携带个人设备时代的数据安全

cook-ipad-mini2
后PC时代,消费电子流行,携带个人设备 Bring Your Own Devvice (BYOD) 来势汹汹,不少员工开始使用自己的智能手机或平板电脑用于工作场所,当然在办公室之外更是如此。

设备是员工们的私人资产,却传输、处理和存储了公司(本文定义包含其它非商业的组织机构)的重要信息数据,这的确带来一些信息安全方面的挑战。不少大型组织机构的信息安全管理负责人已经开始严肃对待这件事情,至少我们可以有两方面着手行动:一、从政策和管理层面加强监管,传统的设备及应用的登记、批准、审核等一套标准化的作业流程逐渐被开发、发布以及落实。二、从技术控管方面层面评估、开发或采用适当的移动设备管理 MDM 解决方案。

其实,除了上面两招之外,我们要弄清楚的一个事实和趋势是:借用于云计算的威力,移动计算时代的信息安全威胁已经不能依靠传统的中央控管和边界安全了。这是怎么回事呢?我们已经无法像十年前那样,将信息数据、计算设备和终端用户固定在办公室或大院内。

聪明的信息安全管理团队开始从业务信息安全方面着手,在保障IT基础架构安全之外,紧紧抓住海量的终端数据、智能设备及移动用户,这虽然算不上什么创新,但无疑是一个大的关注角度和焦点的变换。

终端本身即包含设备、信息,也包含使用以及操控它们的最终用户,既然这些终端能逃出中央控管和边界保护,那为什么不让最终用户担负起终端最基本的信息安全保护职责呢?也正是这些最终用户,才和业务成功息息相关。

搞信息安全管理的,在后台埋头苦干,让基础架构固若金汤,也难让业务方面的经理和总监大佬们理解和认可。昆明亭长朗然科技有限公司移动安全观察员James Dong提议:要让信息安全真正体现出价值,要让信息安全与业务战略、目标及需求保持一致,要转换思路和方法,一方面从关注信息系统的安全转换到关注业务信息的保障,特别是业务流程所严重依赖的信息流的安全,除了在信息系统后台的那些不为非IT人士所理解的数据库存储、中间件应用之外,最多的就是用户终端。

想在业务信息安全方面有所作为,被负责业务的总监经理们理解和认可,焦点应该转向用户终端的信息数据安全。终端安全显然不再是个人电脑的杀毒以及安装个人防火墙这么单纯——这些毕竟还是很简单的技术活,要从最终用户所知晓和处理的业务流程和数据入手。

还有一个重要的是我们还需要适当的“秀”,我们谈论的“秀”不是贬义词,而是在展示信息安全对业务成功的价值,当然目的还是获得高管们对信息安全工作的理解和支持。高管们了解员工们的工作与信息安全的关系,信息安全需要高层的支持,所以也需要高层参与进来“秀”给全公司、客户甚至供应链,以表公司高层对信息安全工作的重视和承诺。

回到BYOD,信息安全管理团队最应该做的,是拉上高层赞助者来向全体员工“秀”一“秀”移动信息安全的重要性、最终用户应该注意的安全事项、并且展示出保护移动信息安全的一些最佳实践。这样,高层领导即在移动设备信息安全方面做了表率,又显示了工作方面的尽职尽责,还让信息安全沟通工作变得更加顺滑,真是一举多得!

在技术控管方案上面即使花费大量资源,也很难赶上移动设备更新换代的速度,手机厂商使用浑身解数来增加新功能,可穿戴式计算设备蓄势待发,AI设备蜂拥而至……此外,在安全控管技术上追随的步伐也难赶上破解者的速度,而从最终用户的移动设备信息安全意识爬起,则能以不变应万变。

携带个人设备时代,我们可以有多种应对方案,最有效、最轻松、也最能彰显成绩的,无非强化对最终用户进行信息安全意识教育。昆明亭长朗然科技有限公司设计和制作了简单易用的移动设备安全使用培训课程和动画视频,可供有需要的客户参考、借鉴和购买使用。除了移动计算安全之外,我们亦有数百部其它安全意识动画视频和交互式游戏培训课件,欢迎有需要的安全宣教负责人员和我们联系,也欢迎有兴趣有渠道的合作伙伴加入我们。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

信息安全意识计划的关键成功因素

现在几乎所有的信息安全管理负责人都认识到只依赖技术方面的安全控管是不足够的,与此同时,在流程和人员方面的安全控管越来越受到信息安全总监和经理们的青睐,尤其是针对全体员工的安全意识培训计划逐渐成为信息安全管理工作的重点。

由于信息安全意识教育是比较“软性”的安全控管措施,也没有相关的国际国内标准可以遵循,所以通常被认为比较难以衡量安全意识培训计划的成效。实际上多数组织在进行一两次大规模的安全意识培训活动之后,发现整体安全状况的改进并不十分理想。

为什么有些安全意识培训活动并达到所期望的效果呢?昆明亭长朗然科技有限公司的安全意识培训顾问Bob Xue说:当我们与多数安全意识培训计划负责人进行接触时,都会获得信息安全意识教育至关重要的积极反馈,然而谈论到安全意识培训活动成功的经验和失败的教训时,会强烈感知到客户的迷茫和无力。

在分析了林林总总的原因之后,亭长朗然公司的Bob总结了几条成功实施信息安全意识培训计划的关键要素,并且分享如下:

1.获得最高层的支持,信息安全管理中有Top Down Approach“至上而下”方法论,信息科技、安保中心、人力资源、员工培训等部门的负责人会认识到信息安全意识教育的重要性,但是并不能代表C-level的高管们也有同样的认识。获得高管们支持的办法并非需要太多的说服工作,但是要注意让信息安全意识计划的学员们知道高层对信息安全的重视,可以邀请一些高管,让他们现身对全体员工谈一谈信息安全,将高层要传达的安全讯息录制成安全意识教育视频。这种安全意识教育视频录制活动的好处是让高管们获得了重视信息安全、工作尽职尽责的美誉,中间经理层和员工们也更能接受最高管理层传递的信息安全理念。有了最高层的支持,就如同拿到了在组织范围内进行信息安全意识教育的“尚方宝剑”,不需要花费太多动员工作在中层经理主管和基层员工们身上。

2.安全意识教育计划和安全意识培训内容要结合实际的工作环境,每家组织都是独特的,不仅表现在组织架构和安全文化方面,就信息安全管理方面而言,每家组织需要保护的关键信息资产也各不相同,所使用的信息系统、工作流程和安全策略也各有差异。在制定安全意识教育方案时,一定要考虑到业务环境和信息环境,通用的安全意识教程可供参考,但是不能有太大的期望,毕竟不够定制化的服务更加贴身,更符合实际。

3.明确信息安全责任,讲一大堆信息安全对组织重要性的大道理往往会令基层员工有“听天书”的感觉。信息安全关乎所有人的职责,关键要通过信息安全意识培训计划,让全体员工了解到自身所要担负的安全角色和职责,不同部门和工种的员工的安全角色可能会有稍许差别,管理层的安全责任更加重大。安全意识教程要注意覆盖到所有部门和工种的员工,再结合起员工们的日常安全作业流程,简单而直接地告知哪些行为可以接受,哪些行为不可接受,方可让安全方针政策得到员工们的理解、消化和落实。

4.鼓励员工们积极向上的安全行为,让全体员工了解和履行安全职责可以保护自身范围内和部门级别的信息安全,同时组织范围内的安全环境也还需要全体员工参加共建。倡导正确的安全理念和积极向上的安全文化,并不是玩虚的,信息安全管理负责人需要拿出部门资源来引导员工积极参与信息安全策略和作业流程的建立和优化,更需要奖励为组织的整体安全文化建设做出杰出贡献的个人或部门,比如对发现业务流程或信息系统安全漏洞的员工给予物质奖励;对积极正确响应安全事故、帮助组织降低业务安全风险的员工进行精神表彰等等。积极向上的安全文化不仅是安全意识计划的追求目标之一,反过来也会促进安全意识计划的成功实施。

5.向员工们提供足够的安全支持资源,安全意识教育不应该只是搞个课堂培训、张贴一些标语海报、发放些信息安全意识传单。大部分的员工还是想在遇到信息安全问题的时候能够有正确的表现,只是有时确实不知道碰到问题时该如何处理。这就需要信息安全管理负责人能够提供尽可能多的资源给到员工们,设置组织内部“信息安全网站”是个不错的方法,可以将组织相关的信息安全策略、标准文档、安全流程指南,常见问题等等放置到信息安全内部网站上,供员工们在有疑问时自助查询。当然,还应该放置一些安全教程资源内容以及信息安全部门或团队的联系方式,以便有兴趣、需求或疑问的员工能随时学习或咨询。

6.采用有趣的互动性的安全意识教程,命令与控制型的单向灌输的教育方式已经不适合多数现代组织,一成不变的安全意识沟通方式也难吸引员工们的眼球。员工安全意识培训负责人需要不时换些花招,不时来一些安全意识电子期刊、一段安全培训卡通视频、一小段安全漫画、一个安全疑问及解答等等可能并不足够,因为缺乏互动。一个在线安全意识互动活动、一部在线安全意识培训课程、数十道安全意识测试题、三五个安全场景挑战等方式会让员工在参与过程中进行思考。只有他们进行了信息安全相关的“思考”之后,才会Know Why“了解为什么”在信息安全方面需要这样做,而不仅仅是Know How,该如何做。也只有员工们深刻理解了“为什么”之后,他们才能在各自独特的工作环境之内应用正确的安全理念。

简言之,那些只使用些酷眩的海报、月历和鼠标垫那些小玩艺儿便可进行信息安全意识教育的期望必定变成失望。想要成功进行信息安全意识培训计划,除了坚持不断执行上述几点关键要素之外,还是不断坚持和循环执行,这正呼应了信息安全管理体系ISMS的导入方法,即将PDCA持续改进的理念和方法应用于信息安全意识教育计划之中。

昆明亭长朗然科技公司不仅提供安全意识培训计划方面的咨询顾问服务,更能提供安全意识培训教程的量身定制设计、开发和制作。我们的专业信息安全意识推广经验和互动式的安全意识教程模板,可以为客户的信息安全意识计划带来大量的成功因子,欢迎与我们联系,即使是随便聊一聊信息安全管理相关的话题也会让双方受益。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898