组织应该教育员工小心防范身份窃贼

昆明亭长朗然科技有限公司的一项在线安全调查表明:在移动应用和云计算越来越普及的时代,普通消费用户最担心的是个人网络身份被窃贼盗用。

亭长朗然公司的安全培训顾问James Dong说:“每天,人们都会使用在线银行、网购、电子邮件和社交网络服务等等,这些网络应用使用到私人信息如帐户和密码,我们会需要像对待个人重要财产一样来对待私人信息,因为它们面临着失窃和被滥用的安全风险。”

而互联网的传播速度让大型组织机构花费大量人力物力进行网络舆情监测及响应,相对于力量薄弱的个人用户来讲,私人信息一旦失窃,几乎无挽回的可能。

针对各类型的组织而言,和商业信誉密切相关的互联网舆情的确需要得到监测和响应。同时,也需注意监测和响应通常比较被动,不如主动防范、控制敏感信息出现在互联网的源头更为有效。

而组织敏感信息得以出现在互联网的主要源头无非是员工有意或无意间泄漏、或受到外界渗透攻击。典型的利用社交工程进行信息套取的方式最为流行,冒充权威机关、潜在客户或媒体打电话询问敏感信息是常用的伎俩,这些都需要组织加强对员工进行安全意识教育来进行有效的识别和防范。

其中需要加强注意的是网络犯罪分子窃取员工身份的事件越来越多,大型的互联网站点不断爆出用户密码外泄案件,技艺高明的黑客往往会利用它们来尝试登录其它在线系统,而且成功率往往不低。

所以组织应该加强防身份盗窃的第一招便是:在不同的网站使用不同的密码,至少将工作用系统的密码和私人事务的互联网应用密码设置为不同。这样即使某一个系统的密码被窃取,窃贼不会轻易进入到其它的系统。

其次,组织应该教育员工注意和识别不安全的互联网应用,简单讲,多数未使用https通讯协议的网站对登录名和密码都未进行必要的通讯加密,通过这些网络应用进行登录时很容易被攻击者冒充成“中间人”窃取帐户和密码。

再次,要讲的是密码的强度,简单的密码很容易被不怀好意的犯罪分子猜测到,而多数员工又不容易记住无规律的高复杂度的密码,记录下来这些密码到小本子或电脑文件中可能更危险,所以组织应该教育员工如何创建和使用不易被猜测和暴力破解的,但又足够长且容易记忆的密码。

还有,切记要告知员工保护身份和密码的安全,通常组织的领导和IT部门不会向员工索要密码,员工也不能向他人分享个人的密码或其它可以证明个人虚拟身份或权限的设备,这些设备包括但并不限于门禁卡、钥匙、安全证书、登录令牌等等。

最后,是教育员工在遇到怀疑帐户失窃、怀疑遭遇社交工程攻击之时,应该如何快速采取正确的行动来降低可能带来的损失,通常包含立即报告安全事件给组织的安全响应部门,如果涉及组织外部比如信用卡信息失窃,需及时联系相关服务商以及立马报警等等。

云计算和移动互联网时代,各类组织机构的重要信息数据的分布越来越分散,有效防范身份窃贼,除了对员工进行必要的身份保护相关的安全意识教育培训之外,也需要提醒员工注意基本的安全最佳实践,比如应对黑客发布的击键记录器、内部不良员工的密码偷窥行为和电脑盗用行为等等,需要提醒员工保持防病毒软件、个人防火墙、防垃圾系统等等的更新,并且注意基本的桌面安全保护如输入密码时注意周边环境、在离开位置时锁定电脑屏幕等等。

冰冻三尺,非一日之功,良好的安全习惯也不能速速养成,除了定期的安全意识培训之外,组织还应该定期进行检查和监控,才能使员工对安全的认识变成正确的安全行为,日久天长便会逐渐成为组织的企业安全文化不可分割的关键组成部分。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

信息安全事件报告与防范

什么是安全事件?

安全事件是一件可以造成信息或信息资产的部分或全部丢失的事项。安全事件可能发生在办公室内部,也可能发生在办公室外部。您应该了解如何识别它们。

如何防范信息安全事件

  • 不要将工作邮件发送到私人邮箱中;
  • 不要在电话中向陌生人披露敏感信息;
  • 如果收到可疑的电话,立即向您的经理或信息安全团队报告;
  • 当心存疑虑时,正确的响应是——立即报告!
  • 除非有适当的授权和专业人员的帮助,否则不要私自进行安全事件的调查和处理;

人工智能时代的信息安全事件响应

说到安全事件,几乎与所有的安全管理流程都有关联。“有问题,请及时报告。”成了信息安全从业人员对自身的谆谆告诫,以及对用户们的殷切期待。

在职场拼打,注重职业形象的安全专业人员,既然懂得了这个道理,管好自己仿佛不是什么难事儿,实际上并非如此简单。遇到安全事件时便急于去调查去修复是人的天性,安全专家也难例外,所以安全从业人员经常捣毁犯罪现场和证据链的情景很普遍。这无疑会让主管领导处于不利的境地,当然也就不利于安全从业人员的职场晋升和发展了。

而用户们是海量的,不可否认各种安全态度和水平的用户都有,但积极的且懂得安全规程的不多,很多安全事件或隐患被用户们漠视。安全专业人员们对此也很无奈,人嘛毕竟还有自己的本职工作,不能强迫人家普通用户都是安全特派员或助手。

好在有“人工智能”!利用人工智能来发现安全事件、威胁和隐患就成了一些安全极客们的梦想,当然有梦想人类才能进步,就有产品来迎合。昆明亭长朗然科技有限公司信息安全行业分析师董志军说:这个趋势和方面没有错,但是具体到落实,还有很远的路子要走。不仅仅是技术和产品的成熟度问题,更是和企业级用户现有安全管理进行融合的问题。目前的“人工智能”信息安全事件响应产品,一点儿都不“智能”,处处需要人来参与,更加折腾人,这与使用机器人来减少人工的初衷不契合。还有,标准化的“人工智能”产品不合身,找出的很多安全事件和问题可能是问题,但是根本不适合现有安全环境,如果照其行动的话,会将现有业务整跨。

说到底“人工智能”安全事件响应,并非一朝一夕便可落地,它的基础仍然是传统的安全事件侦测与响应技术,只是稍稍更新,变个表述方式,来个高大上的包装而已。很多机构根本没有用好传统的入侵检测与响应产品,您能指望他们用上更为繁复的“人工智能”吗?就如同没学会走,就想跑一样。

回归本质,“人工智能”信息安全事件响应,最终不是自动化的识别黑客攻击和反黑这么单纯,而是要为保障业务的成功而服务,信息安全专家们都很难做好的事儿,要机器人就行啦?看看很多生产线的经理主管们对上马机器人替换工人的不屑,不客气地说机器人厂商对产品工艺和生产流程都不懂,您就知道事情永远没有那么简单。说难听一点,做“人工智能”信息安全相关产品的,就是不懂得企业内部信息安全管理的“大忽悠”。

“人工智能”机器人最终是为人类服务的,对于信息安全事件响应而言,只有当人类把最佳的信息安全事件管理实践落实下来,不想被繁琐而重复性的工作禁锢之时,方能一步一步开始引进“人工智能”。但是万事儿也不见得就这么绝对,跳过手工阶段,直接上马“人工智能”信息安全事件管理也不见得就不能成功实施,特别是对于新兴的事业、整合后的事业、建立信息安全管理体系活动中的组织机构,就可以一试。尽管这里面可能会有一些断档的情况,只要针对全员的安全意识宣传教育适当,仍然会有很高的成功可能性。

“人工智能”面对复杂多变环境时,判断力多源于事先输入的人类经验。因此,与人类相比,学习能力受到不少质疑,当前,教一个机器人什么是安全事件的成本太高,当然这里是指非数据化的安全事件。这些归根到底还是要靠人。

对昆明亭长朗然科技有限公司来讲,人力资源——职员是一家组织机构最宝贵的资产,是创造成功的核心元素。而信息化无疑是在激烈竞争环境中取得胜利和保持领先的重要法宝,如何充分发挥员工们利用信息系统和海量数据创造业务价值和美好未来的积极性,同时规避和控管信息安全风险,是业界的一个重要课题。

作为信息系统和信息数据的创建、使用、传播、接收和维护人员,我们的信息安全防范意识无疑在信息化与业务成功之间扮演着重要的桥梁纽带作用。信息安全意识是信息化取得成功的智力安全保障,更是业务得以持续运作和基业长青的安全文化基因。

如同我们的业务和信息化水平都在不断改进一样,安全意识教育也是一个不断持续改进的过程。我们的目标就是持续不断地帮助客户修复人员认知方面的安全漏洞,降低由于人为错误而带来的安全风险。

我们也致力于提升国民的网络安全认知,为整个人类社会贡献积极的力量。我们的方法是不断设计、开发及制作信息安全意识教育内容资源,包括安全培训动画视频、互动式电子课程、教学小游戏、考题及线上测试平台等等。

我们积极理解客户的业务目标和安全需求,并且在此基础上,开始创作和交付安全意识培训内容。欢迎联系我们洽谈业务合作事宜。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898