为电信运营商提供信息安全意识课件

中国电信股份有限公司江西分公司,系在境外上市的中国电信股份有限公司下设的省级分公司,属大型骨干国有通信企业,主要经营移动通信、宽带互联网接入、信息化应用及固定电话等综合信息服务,是江西全省最大的LTE-FDD4G、光纤宽带、物联网、IPTV、固定电话等运营商,承担普遍服务、党政专网、应急、战备和抗洪救灾通信保障重任。

中国电信,这个名字对中国人来讲几乎是无人不晓,显然不需要再多介绍。基础电信运营商对信息安全的需求主要在网络基础设施安全和业务支撑应用系统安全两个方面,经过多年的发展,网络基础设施安全相关的管理体系已经非常成熟和稳定,当然,也不能不排除挖土机工人施工时意外切断光缆、机房人员抽烟引起火警造成停电断网、工程师敲错命令错误配置了路由器等等这种人为因素造成的安全事故。电信行业的业务支撑应用系统数量庞大而复杂,有些部署于内部局域网络环境中,供内部工作人员使用;有些业务系统部署于公共互联网之上,供工作人员、客户、用户使用,当然也面临着来自互联网的各类威胁,这些应用系统的可靠性和信息数据的机密性对于电信公司的日常运营至关重要。在电信市场越来越激烈的竞争中,很多运营商认识到新的业务发展空间在于增值服务,保障用户的信息安全是改善服务质量、提升用户满意度、吸引和保留用户的必要条件。加强信息安全管理制度建设,提升员工们的信息安全意识,增强员工们参与信息安全工作的责任感和积极性,通过这些方式方能落实安全作业流程,防范安全事件于未然。

江西分公司的信息安全培训负责人员联系到我司(昆明亭长朗然科技有限公司),表明其安全意识需求,希望我司能够帮助其提高全省工作人员的信息安全意识和防护技能。在了解了该省公司的安全意识培训目标、学员分布情况和学习环境之后,我司建议其使用在线电子学习的方案,这一点正好与客户的想法不谋而合。在提供了一整套基于案例的动画课程给客户预览之后,客户并不满意,表示知识层面还缺乏一些。于是我们便添加了一些信息安全的重要性和安全理论常识等基础知识讲解视频,讲课环境使用“中国电信”的企业元素,客户再一看之后,表示对此非常满意。可是新的问题又出现了,就是客户内部建有“中国电信网上大学”的学习管理系统,该系统平台对我司提供的SCORM课件包并不支持。无奈,我们与客户信息安全部门、企业网络大学部门的人员就此进行会商,最后决定使用最兼容的方式——课程素材资源,也就是将动画视频文件上传到培训平台的课程之中,在课程之后,手工添加测试题。这种方式无疑是最稳当的,客户在省公司信息安全部门测试之后,表示学习过程很顺利,相关功能都很正常,便开始在全省范围内进行推广。

我们非常高兴为中国电信省级公司提供信息安全意识课件。提到中国电信,很多业内人员觉得应该是比较大的订单,其实该订单金额非常小,其原因并非我司为了赚一个成功案例而故意低价,而是我司为该产品定了一个入门的价格,我们不能因为中国电信是有钱的大公司而提高价格,那样对客户不公平。后续有其他省份的电信公司也找到我司,或通过合作伙伴找到我司,我们也都是以常规的有竞争力的价格与其达成业务交易的。

说到大型央企,让我们说些题外话,很多人会认为那里的员工们福利好,其实并不完全对,和私营、外资等比起来,国企领导和员工们的收入只能算社会的中位数,不过他们如果不犯大的错,工作比较稳定比较受羡慕倒是公认的。说到犯错,在信息安全方面犯错的原因无非有三点:一、无知;二、明知故犯;三、大意。

一、无知。很多工作人员对于信息安全工作的认知不够,不能意识到网络安全与信息保密的重要性,进而在日常工作中往往凭借自己的主观臆想来进行工作,出现安全事故之后,方才知晓自己的错误,只能后悔平时没有用心学习。

二、明知故犯。有些人貌似“明知故犯”,明明知晓安全要求,却故意违反,可能出于私心私利,可能是嫌安全工作比较麻烦而逃避安全措施,严格上讲这种“明知故犯”其实还是“无知”的表现之一,他们对信息安全的认识不正确,在违反安全事故受到惩戒之后,往往会表现出悔恨和自责。当然,仍然会有极少数顽固不化的表示不满和抵制态度的。

三、大意。认知和态度共同决定行为,很多人员在工作中不具有“严谨、认真”的安全态度,他们对待安全要求一点都不用心,在各种工作细节中留下信息安全隐患,给病毒、入侵者等威胁提供机会,等出现了安全事故,导致公司和个人都受到损失,方才后悔不及,他们对网络安全与信息保密的重视是建立在惨重代价的基础上的,不过这种“大意”从某种意义上讲,也是对信息安全重要性“无知”的表现。

总之,对工作人员进行信息安全培训,培养他们的安全保密意识、提升他们的安全责任感,对于保护组织机构的信息安全,防止人为因素造成的信息安全事件,十分的迫切和必要。

如何改变用户的安全行为

安全培训和意识活动经常无法获得有效的衡量,也不能以预期的方式改变用户的行为,从而给用户和组织带来风险。对此,昆明亭长朗然科技有限公司安全意识研究专员董志军说:信息安全是一门抽象且不直观的学科,非信息技术或安全管理的员工们通常会对其感到沮丧和困惑。通过说教的方式对受众们进行培训,不管课堂气氛如何,讲师水平高低,都无法引起受众们的积极性,进而让人们以正确的方式处理信息。

通常来讲,信息安全管理体系方法论强调应该培训员工们遵守信息安全相关的政策和程序,以便在实际工作中面临安全问题或状况时做出合理的选择和行动。从理论方法上讲,这似乎无懈可击,然而实际上,要让人们领会安全政策的精神,通过反复的宣教和耐心的讲解,并不难实现;让人们严格遵守安全程序中的要求,通过强力的监管和检查,也可以达到。然而,这种信息安全“制度化”管理在大多数机构都还没能落地和普及,说到底,人类不是机器,忘记、忽略、逃避、越过安全政策精神和程序要求的诱因非常强大,这种情景非常普遍。此外,还有一个问题是这些“制度化”管理在某些攻击情景下并不足够,例如利用人性弱点发起入侵是简单的方法,精心策划的有针对性的鱼叉式网络钓鱼活动几乎可以获得100%的成功。

那么,有什么解决办法呢?虽然,信息安全意识是一门综合性复杂的学科,但是,从社会治理的角度讲,再复杂的问题,也都有应对之策。一种比较好的方案便是经常模拟各种入侵测试,使用精心设计的安全渗透游戏,来建立受众的心理防线。比如,为应对桌面清理方面的安全问题,可以随机让某一团队扮演信息窃贼的角色,对其他团队的桌面进行现场入侵和信息搜集。再比如,使用网络钓鱼模拟测试,对用户们进行大规模的社交工程攻击,看哪些用户能够识别并正确响应。这样,当用户承受压力时,就会养成强大的安全习惯。

要让用户们承担起就有的信息资产保护责任,不让其有任何忽略安全基本要求的借口,就需要在知识层面对其进行安全强化,常规的安全意识宣贯通常可以让用户们获得必要的培训。同时,要让用户们付诸安全防范行动,需要提升其对安全问题的敏感性,这就需要实战经验或锻炼。通常来讲,遭遇一次安全事故给人们的安全敏感性提升,强于十次的宣教活动,不过,安全事故的成本过高,通常难以承受。因此,使用低成本的模拟实战训练,是提升用户对安全敏感性的最佳方法。这个道理就如同模拟的军事战争演习和消防安全演练一样。

模拟安全入侵不仅能够有助于防范来自外部的威胁,同样适合防范内部威胁。内部威胁被认为最难防范而且杀伤力巨大,然而内部人员也最清楚内部的弱点。通过攻防演练,鼓励用户们利用内部弱点,不仅能够发现这些安全隐患,及时采取修补措施,也可以让用户们更深切地认识到内部威胁可能带来的危害,进而更加深入理解和认真遵守相关的安全控管措施。

总之,要改变用户们的安全行为,需要安全意识知识能力、安全态度、责任心、积极性、敏感度以及细心度等多方面的要素有机结合。组织在信息安全方面的成功越来越依赖终端用户,看到这一点,昆明亭长朗然科技有限公司在不断创作信息安全知识培训课程资源的同时,也不断为客户提供安全意识宣教活动和计划方面的服务和支持,以帮助客户建立强大的信息安全意识文化,以及稳固的人员安全防线。欢迎有兴趣了解更多的客户及合作伙伴联系我们,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898