信息安全年会关注的焦点是信息安全意识

最近,昆明亭长朗然科技有限公司的一家客户针对全体员工进行了一项年度信息安全意识调查,调查结果令人震惊,几乎没有员工明白安全漏洞和安全威胁的区别,在怀疑或遭遇安全事故时如何正确响应也很不令人乐观。

如果说漏洞、威胁和风险属于专业术语,部分安全从业人员甚至都搞不明白的话,我们更应该原谅这些员工。如果员工在遭遇可疑安全事件时不知如何报告或向谁报告,那显然是安全应急响应体系和流程的缺乏或不足,至少在安全事件报告方面,暴露出安全管理人员未对最终用户进行适当的沟通和培训。

安全管理人员可能会说没有足够的资质来建立安全应急响应体系,拜托,再小的企业也会有突发安全事件吧?何况大些的公司还有专门的安全管理职位和队伍呢!安全应急响应的投入可大可小,但找两个轮流值班的、接电话和查收邮件的保安总可以吧?

为什么要安全应急响应呢?想想如果员工发现工作区域有鬼祟的陌生面孔,立即报告给公司安全部,安全应急响应服务台立即派保安前去盘问和检查好呢?还是员工不当一回事,公司财物丢失了也无人知晓的好呢?

公司的多数安全预算用于购置各类安全设施、安防设备和安全服务,网络信息安全领域也是如此,资源多数花在安全系统和外包安全服务上,而比较忽略内部的安全管理体系如安全流程建设。

提到网络信息安全,人们谈论最多的是病毒和网络黑客,比较少关注信息安全意识。亭长朗然公司的安全顾问James Dong说:就连防病毒和防黑客都不能离开用户的安全意识,更不要说防范内部不满员工和商业间谍等等这些威胁。

针对信息基础架构系统的电子攻击近年来引发政府的关注,水电能源、卫星通讯、交通导航、银行金融等系统在安全等级保护框架下有了较大的改善。甚至在国家层面已经开始关注和谈论互联网战争和网络恐怖活动,这都彰显出国家在信息安全方面已经牢牢掌握主导权。

不能忽视的是在信息安全方面,也同样存在国进民退和国强民弱之说,在国家牢牢控制互联网安全核心架构体系之时,关于信息安全的立法、司法和监管日益成熟。而老百姓的互联网安全能力提升明显偏慢,显然与全球发达国家国民的安全素质差距甚远,甚至有网络观察员称中国的互联网是一小拨网络暴徒绑架着大量无知的普通网民,这和互联网大国的地位很不匹配,而且这样下去无疑将严重影响信息社会的健康发展。

回到亭长朗然公司的这家客户,在分析调查报告结果之后,安全管理团队进行了适当的检讨,认为有必要改进安全应急响应体系,并且加强对全体员工进行信息安全意识教育,特别是强化安全事件的报告。公司安全管理团队为此专门举办了为期一周的信息安全年会,年会后对员工进行随机抽样调查和社会攻击学攻击渗透测试,结果证明:通过培训,被调查员工了解到哪些是信息安全事件,该向谁报告安全事件。有趣的是,针对同一名员工的两次社交工程渗透攻击都被识破并及时报告给了安全服务台,两次的不同是这名员工第一次交谈时显得很腼腆,满脸通红;第二次已经显得很“理直气壮”。

员工的安全意识得到了质的提升,这正是信息安全年会的目标。短短两周的时间,这家公司的信息安全部门已经通过员工的及时报告,快速响应,挽回了一起可能造成重大损失的信息安全悲剧,这起真实的事件得以成功处理,不得不感谢信息安全年会的举办和信息安全事故场景的模拟演练。

信息安全事件捂着盖着还是立即通报

中华民族的复兴和崛起主要依赖国民的奋发图强,在全球化大时代背景下,西方当代文明带给我们的积极影响,我们也不能否认。

信息时代风云变幻莫测,源自英美强国的信息安全管理体系ISMS方法在全球政治经济一体化的大环境下演变成了ISO国际标准。毕竟,保护好全球互联网的安全,需要一个可以进行跨国紧密合作的沟通框架;在企业间的信息安全交流和管理中,也需要有共同的语言来建立互信机制。

数千年来,多次朝代更替,中原文化也多次历经外族入侵,然而主体的中华文化特性却能始终保持下来。随着知识经济全球化以及互联网的迅速发展,西方文化对我们的影响也日益增强,不过相信精华将被吸取,糟粕将被摒弃。ISO 27001信息安全管理标准在面临中国几千年传统文化之时,会产生什么碰撞和融合效果呢?今天我们来探讨一下信息安全管理体系中的一个重要话题——信息安全事件管理。昆明亭长朗然科技有限公司的企业安全顾问James Dong说:在信息安全事件的披露和响应方面,西方文明讲求事实和科学;而中华文明则关注伦理与影响。

如何有效响应信息安全事故呢?这里面并没有中西文化优劣之说,但却值得我们细细思索和采取必要的措施。James举例说:大到国家层面的信息安全监管机构,小到公司部门的安全协调人员,都很难让人们主动报告信息安全事件。这就如同领导上台提倡让下属们进行自我批评一样,几乎没人会真正来揭丑亮短,这就是中国公司很少有信息安全事故报告出来的主要原因。

明眼的信息安全管理人员会制定相关的制度,以期通过惩戒“隐瞒不报”、“迟报”、“谎报”等手段来激励人们报告信息安全事故。这能起来一部分的效果,但是并不足够。因为“一票否决”、一把手负责等等政治因素,加上责任和面子,会让安全事件发现人员和级级的领导阶层先做一个评估。评估是为了决定私下大事化小、小事化了,捂着盖着,还是乖乖上报。

此外,即使有一个机构或部门中的某个环节出现一点纰漏,整个机构或部门帮忙“打掩护”的情况也很多见。为什么这些人们要这样呢?他们仅仅只是为了自己小范围的利益而牺牲大范围的集团利益吗?答案并非如此,原因在于人们不理解信息安全事故报告和处理思想及流程。James分析出如下几条常见的心态:

1.在中华传统文化中,事故往往是不好的,丑事坏事都不吉利,应该尽量规避,好事不出门,坏事传千里,我们不应该记录和传播不好的事儿。

2.出事是不应该的,出事儿意味着责任心不足、态度不好或能力有问题……这些无疑将带来负面的影响,不想在仕途或职场倒霉就别让这传播出去。

3.在我这弄出的事儿,我这儿要给它灭了,不要去劳烦上司。等事儿给解决了,可能领导也不过问了,即使再报告或许也能获得个从轻发落,甚至因为响应及时而获得领导的褒奖。

对公司信息安全管理负责人来讲,要让员工们及主管经理们建立正确的信息安全事件观念,可不能不考虑这些固有的文化心态。在了解这些心态之上,采取必要的安全意识沟通教育,方能建立健全有效的信息安全事件管理流程。