往往是第一步行动,即如果没有完好科学的安全认知,就无法拥有良好的信息安全。如果没有良好的安全决策,就无法保护自己的组织。安全意识计划包括管理层和员工层。

管理层可以不懂具体的技术实现,但是如果没有基本的安全管理理念,不晓得安全原理,那可能迷失方向,瞎指挥的同时又怪下属们能力不足、工作不力,同时对如何管理风险的信念也是如此。

员工们如果没有基本的计算设备安全、信息数据安全保护理念,他们会随便使用计算机设备,主动引入病毒并成为黑客的带路人,甚至还会主动向外界泄露机密信息。

使安全成为整个组织的习惯和心态,从高管到组织的每个层面。这需要时间培育,需要资源配置,需要制度配合,需要管理加强,更需要意识培训。

最后,即使您今天没有安全预算,也要将所有这些内容纳入为期三年的安全计划。包括制定好信息安全管理策略、必要的安全规章制度,有效的安全沟通计划等等。在保护组织的品牌、销售和客户忠诚度方面,信息安全扮演着越来越重要的角色,这些都源于组织上下对信息安全的重视态度和认知能力。

网络安全是一起永无止境的战争,网络犯罪分子越来越狡猾,他们转向组织的脆弱点——缺乏安全意识的高管和员工,利用他们,搞一搞社工诈骗和网络钓鱼,比苦心研究网络系统的技术弱点要容易的多。因此,要想赢,就得做好打长期战争的准备,更要认识到这并非军人对入侵者的战争,而是一场发动全员的人民战争,并非信息安全团队对黑客和病毒的技术战争,而是全体职员对各类安全威胁的全线网络安全战争。

要记得未来的网络安全战争,我们必须要建立全面的网络安全防线,昆明亭长朗然科技有限公司推出了安全前线,旨在帮助各类型的组织机构构建强大的人员安全防线。我们的方法是强化对全员的安全意识教育,包括在线学习、安全测试等等,我们提供大量的课程素材资源,包括动画视频、互动游戏、电子课件、宣传图片等等,欢迎有兴趣和需要的客户联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

信息安全知识重要还是技能重要?

在过去十年里,网络信息安全产业得到蓬勃发展,我们看到整个行业已经成熟到被广泛接受的地步,即将安全的心态和习惯融入组织的文化中。尽管如此,我们仍然看到太多的安全领导者陷入“该做什么”以及“怎么做”的陷阱。

为了探寻信息安全管理之道,笔者从乙方换到乙方,再从乙方换到甲方,又从甲方换到甲方,旋而再从甲方换到乙方,经过一番职场“挪腾”,终于自己创立了专注于安全意识和行为改变的小事业,我可以向您保证这个行业没有什么深不可测的传奇人物,更没有振聋发聩的传奇理论,以及无比厉害的科技装备。

都是在国家登记注册的企业,都是在党领导和管治下的机构,都是爹妈生下的血肉之身,企业与企业之间,人与人之间的差别其实并不大。人们对安全“该做什么”以及“怎么做”的误解和纷争,终究逃不出所在的人脉圈子,以及所在企业和职位带来的认知限制,当然出于对自身利益的诠释与包装,不少“明白人”会故意对安全“真理”进行一定的扭曲。

对大多数甲方客户来讲,当面临乙方设备厂商与咨询服务商时,最典型的一项争议便是采购安全设备重要,还是加强安全制度管理重要?当甲方客户说要坚持对员工进行安全意识培训时,乙方不满意了,他们极力掩饰着内心的着急,表面上表示出不屑:安全的最高境界是透明的好像不存在,因此还是不要打扰用户的好,再说培训用户那事儿没点技术含量,没什么价值。这时候,甲方客户可不傻,当然尽管其对于安全培训的“技术含量”与“价值”的看法有差异,往往也不会失去基本的社交礼仪,毫不留情地给乙方厂商怼回去,而是委婉地推脱或谢绝。乙方厂商一看对方不感冒,暗暗后悔自己失言或太冒进了,不过,事已至此,也只能礼貌地遗憾地离场。

千万不要以为事情就此告一段落了,乙方厂商人员不愿甲方客户的这个培训需求“肥水流了外人田”,便找来自己以往的兄弟乙方培训服务人员,与之私下分享了这道好菜。乙方安全培训服务人员登门拜访甲方客户了,在简单寒暄之后,切入正题:是要培训安全知识,还是安全技能?一句话点中了甲方客户的要害,争议又出现了,不过这次争议不是在乙方,而在甲方内部。甲方内部的技术派,当然觉得安全技术至上,除了强化安全从业人员的技能之外,还应强化最终用户的技术能力,以应对各种如病毒和黑客等安全威胁;而甲方的管理派,往往并不是技术极客,觉得技术很重要,但更重要的是要让最终用户理解安全基本知识,进而遵守安全管理要求。

先让我们放下争执,安全意识培训是所有安全计划的必要组成部分,通常也是安全计划中最薄弱的环节之一,因为安全教育往往很难坚持进行,造成这种情况的原因有很多。比如培训计划不够充分,没有明确定义教育框架,或者开展的次数太少。无论原因是什么,安全意识失败都会导致网络信息安全漏洞。难怪首席安全官(CSO)、信息安全官(CISO)和其他IT决策者们都在积极寻找更有效的安全意识计划。

问题的根源可能不在于安全意识培训计划,而是您的员工不了解他们正在使用的业务信息所面临的安全威胁。我们都希望能够使用技术来解决安全问题,来节省人力和提升效率。对某些人如网络黑客来说,这简直是真理。他们喜欢深入研究各种软件和硬件,以使他们更容易识别出什么时候工作不正常或漏洞可能存在于何地。这种技术人员经常在IT或安全部门中不难找到。

但对于大多数企业来说,我们与科技的互动并不会超出实际的用途。没有那么多无聊的人去折腾各类信息系统,去发掘漏洞赢得赏金。不过,也有一些令人惊讶的可笑的事情,就是有不少用户竟然认为云计算“实际上是在天空中”、大数据就是一个接近无穷大的的数字、黑客和网络犯罪只存在于影视作品之中。这让网络安全与信息化领导们颇为惊讶。随着数字化转型的出现,强调业务技术意识以及安全意识培训变得更加重要和紧迫。随着物联网(IoT)在工作场所无处不在,人们必须了解它们如何既能使组织受益又增加网络和数据的风险。

显然,在科技如物联网技术进步的过程中,用户对物联网的认识严重不足,它是什么,它在网络上的位置,以及它所连接的一切。如果您的员工无法识别该基本信息,您必然会遭到基于物联网的网络攻击。我们要做的,不仅仅是上系统,上安全,更需要对用户进行科技与安全的知识科普。

安全意识培训应该教会员工如何识别潜在的威胁,防止或减轻网络事件。但是,如果您不了解您所保护的技术,则很难将安全培训付诸行动。这导致网络安全最佳实践漏洞,可能导致数据泄露、勒索软件攻击甚至共享特权访问信息。换句话说,如果您的用户不知道他们正在保护什么,那么保持安全是非常困难的。

当然了解技术的好处也会超越了安全性。当员工熟悉他们使用的技术时,他们的生产力和效率会提高。他们的求助呼声会下降,因为他们更擅长使用软件和硬件,不仅可以解决问题,还可以找出新的捷径。

在安全意识培训中添加业务技术意识培训将一举多得。员工将了解他们每天使用的业务工具以及网络安全行为如何影响技术的生产。当他们看到技术和安全性如何协同工作时,组织内的整体网络安全工作将得到改进,安全培训也将更具洞察力。

只要有人的地方就有江湖,就有网络安全威胁,不要以为使用人工智能安全技术就可以解决人类江湖中的纷争,原因在于“道高一尺、魔高一丈”,安全威胁永远在进化,人工智能永远处于研究学习的落后状态。

再有,所有新科技最终是要人来使用的,因此,不应该在安全意识培训活动中忽视掉技术部分,也不能假设所有员工都拥有相同的知识库。首席安全官、信息安全官和IT决策者应为组织内的每位员工制定基准,以了解他们知道什么以及他们需要知道什么。这可以直接纳入每个安全培训模块,问题与特定技术直接相关,也可以是根据他们的工作岗位、他们使用的科技工具以及每个员工如何使用它们的方式为特定部门设计简单调查问卷。

传统上安全教育一方面侧重于针对专业人员的技能教育,以及针对非专业人员的意识培训和行为指导。但是,如果用户不能真正了解应用程序或硬件的运行方式,就无法知道他们的行为是否会增加风险。让用户知晓关于云计算、大数据是什么以及它的安全性如何受到影响的基本知识,以及物联网有哪些设备以及物联网成为安全问题的原因,可以大大提高员工的安全意识和技术娴熟度。

所以,信息安全知识重要还是技能重要呢?它们是不能分家的,安全专业技术人员需要了解必要的管理和意识知识,而用户除了基本的安全常识之外,也还要掌握基础的技术能力,不仅是为了防止闹笑话,更是为了提升工作绩效与安全防范能力。

昆明亭长朗然科技有限公司帮助各类型的客户提升员工的安全素养,包括对员工进行安全知识和技能培训,我们的方法是创作量身定制的培训内容,以及使用领先的在线培训系统。欢迎有兴趣了解更多详情的客户,以及合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898