安全意识培训应成为安全管理的重要战略举措

俗话说“春种一粒粟,秋收万棵籽”,“一年之计在于春”,春天是忙碌耕耘的季节,对信息安全行业的从业人员们来讲也是如此。各类组织的安全管理团队纷纷开始制定新的一年的安全目标、战略和实施计划,希冀能积极面对各类不断演变的安全威胁、通过各类安全控管措施,降低组织所面临的安全风险,进而达到保障业务的安全持续运作的总体目标。

然而,想在年终大会上进行工作总结时好好展示一把信息安全部门对于组织业务成功的伟大贡献并不容易,来自各个业务部门的高阶管理层会关注到部门内外相关的严重的计算机信息安全事故、由于安全事件给业务正常运作带来的不利影响如停工时间、客户流失、商业信誉损失、机会损失等等。

虽然我们并不能完全杜绝安全事故在组织内的发生,甚至即便我们的安全团队进行了适当的安全应急响应措施,最大限度地挽回了潜在的损失,仍然不免会被高阶管理层误解,甚至受到批评和指责,问题的根源何在?即使不是高管们刻意刁难,能投入更多的钱,请最牛的高手,实施最为领先的安全系统,也还面临着安全与效率的平衡问题。

不要以为高管们不懂得安全,他们可能确实不会配置防火墙,甚至工作电脑中了毒也还要求助于IT帮助台,然而他们对于您制定安全的控管目标和战略会有很大帮助,想在信息安全方面制定出满足SMART标准的目标并不容易,特别是安全控制目标缺乏行之有效的衡量标准,所以没能进入到组织核心决策层的信息安全管理负责人员永远可能会低一头,因为业务高管可能会轻易给信息安全工作的成绩给出或好或差的判定。

再问一次,问题的根源何在?如果安全管理负责人不想让团队的后期努力付诸东流,一年下来却发现白忙活了一场,就应该现在反思一下。

对于绝大多数组织机构而言,安全不会是核心的商业竞争力,无论如何信息安全管理负责人难挤到核心层,或许您要辩解说核心层的高管才应该为安全负责,这就对了!那您有没有想,既然高管和业务部门要为安全负责,那要专门的信息安全团队和人员干嘛?

好!到这里,聪明的您应该明白问题根源所在了,就是安全不仅是信息部门的事情,安全需要高管以及各个业务部门成员的参与,实际上,保障信息安全是组织所有成员的职责,所以让所有员工都参与进来吧!

信息安全负责人及部门成员再不应该继续像无头苍蝇一样埋头于技术的安全控管系统,应该多与各业务部门沟通协调,帮助他们了解基本的安全理念,帮助他们找出组织层面和部门层面的重要信息资产,帮助他们认识到这些信息资产所面临的安全威胁,帮助他们并和他们一起讨论及制定安全风险控制措施……

有了高阶领导层和业务部门管理层的参与,员工们也更有了主人翁精神,这才是真正在做安全,这种安全是和业务紧密相关的,不管叫风险管理、业务安全、公司治理什么的,总之,信息安全团队的价值得到了更大的发挥,而不再是配置个网络安全系统,控制了员工的网络使用行为,又引起了员工的消极对抗等等这些较低的安全管理行为。

所以,在制定安全战略时,要考虑更多与业务部门管理层及全体用户的沟通和交流,要为此分配资源,要给出足够的安全预算,要制定全体员工的安全意识培训计划……

武汉大学计算机学院副教授、信息安全博士彭国军称:信息安全是三分技术,七分管理!相对于某些安全设备投入而言,加强员工的信息安全意识,使其能够及时感知安全威胁并合理规避风险,更有意义和效果!

有信息安全从业人员觉得安全沟通不容易,用户要么忙忙碌碌重视不过来安全,要么做贼心虚刻意躲避安全……实际上,通过安全意识培训来加强沟通和理解是最佳的途径,昆明亭长朗然科技有限公司在这方面积累了丰富的经验,帮助了众多客户成功地通过安全意识培训,进而建立起组织内的安全文化,增强了企业的凝聚力和竞争力,亭长朗然公司欢迎对这些有兴趣的客户来电来邮件进行咨询。

我们总结一下,制定信息安全管理的目标、战略和计划时,要考虑到信息安全是为了保障公司的业务持续,是为了保护组织的成功,所以,信息安全不单是安全部门的职责,更不能信赖单独的技术控管措施,加强同高管以及各业务部门的沟通协调,Involve他们到一条船上,也让所有员工参与进来,方可共建成功的安全体系,也方可共享信息安全建设的胜利果实。security-check

成功信息安全意识的四个特征

信息安全意识培训该如何做?应付差事的讲师可以上网找个简单的PPT,修改一下背景风格,在新员工培训课堂上讲一会儿就完事儿。这样行不行?有着多年信息安全意识经验的昆明亭长朗然科技有限公司企业信息安全文化讲师董志军说:如果不讲究效果的话,讲师把差事应付了,不过同时也把学员们的时间浪费了。做事情,要么做好,要么不做。安全意识培训计划应该是信息科技和人力资源部门共同努力的结果。没有明确目标的危害性培训是在浪费学员们的时间和精力。

如下这四项是衡量一项成功的安全意识培训计划的必要元素,安全意识培训团队可以参照这四个步骤,自行检查工作是否到位。

一、目标

设定明确的目标:明确定义安全意识培训打算实现的目标。例如:将网络钓鱼邮件的报告数量增加15%,在整个组织中获得的平均安全状况得分达到90%以上,将与网络安全相关的人为错误的数量减少10%,或改善与业务安全性相关的其他指标值。设定目标是首要原素,切记,没有目标便没有方向,没有方向便没有成果。

二、团队

建立内部安全培训团队:建立安全意识工作队,负责管理和组织安全意识培训计划。确保团队中的人员都有权推动该计划的执行。可以每半年或每年轮流让这个团队与另一组人员一起提出不同的观点和想法。信息安全意识是面向全体员工的人力资源沟通工作,没有团队成员,工作如何能得以执行呢?

三、内容

设计引人入胜的内容:一言以蔽之,信息安全意识培训课程可能很无聊。提供引人入胜的培训内容(线上学习、测验竞赛、安全冠军赛等)将使员工们更加了解网络安全。量身定制内容以满足不同员工群体对信息安全的培训需求,例如,普通员工、管理层、特定岗位的员工、合同工等等。需知,内容资源是信息安全意识制胜的武器,没有武器,无异于赤膊上阵对战全副武装的敌手。

四、更新

每年(至少)更新一次安全培训计划:通过调查和测验,以了解员工们对信息安全实践知识的了解程度,进而知道如何改进。每年至少检查和更新一次培训计划,以应对业务面临的新的信息安全挑战。我们需要保持信息系统和应用程序的更新,当然,安全意识培训计划亦是如此,常常反思如何改进,尝试一些创新的宣教手段是关键。

让我们简单总结一下,建立企业信息安全文化是一个持续改进的过程,成功的信息安全意识必须拥有上述几个特点。我们需要设定目标、组建团队、使用优质的课程资源,并不断加强安全最佳实践以及应对现有威胁和不断发展的威胁的新思路。

昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划,不过,请牢记,信息安全意识是企业安全文化的一部分,在文化建设方面,外力永远是个助力推手,内生的动力才是最重要的,信息安全意识计划的成功最终将取决于员工们对现有信息安全最佳实践的了解程度。此外,如果您需要我们帮忙策划安全意识宣传活动,或者需要高质量的安全宣教内容,请不要客气地联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898