安全意识宣教计划漫谈

安全意识培训通常是信息安全管理团队的一项常规工作任务,和“意识形态”、“文化建设”、“责任意识”、“内部沟通”、“洗脑宣传”等似乎无法隔离,所有是个低敏感性的话题。在组织机构中,它往往是员工必须接受的培训之一。然而,特别是对于那些认为自己的工作不会对公司的信息安全产生直接影响的员工,通常会对安全意识培训的抵触较多。虽然很难找到实施安全意识培训的最佳方式,但现实是它已成为企业领域的一项新常态。接下来,让我们一起聊一聊这个话题吧!

安全意识培训的由来和重要性

安全意识培训是什么呢?人们经常强调信息安全的重要性,不管是保障业务成功还是商业竞争力,不管是应对安全威胁还是处置各类商业信息风险,不管是保护机密数据还是保障重要系统,都是信息安全重要性的组成部分。昆明亭长朗然科技有限公司安全意识专员董志军说:人们了解了信息安全的重要性,那么,如何实现信息安全呢?有各种控管措施,不管是监控侦测型、被动响应型还是主动防御型,不管是技术控还是管理控,不管是流程、技术还是人员,都少不了安全意识培训,所以说,安全意识培训是众多管控措施之一,同时也是信息安全领域内的一个交叉流程,它沟通和连接了多项安全控管措施,因此重要性自然提升上来。

为什么有的组织机构搞安全意识培训,而有的组织机构又为什么不参与安全意识培训呢?一般来讲,处于不同信息安全成熟度或发展阶段的组织机构对信息安全意识培训的理解和需求各不相同。尽管如此,在大多数情况下,安全意识培训是一种针对最终用户的培训,通常是每年一次定期提供,通过确保所有员工都了解信息安全最佳实践来降低组织的整体风险。网络安全行业中的人们普遍认为,员工是组织中最容易被利用的攻击媒介。看一看利用社会工程学的网络钓鱼攻击造成的破坏力和普遍性就可以理解这一点。为降低此风险,安全意识培训通常涵盖以下几个主题:基本安全实践、公司政策以及与公司可能必须遵守的相关法规。组织或公司希望通过提供这些知识信息和培训活动,员工能通过提高认识进而来帮助强化组织机构的安全防线。

安全意识计划的最佳实践方法

了解了安全意识培训是什么以及它的实现目标,接下来我们就要讨论如何实施或管理安全意识培训计划。组织通常需要定期运行安全意识计划。董志军表示,通常,建立信息安全意识培训计划有两项外部驱动力:要么是客户要求,要么是监管要求。在这些情况下,组织机构可以很容易地搞一些活动,通常是为了安抚他们的客户或通过相关的审计。这种靠外部推动的思维过程属于“被动响应”。另一种思路是,无论外部压力或要求如何,培训都需要将公司的风险水平降低到可接受的水平。实现和/或维护安全意识计划的这个动机更符合安全意识培训的由来和价值重要性,当然这种发自内在的需求也应该是所有培训计划所基于的精神。

与其它所有可以实施的安全控制一样,组织在意识培训方面有许多选择。两个主流选项是内部培训或采用外部解决方案。内部培训顾名思义,就是组织使用已有的内部资源来开发和提供培训。或者如果已经有安全培训部门和人员,或者如果有预算引入专家顾问来开发材料,这些都是一个很好的选择。外部第三方解决方案随时可用,而且价格合理,但缺乏内部开发材料可能提供的定制化和个性化服务。当然,在两个主流选项之间,也有一些折衷的选择,比如将顾问人员演变成实际上的全职员工,还可以选择混合使用两种方案,即一部分计划活动由内部实施,另一些将由外部专业服务公司, 比如向外部第三方安全意识咨询服务和设计机构提出定制化和个性化服务的需求 。

建立和实施安全意识计划的最后一个考虑因素是需要涵盖的主题。有些组织将他们的安全部门聚集在一起并列出他们能想到的所有内容。其他公司可能会检查其第三方解决方案中的每个主题,以进行内部的匹配。许多专门为满足客户合同协议而设计培训的组织将向客户询问他们在培训中涵盖的主题。最新的外部安全新闻消息和内部安全事件都可能影响培训内容,不过,这些只是常见的情况,并不全面。

一种推荐的安全意识培训战略方法是采用加强评测及互动,这是旨在通过真正的安全教育来使员工变得强大,进而帮助降低风险。一个好的开端是在雇用之时和每年的基础上进行基线培训。不要指望把培训搞成受人欢迎的演唱会或者看大片,那些虽然一时爽,但是严格庄严没什么安全意识培训效果。常规的安全意识培训应该是严肃的针对企业场景的,将涵盖常见的安全主题,例如在离开计算机之前锁定计算机、如何发现网络钓鱼电子邮件等。此种培训应该是大而全的,包括所有相关的内部安全策略、以及公司需要满足的所有监管或合同标准等等。当然,这些内容较多,不需要员工一次性全部学习,可以限定在一个时间段,比如一季度或半年内完成。必须强调的是互动和考评,没有互动缺乏趣味,没有考评的培训会让学员没有学习的压力和注意力。

为了不断加强培训,必须对行业情况保持一定的关注,并定期引入带外培训或其他培训主题。应该考虑适时添加一些独立的培训,主题包括如:网络安全法、GDPR或勒索软件防范等等。最好将外部第三方解决方案与内部资源混合使用。第三方解决方案在涵盖基本主题,甚至在许多通用合规标准方面做得非常出色。同时要知道的是,只有组织自己的信息安全部门才最了解自己,才最知道相关法规政策将给组织带来的特有挑战。

说到外部第三方解决方案和培训主题内容,董志军为您支招:组织应该每年考虑更换外部供应商,这样可以吸取百家之长,弥补其短。同时,对于那些老学员们来讲,使用新内容带来了新鲜感 ,免得枯燥地重复使用某家供应商的内容 ,不仅仅是换了换胃口,更是在帮助提神和开眼。

不管怎么说,安全意识培训的需求是实在的,必须要搞。要把安全意识计划弄得有声有色,当然需要的不仅仅是花钱,还需要有一些方法谋略,希望我们的这些分享能够帮上有需要的潜在客户。同时,昆明亭长朗然科技有限公司是一家专注于帮助客户提升员工安全意识的服务商,我们帮助过多家不同规模、不同行业的客户建立和实施过安全意识培训计划。我们也自主开发和制作,并且帮助客户量身定制设计创作了大量的安全意识主题内容,包括卡通漫画、知识图片、动画短片、视频影片、互动游戏和电子课件等等。欢迎有兴趣的客户与我们联系,洽谈进一步合作事宜。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

组织应该教育员工小心防范身份窃贼

昆明亭长朗然科技有限公司的一项在线安全调查表明:在移动应用和云计算越来越普及的时代,普通消费用户最担心的是个人网络身份被窃贼盗用。

亭长朗然公司的安全培训顾问James Dong说:“每天,人们都会使用在线银行、网购、电子邮件和社交网络服务等等,这些网络应用使用到私人信息如帐户和密码,我们会需要像对待个人重要财产一样来对待私人信息,因为它们面临着失窃和被滥用的安全风险。”

而互联网的传播速度让大型组织机构花费大量人力物力进行网络舆情监测及响应,相对于力量薄弱的个人用户来讲,私人信息一旦失窃,几乎无挽回的可能。

针对各类型的组织而言,和商业信誉密切相关的互联网舆情的确需要得到监测和响应。同时,也需注意监测和响应通常比较被动,不如主动防范、控制敏感信息出现在互联网的源头更为有效。

而组织敏感信息得以出现在互联网的主要源头无非是员工有意或无意间泄漏、或受到外界渗透攻击。典型的利用社交工程进行信息套取的方式最为流行,冒充权威机关、潜在客户或媒体打电话询问敏感信息是常用的伎俩,这些都需要组织加强对员工进行安全意识教育来进行有效的识别和防范。

其中需要加强注意的是网络犯罪份子窃取员工身份的事件越来越多,大型的互联网站点不断爆出用户密码外泄案件,技艺高明的黑客往往会利用它们来尝试登录其它在线系统,而且成功率往往不低。

所以组织应该加强防身份盗窃的第一招便是:在不同的网站使用不同的密码,至少将工作用系统的密码和私人事务的互联网应用密码设置为不同。这样即使某一个系统的密码被窃取,窃贼不会轻易进入到其它的系统。

其次,组织应该教育员工注意和识别不安全的互联网应用,简单讲,多数未使用https通讯协议的网站对登录名和密码都未进行必要的通讯加密,通过这些网络应用进行登录时很容易被攻击者冒充成“中间人”窃取帐户和密码。

再次,要讲的是密码的强度,简单的密码很容易被不怀好意的犯罪份子猜测到,而多数员工又不容易记住无规律的高复杂度的密码,记录下来这些密码到小本子或电脑文件中可能更危险,所以组织应该教育员工如何创建和使用不易被猜测和暴力破解的,但又足够长且容易记忆的密码。

还有,切记要告知员工保护身份和密码的安全,通常组织的领导和IT部门不会向员工索要密码,员工也不能向他人分享个人的密码或其它可以证明个人虚拟身份或权限的设备,这些设备包括但并不限于门禁卡、钥匙、安全证书、登录令牌等等。

最后,是教育员工在遇到怀疑帐户失窃、怀疑遭遇社交工程攻击之时,应该如何快速采取正确的行动来降低可能带来的损失,通常包含立即报告安全事件给组织的安全响应部门,如果涉及组织外部比如信用卡信息失窃,需及时联系相关服务商以及立马报警等等。

云计算和移动互联网时代,各类组织机构的重要信息数据的分布越来越分散,有效防范身份窃贼,除了对员工进行必要的身份保护相关的安全意识教育培训之外,也需要提醒员工注意基本的安全最佳实践,比如应对黑客发布的击键记录器、内部不良员工的密码偷窥行为和电脑盗用行为等等,需要提醒员工保持防病毒软件、个人防火墙、防垃圾系统等等的更新,并且注意基本的桌面安全保护如输入密码时注意周边环境、在离开位置时锁定电脑屏幕等等。

冰冻三尺,非一日之功,良好的安全习惯也不能速速养成,除了定期的安全意识培训之外,组织还应该定期进行检查和监控,才能使员工对安全的认识变成正确的安全行为,日久天长便会逐渐成为组织的企业安全文化不可分割的关键组成部分。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898