漫谈信息安全风险意识

“合规运营只是信息安全的驱动力之一。”国家互联网信息办公室人事局一名不愿透露姓名的工作人员指出:“使用基于风险管理的方法来推动工作,才是将信息安全与公司治理及商业战略很好结合起来的不二法门。”

让我们来谈谈风险,导出不穷的信息安全事件,似乎不断提醒着人们,互联网不安全。同样,在公司范围内,安全管理团队也经常将风险挂在嘴边,不仅仅是赶时髦,而是在使用科学的方法,来平衡风险与收益,平衡安全与效率。

信息安全事件的层出不穷的背后真正原因是什么?

互联网发展迅猛,对传统商业模式、生活方式带来了彻底的改变,在巨大的挑战面前,我们很多组织都在不断探究着新的商业模式,以期借助灵活的商业模式和快速多变的运营方式,发现新的业务增长点、提高效率和提升竞争力。昆明亭长朗然科技有限公司信息安全咨询师董志军指出:在这个过程中,新的产品、新的服务会不断推出,风险当然也随之而来。风险管理实践的滞后,是信息安全事件导出不穷的根本原因之一。

企业应如何建立健全信息安全管理体系呢?

对于不同类型的组织机构,建立健全信息安全管理体系的方法是通用的,但是亦要考虑到合规因素。因为这不仅仅是一个市场的力量,比如一家国有控股集团与一家外企,在方法论上是类似的,但是在管理体系模型和框架的选择上,可以有不同的风险偏好。通常来讲,国企偏好使用等级保护准则,而外企偏好使用ISO等国际标准。

如何有效管理和降低安全风险呢?

关于如何识别、评估和应对安全风险,其实不用我来多说。董志军笑称:做信息安全管理工作的如果连这点基础理论都不了解,那真是混混了。关键的问题并不在于您懂不懂风险管理,而在于实践。与商业目标结合起来,尽我们的努力,使信息安全不再是商业拓展的绊脚石,而是促进商业的护佑队。

说到底,在参与新项目、新事业的过程中,我们要尽量避免拒绝任何事情,并把所有的事情作为基于风险的决定。这样相关的利益相关者才能根据我们给他们的信息做出实际决策,而不是他们期待我们批准或不予批准。这样,我们所持有的风险观点都保持不变,但是他们对风险的态度会因业务而有所不同。

对风险的应对,无非就是转移、接受、消除和降低,投资信息安全控制措施,来降低风险,显然是最为常见的做法。切记,纯技术不能解决风险问题,工作程序或流程亦不可少,另外,人永远是风险控制中的核心环节。如果人员缺乏有效的风险管理意识和思维,将会导致业务模式设计、系统架构和运营管理等方面从源头上就失去前瞻性考量,造成后期不断暴露出安全漏洞和风险。

如何让商业用户拥有风险意识?

在谈论商业目标和风险控管措施的投入产出之时,我们不仅仅要考虑到应该部署的软、硬件产品和解决方案,也应该知道如何通过投资于人员的风险意识来获得安全回报。董志军指出:在公司全体职员中建立风险意识和风险管理职责,是成本最低且最有效的风险管理措施。

风险意识是与人们的日常生活和工作息息相关的东西。美国哲学家和教育家杜威说:教育应该以生活为目的,在生活的情境里,透过生活去达成。自然,在日常生活和工作中来强化用户们的信息安全风险意识,是最为恰当的场所和做法。

对我们来说,对职场人员进行风险意识教育,非常重要的方法就是分享经验和讲故事。身边人的经验和故事,往往能够引起人们的共鸣,恰当使用这种方式,会让人们永远难以忘记。当然,讲故事和分享经验不仅需要有一个好的口才,更需要能够灵活把握受众的心理特点。

另外一种选择则是使用对话型或故事案例型的动画视频,权威调查表明,那种视觉的冲击、幽默的对话片断,会引发人们大笑,精心勾画的故事片,亦能让受众久久难以忘却,继而沉思信息安全和风险问题。

结语

信息安全事件影响的不只是业务运营的持续性和效率,更有财务上的损失以及声誉上的损害,进一步将影响到客户的安全感和对公司的信心。在信息安全是公司治理的一部分,应该使用风险管理的思维。不管是对商业决策层、安全管理层,还是普通职员,都应该拥有一定的信息安全风险意识。

员工的风险意识和思维,影响风险管理的成败与否。我们必须提高全员的信息安全风险意识和认知,将风险管理的重要性提升到公司生死存亡的高度。使用分享经验和讲故事的方法,借助对话型或故事案例型的动画视频,是提升员工的信息安全风险意识的好方法。

昆明亭长朗然科技有限公司专注于提升人员的信息安全与风险防范意识,我们推出了大量的对话型和故事型信息安全动画视频,欢迎有需要的或有兴趣的朋友联系我们,洽谈合作。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

信息安全管理无新招

近年来,针对各类型机构,不法分子实施了大量的网络攻击,包括身份盗窃和传播破坏性恶意软件,这些攻击带来了严重的风险。犯罪分子通过窃取用户名、密码和电子邮箱,并使用该用户身份标识对系统进行身份验证或窃取系统访问权限。每种系统权限的失窃都会带来不同的风险,从利用账户信息进行进一步的商业财务欺诈、知识产权等敏感信息盗窃,到使用员工身份访问内部系统进行系统破坏或修改、或对机构的内部数据进行篡改或损毁。对此,昆明亭长朗然科技有限公司网络安全研究员董志军称:其实,我们从大量安全事件的调查响应情况来看,追查到底,类似机密信息失窃、钱财被骗走等等的根本原因往往都是账户被黑客入侵了,或者系统由于感染了病毒、木马等恶意软件而被黑客远程操控了。当然,我们不排除某些系统在设计和开发方面存在安全弱点,被技艺高超的黑客发现而利用。不过,由于所谓的“零日漏洞”所造成的安全事故其实非常少,大部分由于系统软件或应用程序的安全弱点所造成的安全事故,还是由于管理员或用户们没有及时安装安全更新(补丁)的原因。

因此,各类型的组织机构需要使用科学的技术方法,从而减轻各种信息技术风险,这些技术包括持续的信息安全风险评估、安全监控、定期对关键系统的控制措施实施测试、以及为员工提供安全意识和培训计划。

传统上,组织机构依靠IT专家来专门处理网络安全问题,不过这个“技术保障安全”的时代已经结束,在新时期,网络安全上升到管理层面,管理层必须采取必要的措施,以确保在网络攻击后迅速恢复、重启和维护机构的运营。

那么,该如何减轻风险?董志军表示:组织机构应设计多层安全控制措施,以建立多道安全防线,并考虑诸如下列的行动步骤:

信息安全风险评估。组织机构应该持续进行安全性的评估,以应对新出现的和不断发展的威胁。识别、确定、分级并评估关键系统的风险,重点在于识别出包括对各种控制系统以及其他安全和防欺诈措施的应用程序的威胁。第三方服务提供商也应接受对其安全控制措施的定期测试,并有责任和义务在出现安全问题时提交安全事件报告。

安全监控、预防和风险处置。组织机构应首先建立基准环境,以使其能够检测异常行为,并监视防护和检测系统,以及随后的防火墙访问控制系统。同时,还应根据需要进行渗透测试和漏洞扫描,并迅速管理漏洞。

访问权限管理控制。为了降低风险,组织机构应限制特权用户账号的数量,并定期进行审核以确保访问权限适合工作职能的需要。同时,应该为不活动的账号建立严格的到期期限,并为基于Web的网络应用设立多因素协议身份验证规则。此外,提供用于远程访问系统的安全连接并设置默认密码的修改策略和密码的使用期限策略也将有所帮助。

关键系统的控制。组织机构应定期检查和测试关键系统的适当控制措施(例如访问控制、职责分离和欺诈检测系统),并在必要时将结果报告给高级管理层和董事会。传输和存储中的数据都应进行加密,并且在超过尝试次数阈值后限制并锁定对关键系统的登录。

安全意识和培训。在整个组织机构范围内,进行定期的和强制性的信息安全意识培训,包括如何识别和防止成功的网络钓鱼企图。要让员工们理解并接受信息安全要求,需确保安全意识培训能够反映员工们的安全角色和职责。

参与安全情报信息共享。由于威胁和手法可能会快速变化,因此参加诸如安全前线之类的博客、论坛、公众号等威胁情报发布渠道,组织机构可以提高识别攻击手法并成功缓解新型网络攻击的能力。

在此要补充声明,组织机构应特别注意破坏性恶意软件的危害,员工下载附件、连接外部驱动器或访问受感染的网站都可能会将破坏性恶意软件引入系统。组织机构的管理人员应维持足够的业务连续性计划流程,以确保在涉及破坏性恶意软件的网络攻击后,组织机构的业务能够快速恢复、重启和维护。

如果组织机构或其关键服务提供商成为此类网络攻击的受害者,则组织机构应制定适当的流程来恢复数据和业务运营,并解决网络功能重建和数据恢复的问题。这应该包括保护离线数据备份不受破坏性恶意软件攻击的能力。

总之,数十年来,尽管信息技术自身不断演变并带来了各种新的变化,但是信息安全管理手法无甚新招。尽管如此,仍然有不少信息安全人员以及管理层对这些知之甚少,所以有必要再次回顾这些信息安全管理的科学方法,从风险管理的角度实施关键的安全管控措施。话说回来,对于很多网络安全专业人员来讲,动动嘴皮容易,道理也很容易懂,然而,真正能做好安全管理工作落实的,却总是那么的稀少。如果您对本文所倡导的信息安全科学管理方法有意见或建议,欢迎不要客气地联系我们。如果您有安全意识和培训方面的需求或想法,更欢迎您联系我们,洽谈业务合作机会。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898