如何应对内部不满的以及离职的员工窃密

data-security-internal-threat

美国联邦调查局FBI及国土安全部DHS发言人称:许多员工正在利用云存储服务或其他互联网软件,远程接入公司网络,窃取商业机密和其他数据。在某些事件中,一些员工使用他们的权限去销毁或窃取数据,获得客户信息,以及使用客户帐户来进行欺诈。

FBI官员提醒人们:尽管企业投入了大量资源去应对外部威胁,但企业经理必须知道,对公司不满的内部员工有可能破坏网络系统,从而带来可能的损失。

实际上,我们可以看到,近年来,有不少文档安全和数据防泄露系统,会将公司内部的敏感文件进行加密存储,以防止员工人为外发或复制后带出。不少企业的IT经理们应该知晓这个系统,但是会什么仍然有大量的信息失窃呢?昆明亭长朗然科技有限公司信息安全管理顾问董志军表示:这要具体问题具体分析,不过大致可以分为两类:实施了数据安全防护系统的,和未实施数据安全防护系统的。

通常来讲,多数企业并没有足够的资源来实施复杂的数据安全保护系统,这里面不仅仅只是购买数据安全软硬件并进行安装配置的花费。亭长朗然公司董志军说:更多的资源消耗是将数据安全系统、重要信息数据、以及数据的用户们有机结合并且互动起来,否则,即使数据安全系统成功地安装了,可是关键数据就是进不去,用户不是说系统不好,就是消极抵抗。所以呢,对多数公司来讲,有没有安装配置数据防泄露系统,都面临同样的数据被窃取的问题。

如何把数据安全保护系统配置起来并真正用起来呢?工作重点并不在软件控制功能层面,毕竟这只是个辅助工具,问题的核心在人员,因为信息数据是死的,但操控信息数据的人却是活的。所以,很多数据安全保护系统的失败,根源在人,而非系统的功能特性。人的问题是最复杂的,到底有哪些人会抗拒数据安全保护系统呢?如何打消这些抗拒呢?其实,几乎所有的用户都可能出自私心,而抗拒数据安全保护系统。销售人员可能想自己留一份客户清单,技术人员可能想私自存储一些技术资料。这都是很自然很天性的,我们不能幻想员工们都是大公无私的雷锋。然而企业是支付了员工薪水的,这些重要信息数据又是企业的核心竞争力组成部分,企业必须保护好这些数据,防止员工私自取走,用于员工在新公司的工作,甚至拿来对付企业。

那要如何做呢?实际上,很多知名的跨国企业并没有部署和实施复杂的员工上网行为管理和文档安全管理系统,员工也能接触到大量的公司重要信息数据,但是他们并没有拿来进行非法利用,比如卖给竞争者、另起炉灶甚至来勒索公司进而获得经济利益。您可能觉得跨国公司的员工都很有钱,没有必要冒险。其实,钱多少只是一方面,但是并不起决定性的作用,最重要的是职业道德准则、信息安全意识和守法合规观念在起作用。

国内不少公司缺乏员工职业道德建设,让商业贿赂和潜规则成为常态,这不仅增加了交易的成本,也在危害我们的市场公平竞争环境。为什么有员工会参与这些不法活动呢?并不是简单的利益问题,而是从内心深处,他们的邪恶观念占了上风。中央已经认识到这个严重的问题,在党政机关发起了“正风运动”,做企业的,更应该像华为公司那样,向商业贪腐宣战!

要保障“人心正”,职业道德建设是起点,法律惩戒手段是保障,而信息安全意识沟通是促进剂。在保障数据安全防泄露方面,可围绕信息安全意识开始,因为信息安全意识的提升,不仅可以帮助企业员工树正气,更能防范恶意威胁的入侵。当员工们知晓了并且认同了不应该拿公司的信息数据来谋私利时、当员工们拥有了防范外来网络安全威胁如商业间谍、信息侦探、网络黑客、来意软件和不良竞争者诱惑的基本能力时,数据安全保护工具自然而然会被理解和接受。

即使员工可能会对公司的某方面心怀不满,即使有离职的员工想获得公司的信息,他们应该知道分寸,知道哪些行为是可接受的,哪些行为的后果是很严重的。如果他们不知道,那就是公司在信息安全意识教育方面的不足,当公司在信息安全管理方面的魅力、影响力和威慑力不足之时,内部人员肯定会窃取信息资料来获取私利。

说到底,不要怪员工们的本性好坏,通过信息安全意识培养,把“坏人”变成“好人”才是成功的公司应该做的。昆明亭长朗然科技有限公司,帮助客户解决信息安全管理中“人员”的安全问题,欢迎和我们联系洽谈业务合作,在线体验我们的信息安全意识教程,以及公开的信息安全意识资源库。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

通过开展“安全周”活动促进员工安全意识

几十年的和平环境让人们的安全防范意识日渐淡漠,而在个人隐私数据的保护上,大量的数据泄露事故使网民们逐渐开始觉悟。

在企业安全防范上呢?我们相信各类公司的目标通常都是在向客户提供价值的同时获得利润,而现代企业要实现这目标,借助信息化几乎成了必选之路,信息化带来便利和高效的同时,也会带来安全隐患,信息系统和信息数据可能被摧毁或窃取,商业价值和利润更可能被挤压或掠夺。

防范安全事故已经远不仅仅是安全保卫部门或信息技术部门的职责,为了实施破坏或窃取机密,公司的所有员工、供应链、合作伙伴甚至客户都可能成为攻击者利用的对象,坚定的攻击者或称可持续性威胁更是不会放过公司的任何一项安全弱点。

因此,公司需要这些人员积极参与到信息安全事务中来,需要他们了解自己可能成为攻击者的目标或桥梁,进一步了解自己在公司成功中所担负的安全职责,以及掌握防范攻击的基本知识和保护公司信息安全的基础技能。

要做到上述这些,无非需要公司的安全负责团队加强同最终用户的沟通,当然现代组织中的沟通方式有很多,最终用户可能也各有偏好,所以我们建议各公司能交叉并用各类沟通方式或沟通渠道。

我们今天主要讨论通过信息安全周这种方式来加强与最终用户的安全意识沟通,相比周而言,更小的时间范围内进行安全意识推进可能属于“安全日”,而更大一些的则是“安全月”。

“安全日”时间短,可以灌输的安全话题也有限,不过一年可以有多个安全日,为每个安全日找出重点的安全话题,如“隐私保护日”,“信息安全日”,“计算机安全日”,“互联网安全日”,“无线安全日”,“社交网络安全日”等等,公司安全沟通负责人员也可灵活地根据安全状态,比如将比较严峻的急需沟通的安全培训内容纳入到安全日活动中。

“安全月”通常一年进行一次即可,“安全月”最好能避开忙碌的季度末或年度末,因为有较长的时间,所以安全话题可以涵盖几乎公司安全相关的所有内容。“安全月”活动能使最终用户获得较全面的安全防范知识体系,通常也能获得较高的员工的参与率,问题是成本过高,两次“安全月”之间的间隔时间过长。

而“安全周”正好处于“安全日”和“安全月”两者之间,可以取两者之长,而弃两者之短,所以“安全周”成为大型跨国公司推进信息安全沟通的首先渠道。

如何举办一场成功的“信息安全周”活动呢?重要的是在策划,公司内外相关的员工都有了解安全基础、进而保护自身以及公司安全的需求和意愿,这是非常积极的信号,“信息安全周”安全意识推广活动的策划人员要牢记一项宗旨,就是满足这些相关用户对信息安全的求知欲望。我们提出几点建议供分享:

1.安排丰富多彩的安全意识促进节目,挂几个安全展板,摆几个桌子派几名员工向参观者发放安全培训相关资料、签字并领取小礼品是很老的套路了,这些套路都会有一些效果,但是现今的参观者有太多更好玩儿的东西,他们并不会太主动关注这种落后的形式想表达的内容。在节目的策划方面,无疑应当向娱乐行业学习,但是也不要太离谱,比如搞什么容易引起争议的信息安全主题演唱会,不过倒是可以弄些表演类的信息安全小品如安全意识情景剧等等,安全互动游戏如信息安全挑战赛等等。

2.开展评选活动,除了对各节目评选之外,也让各部门派代表,展示本部门的安全精神风貌和安全操作实践,由各部门管理层代表及安全负责人员组成的评选专家进行点评,即能调动员工层的积极性,又能满足各部门的总监经理们的求胜心理,同时相信他们也会从这活动中了解信息安全管理的重要性,并在部门工作中支持和倡导积极的安全文化。

3.在企业安全网站中同步发起虚拟的安全意识促进活动,使用微博、博客等方式转播实体活动盛况,加强与用户的的即时通讯及网上互动沟通,推广安全意识的电子学习内容和资源,同步开展相关安全课题的在线培训及沟通。

4.设置能促进安全意识的相关奖品,当然是公司未标配的需要少许花费的,比如防偷看屏幕的安全视频屏、安全意识桌面小饰物如印有安全标识和联系方式的鼠标垫、安全小台历、电脑锁、加密U盘、USB指纹识别器、家用IP摄像头、智能手机安全软件等等,还有,更不能忘了为优秀的安全部门、团队和个人颁发奖状进行激励。

最后,在同最终用户的互动沟通的“安全周”活动中,举办的安全负责人也可以收获很多,重要的是总结相关经验,通过互动,能够找到公司安全管理中的弱点,及时修复这些安全弱点很必要,此外互动也能帮忙找到“安全周”意识培训活动可以改进的地方,为后续的安全工作以指导,相关的安全活动记录也应该保存,企业安全网站也应进行相关安全培训内容的存档,以便日后向安全监管机构或其它关心公司安全意识培训的其它组织展示和证明。