成功信息安全意识的四个特征

信息安全意识培训该如何做?应付差事的讲师可以上网找个简单的PPT,修改一下背景风格,在新员工培训课堂上讲一会儿就完事儿。这样行不行?有着多年信息安全意识经验的昆明亭长朗然科技有限公司企业信息安全文化讲师董志军说:如果不讲究效果的话,讲师把差事应付了,不过同时也把学员们的时间浪费了。做事情,要么做好,要么不做。安全意识培训计划应该是信息科技和人力资源部门共同努力的结果。没有明确目标的危害性培训是在浪费学员们的时间和精力。

如下这四项是衡量一项成功的安全意识培训计划的必要元素,安全意识培训团队可以参照这四个步骤,自行检查工作是否到位。

一、目标

设定明确的目标:明确定义安全意识培训打算实现的目标。例如:将网络钓鱼邮件的报告数量增加15%,在整个组织中获得的平均安全状况得分达到90%以上,将与网络安全相关的人为错误的数量减少10%,或改善与业务安全性相关的其他指标值。设定目标是首要原素,切记,没有目标便没有方向,没有方向便没有成果。

二、团队

建立内部安全培训团队:建立安全意识工作队,负责管理和组织安全意识培训计划。确保团队中的人员都有权推动该计划的执行。可以每半年或每年轮流让这个团队与另一组人员一起提出不同的观点和想法。信息安全意识是面向全体员工的人力资源沟通工作,没有团队成员,工作如何能得以执行呢?

三、内容

设计引人入胜的内容:一言以蔽之,信息安全意识培训课程可能很无聊。提供引人入胜的培训内容(线上学习、测验竞赛、安全冠军赛等)将使员工们更加了解网络安全。量身定制内容以满足不同员工群体对信息安全的培训需求,例如,普通员工、管理层、特定岗位的员工、合同工等等。需知,内容资源是信息安全意识制胜的武器,没有武器,无异于赤膊上阵对战全副武装的敌手。

四、更新

每年(至少)更新一次安全培训计划:通过调查和测验,以了解员工们对信息安全实践知识的了解程度,进而知道如何改进。每年至少检查和更新一次培训计划,以应对业务面临的新的信息安全挑战。我们需要保持信息系统和应用程序的更新,当然,安全意识培训计划亦是如此,常常反思如何改进,尝试一些创新的宣教手段是关键。

让我们简单总结一下,建立企业信息安全文化是一个持续改进的过程,成功的信息安全意识必须拥有上述几个特点。我们需要设定目标、组建团队、使用优质的课程资源,并不断加强安全最佳实践以及应对现有威胁和不断发展的威胁的新思路。

昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划,不过,请牢记,信息安全意识是企业安全文化的一部分,在文化建设方面,外力永远是个助力推手,内生的动力才是最重要的,信息安全意识计划的成功最终将取决于员工们对现有信息安全最佳实践的了解程度。此外,如果您需要我们帮忙策划安全意识宣传活动,或者需要高质量的安全宣教内容,请不要客气地联系我们。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898

唤醒员工安全意识降低网络安全风险

云计算和移动化让传统的网络安全控管边界失效,同时也激发了诸如零信任之类的网络安全架构方面的创新,不过尽管如此,创建漏洞的员工们依然是网络犯罪分子突破组织安全防御时的好朋友。对此,昆明亭长朗然科技有限公司网络安全研究专员董志军说:尽管技术型的安全保障很重要,但是在保护工作单位的信息免受各种形式、规模和动机的网络犯罪分子侵害时,员工仍然是安全防线中最薄弱的环节,是木桶中的最短的一块儿板子。

坚定的网络犯罪分子定期通过复杂的网络钓鱼攻击,诱使粗心大意的员工们上钩,通常采取以下破坏安全性的伎俩:

  • 禁用、避开或越过安全管控措施,例如防病毒软件和防火墙软件等等。
  • 从可疑网站下载文件,这些文件会将恶意软件安装到电脑、平板和智能手机等计算设备上。
  • 单击来自陌生或危险域名的网络钓鱼邮件中的恶意链接。
  • 打开包含启动恶意代码的电子邮件附件。
  • 回应仿冒的请求,将重要的信息,比如账户、密码、战略、机密等合盘托出。
  • 误认为受到了上级或供应商的指示,将款项电汇到骗子指定的银行帐户。

以上网络钓鱼的风险非常普遍,我们通过各类媒体,经常都能看到类似的事故。组织需要唤醒员工的安全意识,以更加了解风险并更加警惕保护数据和计算基础架构。以下是针对员工们的安全意识计划宣传方案建议。

实施计算设备使用政策

传统上,由于国内缺乏透明的法治环境,很多企业机构也以“人治”为主,造成员工们不知道哪些信息系统使用行为是应该的,哪些不是,进而给网络犯罪分子以可乘之机。为防止因员工无知带来的网络安全风险,在政策层面,各类型的组织机构应该:

  • 制定可接受的计算机和互联网使用政策。这是为员工们使用信息系统指定一个大的方向,政策应该指定哪些行为是可接受的,比如鼓励员工报告可疑的消息;也应指定哪些行为是不可接受的,比如禁用安全程序或发布不法消息。
  • 确保该政策内容包括关于密码分享的禁令。有些小团队为了协同工作而内部分享密码,这种情况早期很普遍,因此带来不少的安全隐患,必须有政策禁止密码分享,这是提升安全,让员工们担负起保护账户的原则。
  • 让每个员工和承包商阅读并签署政策。如同保密协议一样,信息设备使用政策也需得到签署,以表示员工们对此的认可和承诺。
  • 告知违反政策的行为将记录在人事档案中,这将成为绩效评估、计算奖金、晋升事项和解雇理由的因素。这是确保政策执行力的关键措施,否则人们将会忽视规则,以及网络安全要求。

举行安全意识活动

只靠员工签署信息系统使用政策并不足够,很多员工可能并不会认真地阅读文本,也可能不会很好地理解其中的内容精要,也有一些员工可能会在实际工作时忘掉或者不能将政策与实际工作结合起来。因此,要降低网络安全风险,各类型的组织机构应该:

  • 提供安全意识知识内容。可以自行创作编写,也可以采购专业的网络安全意识作品,包括动画视频、宣传图片和电子课件等等。
  • 让所有员工和供应商每年都参加安全意识刷新。每年进行安全意识刷新,以防止遗忘,并紧跟安全威胁态势的发展,为确保学习质量,需要进行知识能力的考核。
  • 定期沟通讲解电子邮件、社交媒体和互联网使用中的安全风险。安全意识沟通需要长期不断地进行,以让员工们逐渐养成良好的安全习惯,也促进组织机构的安全文化建设。
  • 讨论和分享组织内部和行业发生的安全事件,并从中汲取教训。从安全事件中汲取教训是防止类似网络安全事件再次发生的关键措施,分析安全事件的根本原因,有针对性的提升安全意识。
  • 定期通报对可接受的信息系统使用政策的审查结果。没有检查,没有衡量,就没有效果。定期检查员工们的安全表现,检查计算设备的安全运行情况等等,并进行通报,奖励做的好的员工,带动良好的网络安全文化氛围。

将供应链纳入安全意识计划

现在,大多数组织都允许供应商、分销商和客户有限地访问他们的某些系统。供应商安全管理不当引起的一些安全漏洞,被网络犯罪分子使用获取访问权限的事件偶有发生,需要引起重视。因此,组织机构应鼓励或坚持其供应商和分销商应执行降低安全风险的计划,其中包括互相检查常规的安全控管措施和对供应链相关部分进行安全意识沟通。

进行年度安全意识审核

组织应进行年度审核,以向管理层保证安全意识计划在最大程度地降低网络安全风险和数据泄露风险方面的工作。审核范围应包括对以下内容的审查:

  • 违反可接受使用政策的情况。
  • 适当和不当访问系统的统计。
  • 员工发现和报告安全事件的情况。
  • 安全意识培训活动的参加情况。

唤醒员工安全意识是一件长期而琐碎的工作,不仅需要坚持不懈的努力,也需要良好的沟通技巧和沟通素材。昆明亭长朗然科技有限公司精心创作了大量的网络安全意识宣传培训作品,包括电子课件、动画教程和宣传图片,欢迎有兴趣、有需求的客户及合作伙伴联系我们,进行作品的预览和采购。