将PDCA方法应用于安全意识教育

引子

PDCA相信很多人不陌生,对接触过管理思想的人来讲,更是熟悉,不过还是让我们简明快速地讲一下。PDCA是英语单词Plan(计划)、Do(执行)、Check(检查)和Action(处理)的第一个字母,PDCA循环别称戴明环,是质量管理的基本方法,也是企业管理各项工作的一般规律。

对于信息安全从业人员来讲,PDCA也是建立信息安全管理体系ISMS的一项方法论。昆明亭长朗然科技有限公司信息安全意识课程开发主管董志军说:教育培训管理可以使用PDCA方法,信息安全管理可以使用PDCA方法,当然,交叉起来,作为人员安全管理的一个重要部分,信息安全意识教育培训也可以使用PDCA方法。

现状

在业界,很多技术型的信息安全专员不了解信息安全意识的重要性。而只有站在足够的高度的管理型安全专业人员才清楚:大部分的安全事件是由于最终用户对安全的无知或忽视而引起的,这些事件甚至包括造成重大损失的安全事故。通过恰当的信息安全意识培训,大部分由最终用户引起的安全事件可以得到避免。

信息安全意识培训负责人正逐渐认识到对最终用户进行安全培训的重要性,但是却往往没能掌握到科学的安全意识教育工作方法,更没能认识到培训工作需要得到持续不断地进行,并不断改进。正是因为如此,不少信息安全意识宣教活动都停留在表面,拍拍照,秀一下工作完事了,根本没有什么效果。

这种状况需要得到改变,否则必是安全管理的不完善。昆明亭长朗然公司董志军指出:由于信息安全管理的三大支柱是人员、技术和流程,即使技术型的安全专员多花出几倍力气和资源投入,也是无法有效解决人员意识和管理问题。

路子

针对人员安全意识培训的短板需要补齐,而具体该怎么做,则可参考PDCA方法论。其实信息安全意识培训负责人员可以和管理体系人员,以及职业的培训专员来探讨。如下,我们分享一点

P (Plan)计划,包括信息安全意识培训计划的制定。这里面包括搜集和分析安全培训需求并且制定培训目标,以及制定培训战略,创建培训计划。可以通过对最终用户进行水平的评估,来确定信息安全培训需求;也可以为最终用户划分到不同的类别中,以确定用户处于哪个类别,量身定制信息安全意识培训计划以便能最好地满足他们的需求。在计划制定方面,要保持安全培训的简洁,调整培训以便适应最终用户的水准,创建培训课程,以适合安全知识最少的最终用户。非正式的和基于电脑的培训在改进最终用户的安全表现方面最为有效,应该将这些培训方式应用到信息安全意识培训计划之中;正式的培训加上微培训和测试是保持安全意识在最终用户的头脑中处于更新状态的最好的方法;

D (Do)执行,根据上一阶段所制定的培训目标和计划实施信息安全意识培训活动,可能是通过外包还是内包的方式,可能是在线课程、互动挑战、“微培训”等多种形式。最终用户的安全知识水平可能参差不齐,毕竟大部分用户并不是安全方面的专家,培训时一定要尊重他们,让他们觉得受到了平等的对待。在培训活动开始前后,征求用户的想法和意见,倾听是很有效的沟通方式。

C (Check)检查,跟踪、评估培训的实施情况,在上一阶段,我们应征求用户的想法和意见。同时,也可以通过各种工具和手段来衡量信息安全培训工作绩效,比如通过在线调查表、测试考核等。

A (Action)改进,根据培训工作绩效评估结果,结合实际发生的安全违规情况,并与培训目标进行比较,找出培训中存在的问题,不断改进我们的培训流程,包括在课题的选择、交付的方式、培训的技巧等等方面进行持续的改善,如此便进入到下一个PDCA循环中去。

总结

不论一家组织规模如何,所处行业如何,都需要进行信息安全意识培训。使用PDCA方法,设定培训计划,执行计划并对最终用户的学习情况进行持续的检测可以不断改善信息安全,以及安全培训工作。有近半数的公司在提供了针对最终用户的信息安全意识培训之后看到了安全行为方面有明显的改进。

如果您对这个将PDCA方法应用于信息安全培训的实践有兴趣或意见,我们有一部公开课可供您参考和指正。此外,昆明亭长朗然科技有限公司在安全、保密与合规方面,提供专业的针对全员的培训解决方案,欢迎联系我们,了解详情或洽谈合作。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

三谈信息安全意识计划的重要性

如果没有适当的实施员工意识和培训的政策、程序和工具,就根本无法实施有效的信息安全计划。这是因为,学习通常包含三个关键要素:

1.意识,用于激励和提醒学员(员工、受众),了解对他们的期望。
2.培训,用于教授技能或掌握所需工具的过程。
3.教育,是支持或作为职业发展过程所需的专门、深入的教学。

了解了学习的三个要素,方能理解人员在信息安全计划中所扮演的角色和作用,以及如何利用这些要素来建立意识计划,如何细分学员以及如何确保使用恰当的安全知识信息内容,如何能采取适当的手段有效地将信息内容传达给学员。

信息安全价值管理

信息安全相关政策、标准、流程和规则的开发仅仅是有效的信息安全计划的开始。如果没有适当的规章来确保员工了解他们对组织信息资产的权利和责任,那么再强大的安全体系结构将变得效率低下。

安全专家经常在实施“完美”的安全计划之后,很惊讶地发现竟然失败了,原因在于他们忘记了将安全控制产品或技术“售卖”给他们的用户。对此,昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说:所有需要用户参与或者会影响到用户的安全管控产品或技术,都需要获得用户的理解和支持才能发挥预期的效力。因此,为了获得成功,信息安全专业人员必须找到一种将产品和技术“售卖”给用户的方法。

多年以来,信息安全专家们都自认为是企业的管理人员,希望部署更多安全管控设备,比如防病毒、防火墙管理、终端接入管理、上网行为管理、账户权限管理、补丁漏洞管理和入侵检测管理等等。殊不知,企业中几乎所有员工都是某种意义上的管理人员。员工们都会认为自己已经学会了工作所需要的知识,所有的“管理”工作都是在为组织增加价值,就像大的高管们的任务是确保实现企业的业务目标和使命一样。然而,信息安全专业人员没有做到的,也往往是最需要做的就是“售卖”信息安全服务。

信息安全专家们必须检查安全服务,例如风险分析、政策、流程、标准、漏洞评估和业务连续性计划等等,并确定每种服务如何支持业务目标。在提高效率之前,您需要评估团队提供的沟通服务,并对“售卖”策略进行管理。简单说,现在的用户“很难伺候”,安全专家们必须拿出安全控管的商业价值,方能让用户理解、接受并配合相关的安全控管。否则,用户们只需说一句“这破烂儿安全系统阻碍了业务的成功运作……”,就足以让信息安全专家们无言以对,进入退缩和懊悔的状态,进而让安全管控设备下线。

安全意识计划的首要目的便是将安全价值信息传达给人们。

安全计划的关键要素

机密性、完整性和可用性是信息安全的三要素,也是安全计划的驱动力。对于可用性而言,有效的信息安全计划致力于确保组织的信息及其处理资源在授权用户需要时可用。机密性和完整性的目标并不仅限于将坏人拒之门外。它们还可以确保有业务需求的人员可以访问执行其工作所需的资源。机密性可确保建立控制和报告机制,以快速、准确地检测问题或可能的入侵。

有效的安全计划必须考虑组织的业务目标和使命,并确保尽可能安全地实现这些目标。了解用户的需求是建立有效的信息安全计划的第一步。意识计划必须加强这些目标,只有这样,才能使安全计划更易为员工们所接受。

与安全政策、标准和流程一样重要的是安全计划的体系结构和支持安全计划的基础结构,不过,麻烦的问题是,在现实中,大多数员工并没有时间,也不希望阅读这些文档。对此,昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说:这不见得完全是坏事儿,要从高高在上的战略目标和神圣使命,下沉到影响日常工作效率的安全控管细节和安全要求,需要将有进行有效拆解和关联的智慧与技艺。

信息安全计划有五个关键要素,必须展示给受众们,它们包括:

1.信息安全是业务流程的重要组成部分的概念
2.确定执行安全计划的人员的不同角色和职责
3.确定信息以及应用程序、系统和业务流程的安全敏感性
4.实施基本的安全概念例如职责分离、需要了解和最小特权原则的业务原因
5.高级管理层对信息安全计划目标的支持

安全意识计划的次要目的便是将安全计划之关键要素传达给人们。

行动起来推动安全计划

在开始向同事们“售卖”信息安全之前,您得先将其出售给自己和高管,然后才能推及用户。

首先,您需要说服自己,所做的事情会为组织增值。在谈及有关信息安全问题的课程时,我总是要求安全专业人员完成一件事,以帮助组织实现其业务目标或使命。这就是应以非安全、非技术、非审计的术语,使用业务部门经理听得懂的语言来表达信息安全价值声明。

其次,许多信息安全专业人员直接或间接地向被执行者(受安全控管措施影响的人员)展开营销,这会引起员工们的抵触,就如同他们收到了垃圾邮件或骚扰电话一样。正确的方式是通过高管(如首席执行官、首席财务官、首席信息官、首席安全官等)来失去。这样,才更有其“合法性”和“权威性”,因为员工们相信高管们的要求是支持组织的业务目标和使命的。

然后,确保用户们及时、有效地访问信息安全服务资源,告知受众您是如何在帮助他们安全地完成自己的工作。如同您应对管理层那样,您也必须将这些安全服务以用户们能理解的语言呈现出来。切记:安全要求或审核要求不是业务流程的一部分,只有业务目标或任务要求才是。因此,当我们在提供信息安全服务时,必须使用管理层使用的术语。

安全意识计划的第三目的便是将安全要求以人们懂的语言传达给人们。

总结语

信息安全的目标必须服务于业务目标,信息安全不是闭门造车搞技术控制,而是为了保护信息资产的管理活动,不管是从信息安全价值管理、目标管理还是过程管理来讲,信息安全意识计划都必不可少。本文是指导性的论述,如果您对我们的观点有看法,欢迎不要客气地联系我们。昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构强化信息安全意识沟通,我们有大量的信息安全意识宣教素材资源,欢迎有兴趣的客户及合作伙伴联系我们,洽谈业务方面的合作。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898