内部威胁的防范难题

近年来,各类型的组织机构在信息安全、网络安全与数据安全方面面临着各种各样的逆境和挑战。疫情大流行改变着人们的生活和工作方式,进而改变着组织机构的数据安全需求。随着数字资产价值和数量的不断增加,内部人员泄露或窃取敏感数据的风险也越来越大。据有关机构统计,内部威胁现在占所有安全事件的23%。内部威胁的范围比人们想象中的要普遍,58%的公司企业认为安全事件的起因源于内部人员。64%的安全事故都是由内部人员疏忽引起的,而23%与内部人员犯罪有关。

在国内,内部威胁更多被认为是违法乱纪行为,对于官场人员来讲,应该不陌生,即使是疏忽大意造成的事故,也有“玩忽职守罪”或者“过失犯罪”。对于有心想干出点业绩却不少心因此而倒霉的国家机关工作人员,特别是官员来讲,这些罪名显然是“追责过度”,极不合理的。更有意思的是,面对同样的“过失”,有些人员有些时候能“躲过一劫”,而另一些人员在另一些时空则会成为“阶下囚”,这表明,违法与否的认定,存在很多主观判断因素。对此,昆明亭长朗然科技有限公司网络安全专员董志军补充称:我们不是说法律本身不公平,而是说在“内部威胁”的认定和处理领域,缺乏足够详细和透明的评判机制,进而给“徇私枉法”者留有相当大的空间。在这种状况下,必定有嗅觉敏感的投机官员借机来打击异己、培植亲信、结党营私。因此,除了事件本身的直接影响外,内部威胁的影响余波还伴有系列的人事组织风险,严重到会威胁国家安全。

说到国家安全,不得不说到防间谍,有来自外部的间谍人员,也有来自内部的“汉奸”,不排除有一些主动吃里扒外的“内奸”,然而更多的则是无意中泄露国家秘密或被设计“圈套”利用的,或者是在被动中由于疏忽大意而被策反的。十几亿国民有上亿党员干部,不管如何,总会有一定数量的叛徒出现。然而,即使是微小的概率,也可能“一颗老鼠屎,坏了一锅汤。”

对于公司企业来讲,管理层及雇员们滥用职权,内鬼作案,恶意操作,内外勾结,引狼入室等等情形也很常见。如果资方没有足够的措施,那么管理者及雇员们可能会肆无忌惮地疯狂作案,给公司企业带来重大损失,直到掏空公司,甚至让公司负债累累。即使是上市公司,高管利用职务之便,借助特权和信息优势,搞内幕交易、职务侵占、贪污受贿、欺诈作假等情形也是非常普遍,当然这些高层“内鬼”多数是“知法犯法”,想要他们提高道德水平与自律能力,显然是痴心妄想,不懂人性的天真想法。

因此,我们有必要,从网络安全领域,讨论组织机构如何增强其安全性并减少恶意或疏忽内部人员的威胁。从网络安全方面看,内部威胁可能导致专有信息和知识产权的损失。与攻击相关的系统停机时间会对公司的正常生产产生负面影响。此外,数据丢失造成的客户伤害会降低公司的商业形象和信誉度。

我们偶尔会从媒体上看到,某些IT人员在离职之前,向关键信息系统中放置“逻辑炸弹”,数月甚至一两年后,“炸弹”爆炸,导致重要数据被删除,IT人员出了一口“恶气”,也为之付出了巨大的代价。由心怀不满的员工故意窃取数据或者破坏系统(使系统无法使用)的原因和动机有很多,对薪资、职位的不满,认为受到主管或公司的不公正待遇,与某些同事关系不佳,产生敌意等等因素,都有可能。非常不幸的是,如果威胁是恶意的,则很难预防。这是因为:心怀不满的员工很可能已经拥有系统和数据的特权,这是他们日常工作的一部分。

如果我们分析多起安全事件,就会发现事实证明,执行有害或危险活动的合法用户总是比典型的外部威胁更难被发现。尽管大多数内部威胁都是无意的,而且通常是偶然发生的,但它们造成的损害仍然会影响业务成果和稳定性。虽然恶意内部人员构成了实实在在的危险,但许多内部人员威胁是无意错误造成的:比如单击导致网络钓鱼攻击的URL,意外将机密通过电子邮件发送给错误的收件人,或者将笔记本电脑遗忘在了公共交通工具上。

尽管外部风险水平较高,但组织最大或最直接的网络威胁可能来自内部。由于无意的失误,通常是由于过时的安全系统或软件版本未及时更新,公司员工经常卷入重大数据泄露或者加密勒索事件。这些通常不是故意的,而是缺乏普遍的最佳安全实践而导致的不良结果。在认识到问题的严重性后,重要的是要保持对这种风险的高度认识并认真对待这些威胁。当检测到异常行为时,应将其视为可能的攻击,存在各种内部威胁指标,防范它们的关键步骤是识别这些迹象并为员工设定正常阈值,并及时发出警示,比如未及时安装软件更新的弹窗消息,设置计划任务之前的安全警告等等。

安全意识对于预防内部威胁至关重要。由于《网络安全法》、《数据安全法》、《个人信息保护法》等等很可能在接下来的几个月和几年内更加细化,员工可能会获得更多对客户个人数据的访问权限,因此需要充分了解安全政策及法规的所有后续细化。总之,有效的安全意识培训和教育,对于遏制内部威胁显得非常重要。通常,这种威胁源于不知情的、非恶意的员工犯了简单的错误。使用引人入胜资源内容,定期进行网络安全意识培训是将这种内部风险降至最低的最佳方式。

一方面,组织机构需不断强化安全团队的内部威胁侦测及防范能力,为信息安全团队提供培训、配置和监视计算机系统、网络、移动设备和备份设备的培训。

另一方面则是定期培训员工网络安全意识,向员工们定期提供培训,以告知他们如何处理安全风险,例如网络钓鱼和保护他们在笔记本电脑和移动设备上携带的公司外部数据。最重要的是要告知员工从事恶意活动的后果。

内部威胁(间谍、内贼)是一个可大可小的话题,随着法制的逐渐健全,相信这个问题会得到国家层面的重视。为帮助广大客户在信息安全方面教育员工,以确保将组织中的内部威胁降至最低,昆明亭长朗然科技有限公司推出了大量的网络安全、信息保密及合规意识宣传教育内容,包括动画视频、平面图片和电子课件等各种形式的内容资源,其中也包含网络安全小游戏,以及互动式、场景式、案例式的教程模块,以及稳定可靠的在线培训平台(学习管理系统),欢迎有兴趣的客户及行业合作伙伴联系我们,预览作品、体验平台的功能以及洽谈采购合作。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

安全意识宣教计划漫谈

安全意识培训通常是信息安全管理团队的一项常规工作任务,和“意识形态”、“文化建设”、“责任意识”、“内部沟通”、“洗脑宣传”等似乎无法隔离,所以是个低敏感性的话题。在组织机构中,它往往是员工必须接受的培训之一。然而,特别是对于那些认为自己的工作不会对公司的信息安全产生直接影响的员工,通常会对安全意识培训的抵触较多。虽然很难找到实施安全意识培训的最佳方式,但现实是它已成为企业领域的一项新常态。接下来,让我们一起聊一聊这个话题吧!

安全意识培训的由来和重要性

安全意识培训是什么呢?人们经常强调信息安全的重要性,不管是保障业务成功还是商业竞争力,不管是应对安全威胁还是处置各类商业信息风险,不管是保护机密数据还是保障重要系统,都是信息安全重要性的组成部分。昆明亭长朗然科技有限公司安全意识专员董志军说:人们了解了信息安全的重要性,那么,如何实现信息安全呢?有各种控管措施,不管是监控侦测型、被动响应型还是主动防御型,不管是技术控还是管理控,不管是流程、技术还是人员,都少不了安全意识培训,所以说,安全意识培训是众多管控措施之一,同时也是信息安全领域内的一个交叉流程,它沟通和连接了多项安全控管措施,因此重要性自然提升上来。

为什么有的组织机构搞安全意识培训,而有的组织机构又为什么不参与安全意识培训呢?一般来讲,处于不同信息安全成熟度或发展阶段的组织机构对信息安全意识培训的理解和需求各不相同。尽管如此,在大多数情况下,安全意识培训是一种针对最终用户的培训,通常是每年一次定期提供,通过确保所有员工都了解信息安全最佳实践来降低组织的整体风险。网络安全行业中的人们普遍认为,员工是组织中最容易被利用的攻击媒介。看一看利用社会工程学的网络钓鱼攻击造成的破坏力和普遍性就可以理解这一点。为降低此风险,安全意识培训通常涵盖以下几个主题:基本安全实践、公司政策以及与公司可能必须遵守的相关法规。组织或公司希望通过提供这些知识信息和培训活动,员工能通过提高认识进而来帮助强化组织机构的安全防线。

安全意识计划的最佳实践方法

了解了安全意识培训是什么以及它的实现目标,接下来我们就要讨论如何实施或管理安全意识培训计划。组织通常需要定期运行安全意识计划。董志军表示,通常,建立信息安全意识培训计划有两项外部驱动力:要么是客户要求,要么是监管要求。在这些情况下,组织机构可以很容易地搞一些活动,通常是为了安抚他们的客户或通过相关的审计。这种靠外部推动的思维过程属于“被动响应”。另一种思路是,无论外部压力或要求如何,培训都需要将公司的风险水平降低到可接受的水平。实现和/或维护安全意识计划的这个动机更符合安全意识培训的由来和价值重要性,当然这种发自内在的需求也应该是所有培训计划所基于的精神。

与其它所有可以实施的安全控制一样,组织在意识培训方面有许多选择。两个主流选项是内部培训或采用外部解决方案。内部培训顾名思义,就是组织使用已有的内部资源来开发和提供培训。或者如果已经有安全培训部门和人员,或者如果有预算引入专家顾问来开发材料,这些都是一个很好的选择。外部第三方解决方案随时可用,而且价格合理,但缺乏内部开发材料可能提供的定制化和个性化服务。当然,在两个主流选项之间,也有一些折衷的选择,比如将顾问人员演变成实际上的全职员工,还可以选择混合使用两种方案,即一部分计划活动由内部实施,另一些将由外部专业服务公司, 比如向外部第三方安全意识咨询服务和设计机构提出定制化和个性化服务的需求 。

建立和实施安全意识计划的最后一个考虑因素是需要涵盖的主题。有些组织将他们的安全部门聚集在一起并列出他们能想到的所有内容。其他公司可能会检查其第三方解决方案中的每个主题,以进行内部的匹配。许多专门为满足客户合同协议而设计培训的组织将向客户询问他们在培训中涵盖的主题。最新的外部安全新闻消息和内部安全事件都可能影响培训内容,不过,这些只是常见的情况,并不全面。

一种推荐的安全意识培训战略方法是采用加强评测及互动,这是旨在通过真正的安全教育来使员工变得强大,进而帮助降低风险。一个好的开端是在雇用之时和每年的基础上进行基线培训。不要指望把培训搞成受人欢迎的演唱会或者看大片,那些虽然一时爽,但是严格庄严没什么安全意识培训效果。常规的安全意识培训应该是严肃的针对企业场景的,将涵盖常见的安全主题,例如在离开计算机之前锁定计算机、如何发现网络钓鱼电子邮件等。此种培训应该是大而全的,包括所有相关的内部安全策略、以及公司需要满足的所有监管或合同标准等等。当然,这些内容较多,不需要员工一次性全部学习,可以限定在一个时间段,比如一季度或半年内完成。必须强调的是互动和考评,没有互动缺乏趣味,没有考评的培训会让学员没有学习的压力和注意力。

为了不断加强培训,必须对行业情况保持一定的关注,并定期引入带外培训或其他培训主题。应该考虑适时添加一些独立的培训,主题包括如:网络安全法、GDPR或勒索软件防范等等。最好将外部第三方解决方案与内部资源混合使用。第三方解决方案在涵盖基本主题,甚至在许多通用合规标准方面做得非常出色。同时要知道的是,只有组织自己的信息安全部门才最了解自己,才最知道相关法规政策将给组织带来的特有挑战。

说到外部第三方解决方案和培训主题内容,董志军为您支招:组织应该每年考虑更换外部供应商,这样可以吸取百家之长,弥补其短。同时,对于那些老学员们来讲,使用新内容带来了新鲜感 ,免得枯燥地重复使用某家供应商的内容 ,不仅仅是换了换胃口,更是在帮助提神和开眼。

不管怎么说,安全意识培训的需求是实在的,必须要搞。要把安全意识计划弄得有声有色,当然需要的不仅仅是花钱,还需要有一些方法谋略,希望我们的这些分享能够帮上有需要的潜在客户。同时,昆明亭长朗然科技有限公司是一家专注于帮助客户提升员工安全意识的服务商,我们帮助过多家不同规模、不同行业的客户建立和实施过安全意识培训计划。我们也自主开发和制作,并且帮助客户量身定制设计创作了大量的安全意识主题内容,包括卡通漫画、知识图片、动画短片、视频影片、互动游戏和电子课件等等。欢迎有兴趣的客户与我们联系,洽谈进一步合作事宜。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898