安全事故之后的安全流程评审

确保安全万无一失是人们的美好愿望,甚至被人们当做口号和政治任务。可是从科学角度讲,安全事故无法百分百避免,安全事故后的应急响应便成为一项关键安全控管流程。

旨在降低可能损失的应急响应流程在最后的输出往往是事件的根本原因分析和防范未然之道。不可否认,信息安全事故的原因往往都是人为的,即使是信息系统或者外界环境方面的因素,往往也会有适当的防范和补救方案。说到底,不管什么因素,都需要流程方面的防范措施,通过有效的流程控管和优化,可以在很大程度上减少安全事故的发生,并且降低可能造成的损失。

如何知晓在信息安全管理流程上缺乏什么呢?如何知道将如何改善安全作业流程呢?这不是看表面拍脑袋想当然的事情,需要科学的调研、分析和总结。内部人员能隐约觉察出问题的原因,但是可能并非所称的根源root cause。即使有明眼人能看出来,可能也局限于自身的地位或办公室政治因素而避开不谈。所以,再讲到改善流程,则希望渺茫,无疑让人们为安全事故所付出的代价付之东流。

当局者迷,旁观者清。安全负责人无疑需要请来外部第三方的审核队伍,帮忙找寻安全管理流程中的不足之处,并加以咨询和探讨。安全事故五花八门,起因似乎也是如此。但是在专业的安全审核人员看来,微小的失误和明显的过失还是有很大区别的。

流程评审的关键已经不再是看看文档,不少公司的文档只是文档,缺乏真实性。现场巡查、人员走访和随机抽检才是发现安全问题和隐患的关键。昆明亭长朗然科技有限公司信息安全咨询顾问James Dong说:一名懂信息安全的负责任的审核员足够,沟通交流出期望的输出,比如找出安全管理流程中的哪些不足甚至错误之处,与行业最佳实践的差距,以及改进建议。

通常第三方中立的信息安全审核人员并不会受制于内部环境的束缚,所以能够较为客观和中立地给出审核报告。当然在提及改进方案之时,往往也会提供专业的建议,比如推荐一些产品和服务。这都无可厚非,而且确实在很大程度上能够为供需双方牵线搭桥。

总之,一起安全事故的起因看似聚集在一个点,其实并非孤立的,要进行全面的安全管理流程审核分析,才是防范同类安全事故再次发生的正确措施。当然,要让信息安全委员会成员们以及相关的决策者们认识到这一点,还需要足够的安全观念碰撞和沟通交流。无疑,在安全认知的校正和安全观念的启蒙方面,针对管理层的信息安全意识宣导课程可以帮上忙。

小议网络攻击与安全意识培训

小型企业的IT经理购买并实施昂贵的安全技术,希望能够避免网络攻击。但是他们往往忽视了一件关键的事情:员工是他们网络安全策略中最薄弱的环节。根据昆明亭长朗然科技有限公司的一项研究,成功的网络攻击中有85%是通过网络钓鱼邮件发起的,这其中又有90%是从毫无戒心的员工那里窃取的信息而进行的。CNCERT的一项统计表明:导致数据泄露的恶意软件中,有66%是通过恶意电子邮件附件安装的;28%的网络攻击涉及内部人员,而68%的安全事件是人为错误的结果。

既然网络攻击大部分源自于网络钓鱼。那什么是网络钓鱼呢?网络钓鱼是一种社会工程形式,涉及发送声称来自信誉良好的个人和/或机构的电子邮件,并诱使接收者透露诸如银行详细信息或密码之类的敏感信息,或诱使用户单击某些恶意构建的网址。网络钓鱼的技术门槛低,发动起来很容易,并且经常以脆弱的“人性”为目标。尽管在传统上,恐惧感、好奇心和乐于助人的天性是黑客利用最多的人类情感,但如今,成功的网络钓鱼尝试针对的是人类对娱乐、社交互动和奖励/认可的需求。对此,昆明亭长朗然科技有限公司网络安全研究员董志军补充说:这一点其实很容易理解,根据“马斯洛需求层次”理论,人类的情感需求很丰富,随着社会发展和人们生活水平的提高,各种情感需求如“社交需求、尊重需求和自我实现需求”都会开始大量涌现。

需知,网络钓鱼并非总是以电子邮件的形式出现,它也可能通过微信等社交媒体并搭配伪造的网站进行,看起来钓鱼网站与原始的网站域名非常相似,但是钓鱼网站会捕获人们的机密信息。此外,网络钓鱼的渠道还可包括试图收集机密信息或说服受害者转移资金的电话或短信。因此,我们需要认真应对网络钓鱼尝试,不过,单靠IT安全技术并不能阻止利用社会工程学技术操纵人们泄露机密信息的网络攻击。

那么,有什么好招儿应对网络钓鱼攻击吗?从战略上讲,利用人类情感需求的攻击,还需从人类情感入手进行防范,这是非常复杂的,我们不能让人们都变“坏”,但是却可以让人们防止他人的“坏”。从战术上讲,让人们理解这些人性、心理和情感方面的需求,理解“坏人们”可能如何利用它们,以及我们该如何防范。要实现这些,无非需要从人员要素入手,一种最有效、廉价的方法便是安全意识培训,实施安全意识培训计划可以帮助员工们提高对网络攻击的认识,提高对网络安全最佳实践的了解。那么,什么是安全意识培训和安全意识培训计划呢?

安全意识培训是对员工进行网络安全最佳实践教育的正式过程。它应教会员工如何识别欺诈性电子邮件和有害网站,并防止单击恶意链接或泄露机密数据。安全意识培训计划包括在线培训材料、基于计算机的交互式安全培训材料、员工签署培训文档确认信息安全准则、真实网络攻击的案例模拟、游戏化的练习等等要素的组合。

欧洲网络安全局一项调查表明:设计和实施定期安全培训计划以对员工进行安全最佳实践教育的组织,在过去两年内遭遇的与用户相关的数据泄露风险(如网络钓鱼)降低了48%。因此,创建引人入胜的持续安全意识培训计划将给组织机构带来许多安全方面的好处。昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划,我们有大量的高质量安全意识宣教培训内容资源,如果您需要我们帮忙策划安全意识宣传活动,或者需要安全培训课程资源,请不要客气地联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898