必须教会员工的三项安全技术

在办公室里转悠一下,您会发现大部分人在电脑面前忙忙碌碌。当然如果您的公司有远程工作的,您可以想像出员工们在家里、在路上、在酒店、在客户、供应商或合作伙伴场所工作的情形——他们手持笔记本电脑、平板设备或智能手机,在展示、处理或传输着重要的信息。

不管您是否意识到这些,事实是员工们而并非仅仅是安全团队在保护着公司应对着诸如黑客攻击之类的信息安全事件。

您和您的IT安全专业团队可以配备最领先的安全创新科技,但是如果您公司的员工们如果不去正确应用这些创新技术,不去实施最佳计算机安全实践,事态可能远远比您想像那么严重。

各类组织机构的战略远景和目标各不相同,专业IT成员和安全团队的数量也大相径庭,所以需要让员工们理解如何保护信息数据的安全,并且采取正确的安全行动,因为组织机构以及各种重要的数据值得这样去做。

为了确保您的公司能够应对业务所面临的基本的安全威胁,您的员工们至少应该具备基础的信息安全能力,而安全防范能力不是天生就有的,公司信息技术和安全部门应该通过教育手段来帮助员工获取这些能力。

尽管安全是一个博弈的过程,在面对无比厉害的黑客高手之时,几乎没有任何组织可以完全避开,不过通常的业务不会令普通的公司成为黑客的攻击目标。所以呢,只要员工们的安全能力能够粗略地应对大众化的黑客和病毒袭击,紧跟或超越业界最佳实践水平,便在正确的方向,能够满足保障业务安全的需求。所以,在安全技能的培训内容方面,我们建议您也不需要一口吃个胖子,抓出重点几条内容,强化模拟场景式的训练,方可获得最佳效果。

如下是我们根据多年的经验和对安全现状及趋势的分析和理解,整理出来的三条员工必备之、主管必训之安全技能:

一、小心无线网络连接

无线网络接入是远程工作员工们的最爱,但是公共的无线热点也可能是网络犯罪分子的陷阱网络接入点,因为它们通常对数据、邮件、密码以及其它通过它传输的敏感信息并不进行加密。

所以,我们应该教育员工们这一点,并且告知他们在陌生地点遇见陌生WIFI信号时,应该向权威机构进行合法WIFI的确认。如果没有选择只能使用公开的无线热点之时,应该启用个人防火墙和关闭文件共享服务,以防止攻击者连接到无线终端设备并进行进一步的渗透攻击。

更重要的一点是要保障数据通讯的安全,想让移动工作员工使用加密的通讯,只需简单告知他们在连接WIFI之后立即启用安全的网络连接,如起用虚拟专用网络VPN。VPN技术和产品已经非常成熟,如果您的公司还没有启用VPN,那么则应该立即行动起来,采购和部署从几百块到几万块不等的VPN设备,或者在云计算时代,如果您的公司并没有理想的互联网接入线路,您也可以考虑租用商业化的公共互联网安全服务,这些服务不仅包含VPN,也包含防病毒、防网络黑客、防数据泄露、在线数据存储和分享等等。

二、负责任地使用电子邮件

网络犯罪分子和垃圾虫们在通过邮件帐户攻击最终用户方面越来越老道,恶意的信息窃贼总是尝试让邮件接收人通过种种方式来泄漏公司和个人信息,而这些,往往都在员工们所不知晓的情况下悄然地进行。

大量商业信息通过邮件发来发去,邮件诈骗事故屡见不鲜,为了保护重要的商业信息,您需要建议员工们:
在开启邮件附件或点击邮件内相关链接之前进行必要的判断,如果比较可疑,就不要开启。
特别小心.exe之类的可执行文件,因为在开启它们之后会立即执行恶意程序。
使用复杂的邮箱密码,以防止黑客侵入邮箱并且实施犯罪活动。

三、聪明地使用智能终端设备

IT设备变得越来越移动化和消费化,这使得员工们可以轻松地在私人设备上运行工作任务,高效率的同时也带来了一些安全问题,比如为攻击者开放了新的入侵大门,所以说智能手机和平板设备等便携式移动计算终端让数据安全的管理变得更加复杂。

我们需要制定和发布适当的自带计算设备BYOD策略,以便员工们能够知道在什么时候以及如何将他们的私人移动设备用于工作事务。移动计算安全策略应该包含针对智能终端的安全指引,比如密码锁定政策、公司支持的以及不允许用于工作的终端设备(型号)、应用程序安装及管理指南、安全事件报告流程、设备跟踪以及远程数据删除建议等等。

最后,我们要补充一下,即使能够做到上述三项,并非能够保障业务安全万无一失。不过话说回来,尽管安全专家们在安全事故之后往往会说安全防范是系统化的体系工作,这并没不仅仅是借口。人人都知道事后诸葛亮算不了什么,但是我们的确需要员工们拥有更多的防范技能,不过这需要给人们时间来吸收、理解和支持。

mobile-and-wireless-security

建立安全意识计划的三步实战

旨在保障安全的信息技术要比有史以来的任何时候都要先进,与此同时网络安全事件的数量也在不断地创造历史上的新高,如何解释这种悖论呢?昆明亭长朗然科技有限公司安全宣教专员董志军表示:原因其实很简单,人为因素。在国家宏观层面,网络安全靠人民,在单位微观层面,网络安全靠职员,这个道理前些年被安全技术专员们不屑,但最近几年,由于人为因素所直接导致的安全事件高达65%,于是重视员工的安全意识,防止人为错误几乎取得了业界人员的高度认可。

如何应对人为因素造成的网络安全事件呢?在昆明亭长朗然科技有限公司,我们开发了修复“人为错误”的安全意识课程以及安全培训平台,因为对于我们来说重要的是,人员在当今的业务安全环境中扮演着越来越重要的成分。

同时,我们认识到:如果员工们不了解或不认同工作环境中围绕他们的众多安全问题;不了解保障信息安全性的最佳做法;不知道安全事件发生时如何正确应对,那么即使是再好的安全技术平台也将没有办法发挥价值。

在我们以前的博客文章中,我们多次写过如何让员工们成为安全大使、安全达人,并谈到了赋予他们参与安全行动的能力,我们也提到一些建立信息安全意识计划的指导性方法。随着时代的演进,我们需要再进行一些回顾和更新,温故而知新,以融入时代精神,在安全意识宣教领域,不断突破和创新。

废话少说,让我们给您一些有关如何在组织中设置安全意识计划的实用指导。目标是停止将安全性视为由专业人员处理的一系列一次性事件或活动(通常是在事件发生后对事件做出反应),并建立一种积极主动的普遍文化,使员工可以识别安全风险并自行采取措施或酌情升级上报。

构建安全知识库

我们要创建一批员工们需要知道的安全知识库,并在他们需要有关安全问题的信息时进行查询。具体内容可以包含与安全相关的标准、政策和程序。

记得,知识库的建立和完善是一个永远在路上的工作,所以不要等到有了完整的指南后再使用它,否则您将永远不会发布任何东西。从您拥有的内容开始,并在进行过程中不断添加信息。如果有方法可以审查和批准内容的准确性和适当性,您甚至可以鼓励员工提供材料,或者外购通用知识库进行匹配性适用性修改。

我们建议您以电子书或百科的形式发布,因为这些形式比纸质指南更容易更新。如果您决定使用百科,那么员工也可以轻松提交内容。使“知识”易于访问的关键是建立良好的导航和可用性帮助,以及主题关联、链接和详尽的索引。

核心的知识内容应包括:

日常安全实践的最佳做法:包括有关密码安全、桌面清洁、软件下载和安装、个人设备使用、远程工作等主题的政策和最佳做法。

例如,如果某个员工想知道如何下载和安装新软件,请告诉他们如何确保该软件是合法的,如果有需要,可以向谁寻求软件安装许可。

关键联系人:包括紧急事件响应小组成员的姓名和联系方式,以及有关联系时间的指导。

与安全相关的政策和程序,包括安全政策、标准、指导和作业流程,如桌面安全检查标准、差旅安全自查清单、计算机上线安全指南等等。

常见问题解答:提供有关最重要和最常见的安全问题的信息,并提供详细讨论的链接。

设置实时安全沟通

安全“知识库”是不断发展的参考性信息,我们还需要使用各种内部沟通工具以建立更多理解和互信,安全部门“自言自语”肯定不是我们想要的结果。我们建议建立和优化两个沟通渠道:一个用于使员工与可以快速回答安全相关问题的人员保持联系;另一个致力于需要升级的紧急安全问题。

很多机构都有IT服务管理渠道,可以将安全问题用户入口纳入到IT帮助台(呼叫中心)职能内,将紧急安全问题的应对转移到专业安全技术人员。这样,即提高了快速解决安全问题的效率,又能让员工们随时得到一般安全性疑问的解答。

安全意识培训活动

安全“知识库”和沟通渠道是安全意识基础架构的关键部分,此外,我们还需要使用更多动态且引人入胜的方法来将重要安全认知推给员工们。

普通员工不想参加有关信息安全的讲座,特别是80后90后,与其建立沟通和信任的好方法是使用线上培训和线下活动。

培训活动可以涵盖了一系列的安全意识主题,使用模拟场景效果最好,可以在模拟场景中进行演示,这样可能会更有帮助。一切活动都是为了使其变得更加真实和吸引人,这样员工们就越有可能吸取教训并将其应用到实际工作之中。

这些安全意识培训活动的真正价值在于营造开放式交流的文化。对些,昆明亭长朗然科技有限公司董志军强调说:员工们可以通过活动更多思考安全,他们知道的越多,就越会观察和分析,也只有这样,方能做好准备以防止安全事件或在事件发生时做出正确的响应。

安全意识培训活动的举办周期和频率可以自行灵活决定,一般在业务淡季多举办一些,特别日子如假期前举办假期安全课题。一般来说,年度一次全员安全意识电子学习刷新,每年配合国家网络安全周搞一次线下宣传活动,每季度搞一次安全意识主题交互活动和测试,每周发放一些安全动画视频和安全小提示,这些都是在采取努力将安全融入实际工作,安全搞上去了,隐患就会慢慢消失。

活动中需要宣传的内容很多,可能包括:云存储、无线网络安全、差旅信息安全、双身份身份验证、移动应用安装等等话题,当然也应该发布网络犯罪的新趋势,例如最近的增长趋势,新出现的勒索软件、新的社会工程骗术、网络钓鱼邮件的新手法等等。

小结

根据木桶理论,组织机构的安全性取决于安全能力最弱的员工,因此针对员工们的安全培训至关重要。通过创建“安全意识计划”,您可以为持续的安全学习和沟通计划奠定良好的基础,同时不会使员工们负担过多的安全信息。如果安全能成为所有人心智的一部分,则可以合理地期望安全态势得到强化。

使人们尽可能轻松地安全地完成工作,就需要我们为安全问题和疑虑的提出敞开大门,使用“安全知识库”、“安全沟通渠道”、“安全意识活动”这三驾马车来护航。这样,组织机构和员工们就不容易受到“我不知道”的内部威胁。这样,安全专业人员就可以将更多精力用于就对外部威胁。

最后,要确保安全“意识计划”深入到企业文化的各个方面,需要从员工入职到离职的整个生命周期中,不断进行安全认知的刷新和改进。昆明亭长朗然科技有限公司帮助各类型的组织机构,包括各机关单位和公司企业,建立适用的安全意识计划,我们提供全面的多种形式的安全知识内容和在线培训,欢迎有兴趣和需要的客户及伙伴们联系我们,洽谈安全意识方面的采购与合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898