如何让员工发挥信息安全正能量

security-positive-attitude
前几天和一位国外安全专家谈起棱镜事件,对方披露了美国政府对此事件的总结,让人颇受启发:仅仅需要一名职员,便可在瞬间瓦解整个国家的安全体系,甚至信誉。细想想,貌似我们常言“一颗老鼠屎,坏一锅汤”。的确如此,能与美国抗衡的欧盟和俄罗斯纷纷指责美国的监控,美国老大虽然我行我素,但是在全球市场却开始处处受制于当地的隐私保护法律。

我们不讨论Anonymous黑客组织以及Snowden先生到底是正义还是邪恶的力量,我们只在小的范围内来看,比如将焦点放在一家公司。昆明亭长朗然科技有限公司James Dong说:无疑一名员工也可以瞬间让公司的安全投入打水漂,进而让公司名誉扫地。特别是对公司不满意的高管或掌握着敏感信息的人员,他们的杀伤力强的惊人。当然,随便一位正常的普通员工,也可能有意无意给公司的信息安全管理工作减分——在办公室、在路上或者在家里。

专家们称有将近75%的安全事件源自“内部人员”,例如那些未经培训的员工随意下载敏感文件到便携式个人设备,进而带出公司……或者一名员工将家中感染了病毒的笔记本电脑带到公司……或者在出差途中将工作用的智能计算终端接入到不安全的无线网络……

尽管大多数由内部人员引发的安全事故并非有意而为,可能只是一个错误的决定,比如创建了不恰当的脆弱密码并将它们告知了他人、好奇地访问了不良网站或点击了可疑邮件附件……一名员工如此这般的错误决定让信息安全总成绩被减一分,两名员工如此,又被减一分,更多员工如此,被减更多分,相当大一部分员工也是如此,那就会让信息安全水平创下历史的新低。尽管公司有巨大的财力投入在安全硬件和软件之上,那也无济于事,因为大部分安全事件源自于安全最薄弱的环节——人员。

而人员是最神奇的,可以给信息安全带来负分,也能给信息安全带来正能量,如何让员工们发挥信息安全正能量呢?无疑需要强化员工们的信息安全认知水平和信息安全敏感度。昆明亭长朗然科技有限公司致力到帮助各类型的组织机构搭建信息安全管理的“peopleware”,通过让“人心安全 Secure My Mind ”,建立一道信息安全资产管理的第一道防线,进而获得“我行安全 Secure My Behavior”。

我们的信息安全意识教育解决方案可以向员工们提供必要的工具和内容资源,让员工们发挥出积极的信息安全正能量。

强化信息安全自检倡导廉洁自律防控监守自盗

information-security-incidents-from-insider
信息科技IT以及企业安全部门有时喜欢给自己“开小灶”,实际上,也的确有特别的业务需求,比如在互联网的访问控制上,为研究恶意网站或犯罪分子而给自己打开不受过滤限制的特权。

拥有特权总是能给人们一种“快感”,而在自己拥有特权的同时又能不沉迷和滥用“权力”,需要我们廉洁自律,在安全控管领域,无疑还需加上一条防控监守自盗。

对于信息化管理相对较弱的行业来讲,信息系统管理员拥有虚拟世界中的绝对权力,其挂靠的主管经理可能不懂IT,于是规范信息安全管理看起来是在革自己的命,其实无组织无纪律自由涣散的IT特权滥用才真正的革自己的命。昆明亭长朗然科技有限公司信息安全事件观察员James Dong说:我们看到太多掌握技术和特权的IT和安全从业人员沦为阶下囚的案例,比如某某系统管理员在离职后入侵原东家,或在系统中留下逻辑炸弹造成巨额损失,某某网络安全管理员变身地下黑客等等。他们不仅辜负了主管经理对他们的信任,更是牺牲未来拿自己的青春下赌注。

问题的根源何在呢?是这些家伙们职业道德素质低下?虽然我希望您不要简单下结论,但我想问一问是什么原因造成这种“职业道德素质低下”现状的?不自觉么?监管的缺乏么?搞信息安全的,往往就担负着监管的角色,对监管的含义理解难道还不够么?他们在执行信息安全策略的时候,希望员工们能够自觉遵守,难道自己不能够廉洁自律吗?

监守自盗说起来是安全行业之耻,可是“世上本无事,庸人自扰之”,由安全从业人员搞出来的安全事故并不少见,而且往往比较隐秘且难以调查。在南方制造业发迹的初期,保安人员与仓管人员里应外和窃取工厂物品的案子层出不穷,让国外老板们觉得不可理解,也让国民的形象大打折扣。

其实,这和那代中国人淡漠的资产观念有关,打土豪、分田地、共产主义大锅饭等等,让掠夺和均分成为潜意识中的常态,从帝国主义资本家那里拿点东西没什么罪恶感,这才是问题的关键。

改革开放经历了几十年,人们的财产观念有了转变,不管黑客白客,赚到钱就是红客。可是人们只看表面财富,不在意财富来源,也是个新的错误观念,尤其当勤恳努力工作的人们所获得的报酬远不及投机投资所带来的收益,人们会想到使用歪招赚钱,“投机倒把”偷蒙拐骗之类的江湖招数就出来了。防范这些江湖招数的信息科技和安全控管力量,实际上也是这个大的生态环境的一部分,就如同人们常说的“警匪一家亲”,安全监管人员摇身一变,或来个双重身份,滥用特权来监守自盗会造成的损失和危害自然更大。

我们了解了这些安全事故的社会、历史、文化和思想根源,便会想该如何有效防范。亭长朗然公司的James表示:大环境的改善还是需要国家高层的指导,不过,在一个小范围内,做到“出淤泥而不染,濯清涟而不妖”并不太难,尤其是在IT及安全人员自身,我们仍然能够有所重要行动、有所避免、有所成就。这便是我们建议的“强化信息安全自检”措施,因为只有我们认识到问题的严重性,以及擅自利用特权可能造成的恶果,我们才会有正确的思想和规范的行为。

亭长朗然公司开发制作信息科技安全管理意识教案,为那些愿意提升安全思想认识水平和改进廉洁自律行为的IT及安全从业人员们抢建自我救助的思维“安全防火墙”以及行为“安全红线”。而对于一个小范围的组织机构,则应该在加强信息科技人员以及安全保卫人员的道德自律教育之外,还需明白大部分的信息安全事件都源自于“内部”,所以强化全体员工遵循日常安全操作流程和行为规范,以促使员工们勤勉履职、合规操作,避免由信息安全事件造成的损失。这一切的开端,便是我们今天在最后要愿意同您分享的信息科技安全知识教育课程样本,请联系我们吧。