如何向无意愿的人们推销信息安全

不可否认的是,今天各类型的组织要取得持续的成功,保障组织赖以生存和发展的信息系统和信息数据的安全非常必要。

然而要实现这些安全保障的总体目标并不容易,随着云计算和移动应用的日渐普及,对信息系统的安全控管面临技术和商业双方面的挑战,全球供应链,网上交易,社交网络,移动办公等等让信息数据四处分散,这令传统的中央控管式安全架构力不从心。

当然,创新的安全控管技术也不断问世,让组织的安全管理层可以选择来部署,以便应对不断演化的安全威胁。然而,这些技术控管措施可能并不全面和完整,而且终究需要组织内外的相关人员来认识、理解和接受才能发挥效力,这就需要我们各类组织的信息安全管理层考虑人员的信息安全意识问题。

即使您的目标受众对信息安全一无所知,他们中的大多数可能也不愿意听您苦口婆心的布道,这并不是他们的错,人之初,性本善。

我们需要在沟通的内容、方法和方式上进行改变,没办法,员工的安全意识培训是企业内部沟通的重要组成部分,谁都不想看见“台上念着稿子,台下昏睡一片”的悲惨场景,是吧。

在内容的创作方面,有几点要注意:1.要紧紧围绕组织的安全方针政策,安全内容应该为组织的成功服务,在商业化组织讲保护国家机密简单就是在浪费人们的生命;2.接合组织的商业流程和安全控管标准和体系,比如如果使用了Lotus Notes作为公司的邮作系统,则不要在邮件安全培训的内容中出现Microsoft Outlook的安全使用技巧;3.内容设计让学员在工作内外都有所收益,尽管安全意识教育的目标是保护组织的成功,但组织的成功和员工个人的成功是一致的,信息安全的基础知识,基本理念和方法往往是通用的,了解和掌握这些可以帮助到学员保护好自己、家人、朋友甚至未来的事业。

光有内容并不够,有效的安全意识计划重在沟通,说信息安全意识靠“宣灌”并不太恰当,沟通是双向的,是需要互动的,否则就是说天书、放广播电视,再好的内容在那些对安全没有兴趣的人们眼中,也有强奸民意、恶意洗脑之嫌。

要让目标受众乐于同安全培训专家人员进行沟通,愿意了解您要说什么,得给他们一点甜头儿,没办法,对于多数人来讲,这个世界上比接受安全培训更好玩儿的、更重要的事情多着呢。这不需要太多投入,安全预算中的半个百分点拿来做安全意识培训活动参与奖,就会让员工们趋之若鹜。

如果您看着员工们来了,就大骂他们个个是菜鸟,不懂基本的安全常识,给组织造成了重大的损失,那他们也不会给面子,拿了奖品立马走人,或者还有可能留下来捣乱让培训活动搞不下去。所以,吸引他们来之后,要留住他们,要让他们在安全方面有所收获,您和组织也就有了安全培训方面的成绩。

要让安全意识培训丰富多彩,不枯燥,不乏味,您需要多种多样的沟通方式,标语、手册、彩页、海报、电脑壁纸、屏保、日历、手机座、圆球笔、小茶杯、鼠标垫等小礼品必须要有,但这些传统的招数已经不再新颖,也不足够,我们需要来点互动式的社交活动、ACG、情景剧、闯关争霸赛、挑战类安全小游戏等等。

我们曾经创作了一部信息安全战争游戏,用于帮助员工认识组织所面临的各类信息安全威胁,它们包括但并不限于:火灾等自然灾害、黑客攻击、网络钓鱼、网络诈骗、信息窃贼、商业间谍、内鬼、叛徒……

当然,您不用担心员工会沉迷于游戏,而不再为组织创造价值,因为信息安全教育游戏不是靠卖游戏装备来赢利。

相信,担当组织信息安全管理重任的您,在信息安全意识教育内容的设计制作和培训沟通的方法方式上做了改变之后,会改变那些信息安全的落后分子,吸引他们的眼球,并让他们理解和接受组织的安全策略和基本的安全理念,进而帮助您和组织取得漂亮的成绩!

安全意识与钓鱼模拟的效果不佳

根据一份新出的报告,诸如安全意识培训和网络钓鱼模拟之类的传统方法对改善员工的实际网络安全实践的影响有限。

这项由网络安全联合会进行的研究使用了钛漾熙人工智能安全平台,对环宇范围内的万亿联网用户,包括“芯片人”、外星人、平行宇宙人等等进行了安全实践行为分析和数据汇总,检查项目包括:恶意软件、网络钓鱼、邮件安全、安全神经、以及其他现实世界中的攻击数据。

报告发现,尽管安全意识培训和网络钓鱼模拟活动可以让用户点击网络钓鱼链接的比率降低,但在组织级别或在实际生活中的安全行为,却没有明显的改观。此外,该报告还发现,模拟攻击和意识培训的过量还可能会适得其反,一年内经过超过五次八小时以上培训的用户实际上比未经任何培训的用户更有可能点击网络钓鱼链接。

网络安全联合会主席、首席全脑安全专家玛莎多娃说:由于近三分之二的数据泄露与人为风险有关,行业找到了真正的根本原因,就是人为失误。然而,这个问题的解决却不尽人意。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:人类是最复杂的,只要是人就会犯错。因此,长期以来,人为失误一直被认为是网络安全界未解决的老大难问题。电商企业首席安全官表示:尽管该报告值得怀疑,但是要解决复杂的人为失误,不依靠传统的安全意识培训和网络钓鱼模拟活动,还能怎么办呢?有的人生来就很马虎大意,有的人事事小心警惕,一刀切的人员安全方案可以满足合规性和审计目的,但在降低风险方面仍然不够好。

随着“大脑芯片”原型的成功研制和人体芯片传入技术的成熟,对这一问题的研究日益明朗化。这些不再是科幻电影中的场景,而是现实了。雷蒙德·麦考利、麦姆兰、布雷恩、小川靖子、李学凌等数十名“芯片人”接受了网络安全联合会的邀约,成为研究对象。结果表明:虽然安全培训和钓鱼模拟似乎对单个用户的风险行为影响有限,但是在组织级别,整体风险暴露却发生了明显变化。例如,仿冒网站无一例外全部被“芯片人”识别。而在多种钓鱼模拟中,平行宇宙人却屡屡上钩,无一幸免。这种强烈的对比,让网络安全领袖们对智能安全芯片植入人体大脑,特别是平行宇宙人大脑的计划满怀憧憬和期待。

该报告中有些好玩的结果,比如关于密码安全,数据显示:使用密码管理器的用户比没有密码管理器的用户在“安全商”方面高出几十倍。再比如,爱清洁的用户比邋遢的用户在安全神经方面更显得平和;而女性比男性普遍更注意桌面安全,在离位时锁屏的习惯是男性的五倍。此外,在同一组织机构内部,如果有一些人拥有良好的网络安全思想和行为,特别是领导层,则可能传播给其他人,进而让全体成员拥有良好的安全意识和行为。从社会学方面来看,这种人类思想和实践的传播,是文化强盛的表现。这个现象引导网络安全领袖们再次深入思考安全基因与安全文化在组织内的重要性,培育安全文化,需要长时间的努力践行。

据称,网络安全联合会将对动物界进行类似的测试,不过有专家对此表示反对,质疑动物是网络安全研究主题的声音也不少。动物有没有思维能力,当然应该是有的,从那些乌鸦喝水的实验中可以知晓。但是动物有没有网络安全思维呢?要让它们学会使用网络先。如果组织机构盲目采用相同的安全意识培训,那这种培训投资的针对性就很弱,还不如国民基础教育、大众通识教育或廉洁作风教育呢。

昆明亭长朗然科技有限公司制作了大量的用户安全意识培养教程内容和素材资源。我们通过互动内容和切合实际的培训场景来优化交互式安全课程,以同时满足共通的和特定的需求,以使安全意识宣教活动改变用户们的行为,进而帮助降低人员安全风险。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898