培育安全意识文化的九个步骤

自从人们将计算机连接到互联网,便面临着黑客入侵、病毒感染和数据泄露等等的网络危险。众所周知,将计算机连接到互联网的简单行为立即将其所有的数字内容置于危险之中。随着时间的流逝,互联网逐渐演变成物联网,我们的世界将越来越互相连接。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:所有连接到互联网的计算机、智能家电、移动设备、无人驾驶设备、智慧城市设备等等都已经或即将处于人类网络防御的前沿。由于网络攻击,绝大多数企业最终将遭受不同程度的财务损失。受到网络犯罪分子攻击的现实是当今所有联网设备都必须面临的非常残酷的威胁。

致力于数据保护的全新安全产业的诞生证明了对这类威胁的认识。实际上,人类世界每年花费数万亿元用于保护网络和网络中包含的专有信息。从政府机关到公司企业,多个部门致力于保护数据、建立专注于计算机保护的安全计划。我们帮助过各种类型的组织机构加强对其最终用户、程序员以及大众网民的安全意识教育,以期人们能够尽早接受保护信息资产的安全理念,并担负起相关的角色和责任。对此,董志军补充说:要保护好互联世界中的数字资产安全,我们必须深刻理解信息安全掌握在我们全体人类的手中、是我们共同的责任的事实。只有这样,当我们与互联网互动时、当我们面对各种各样的网络威胁时,我们就越能保护我们的信息安全。如下,我们将逐一讨论保护信息安全,培训安全文化的九个步骤。

一、培养安全责任感

要让人类共同承担起保护网络安全的责任,需要我们培育普适的信息安全意识文化,这种安全意识文化将与传统上的各种文化交融,并促进人类文明向新的更高、更安全的方向发展。保护我们自己计算机上的数据确实并且应该属于我们自己的责任范围,这当然是不言而喻的。尽管有些人可能会认为承担这项责任是拥有计算机的必然结论,但是在看不见的数字世界里,人类可以在物理世界中感到相对安全的同一社会结构根本不存在。这主要是因为数字世界本质上是看不见的。攻击者可以匿名进行匿名攻击。用于攻击的技术是一种相当新的技术,并且总是在不断变化,因此,甚至有可能在捕获犯罪分子时也没有法律起诉数字犯罪分子。此外,网络罪犯分子也可能与受害者不在同一个国家,并且可以完全避免起诉。这是一个难以捉摸、匿名且令人沮丧的数字犯罪世界。因此,各类型的组织和个人不能依靠传统的社会结构、法律或其他现有障碍来保护其数据。相反,数据所有者必须承担保护数据的责任。如同教育青少年儿童人类的基本价值观一样,安全责任感的培育是保护数字世界安全的首要任务。

二、分析和评估信息风险

风险管理方法是人类的一项重要文明成果。为了对不同类型的信息数据提供适当和合理的保护,数据所有者必须首先准确确定要保护的内容。归档文件、人员信息、客户信息和专有过程等等各种信息都需要受到保护,但是它们的安全级别可能不同。当然,根据您所在组织的类型,您可能需要保护不同类型的资产。确定确切的保护内容和保护方式涉及创建信息资产清单、识别这些信息资产面临的风险以及决定如何最好地应对这些风险。风险文化是很多组织得以长远发展和基业长青的关键,有很多关于风险管理的方法介绍,我们在此不做赘述。

三、制定信息安全政策

一旦资产和风险得到记录,就必须制定旨在保护组织资产的政策并将其付诸实施。成功的政策不可能迅速而随意地得到制定。这些政策必须是周密的,但也不能太过细致,繁琐的细节使组织无法进行实际的工作。因此在设计安全政策时,请确保尽一切合理的努力使这些政策易于落地和实施。应当强调的是,安全政策应该促进工作的开展,而不是以安全的名义使其停顿下来。同时,请确保安全政策弥补了现有业务流程的安全不足。如果将政策告知于员工,但员工们却感觉不到安全是他们日常工作的自然组成部分,那么他们将不太可能将安全落实于正常运营。切记:只有将安全政策嵌入了日常的业务流程,安全行为被人们不断重复并养成习惯,安全意识文化才能慢慢深入人心。

四、建立信息安全团队

有了风险应对的计划方案和旨在保护信息资产的安全政策,就需要我们在组织范围内建立信息安全团队。信息安全团队可以有专门的组织架构,在由高管组成的信息安全管理委员会的领导之下,接受管理委员会的工作指派,为管理委员会而负责。因此,信息安全团队应由公司各个部门或业务单元的代表组成,这些代表一般都接受过信息技术和信息安全方面的适当培训。需知,这些人员不能仅仅是信息技术或安全方面的专业人员,还应包括组织中各部门或业务单元中对确保数据安全充满热情和才华的人员。

五、实施多级安全培训

安全不仅仅是安全团队的职责,更是全员的职责,管理层、不同岗位的员工们必须认为到自己的安全职责。同时,要保障风险应对措施的执行、确保安全政策的落实,必须要依赖受影响的员工们。因此,必须对组织各个级别的员工们进行安全意识方面的培训。全面的培训计划将教育员工实施某些安全控制措施、制定某些安全政策的原因。通过全面信任、赋能并关爱员工们的安全心理和思想,他们不仅会感到自己扮演着重要的信息安全角色、很有价值,而且会对在日常运营中如何最好地保护自己负责的资产有更深入的了解。

重要的是不要忘记,组织中的每个人都必须接受部门政策和组织中个人角色的培训。从首席执行官到客户服务代表的每个人都必须接受有关其所在岗位如何影响安全的适当培训。如果某人未能执行保护其工作资产所需的安全步骤,则组织的安全性将面临漏洞,并且组织的数据被成功攻击的可能性将更大。因此,绝不允许组织中某些人员以资历和职位凌驾于已采取的安全措施之上。一项好的安全意识培训计划将为整个组织提供牢固的安全人力资源基础,进而让人力资源在安全方面更加“开化”,即促进安全文化的培育和养成。

六、创建安全工作基线

没有衡量就没有成果。在组织可以确定安全工作是否确实有效之前,必须制定衡量基准。这些度量标准和基线可以在以后的审核过程中使用,以确定成功的计划和政策以及需要进一步关注和改进的问题领域。对于组织而言,以准确而有意义的方式量化成功至关重要。否则,信息安全团队所做的努力可能不会在最需要的地方产生影响。

七、定期实施安全审核

像水往低处流一样,人们喜欢沿着阻力最小的道路前进。随着时间的流逝,某些安全政策就可能会得不到很好的遵循和执行,具体取决于安全政策在日常工作中的适应程度和自然程??度。使用在上一步我们创建的安全衡量基准,对比实际情况,便可以执行安全审核,将为组织内部的安全状态提供良好的参照。形成参照图之后,可以清楚地看到需要改进的地方,并且可以采取适当的整改措施来纠正影响安全的所有问题。人类就是在不断的自我审视过程中前进的,良好的安全文化是一种可以不断自我修复的文化。

八、制定灾难应对规划

一怕一万,就怕万一。不管安全政策有多么的周密,无论采取了什么措施来减轻风险和培训员工,组织都应该为灾难来临做好准备。灾难的例子可能是软件病毒感染了主服务器,或者是自然灾害袭击了组织的办公园区。我们可以将各种意外的重要影响事件都视为灾难,因此应采取所有合理的步骤和计划来应对此类“黑天鹅”事件。制定灾难应对计划是高级人类文明特有的特征,只有让时时准备应对灾难的安全文化深入人心,在灾难来临之时,人们才能自信坦然且井然有序地面对,才能保障最快的速度恢复正常业务持续化运作。

九、奖励安全贡献和行为

培训安全文化的重要举措是要营造一个让员工感到被鼓励实施安全行为的环境。人们会对获得成功的奖励和认可做出更好的反应。信息安全管理委员会应奖励那些有卓越贡献的安全团队成员以及员工中的安全积极分子和优秀行为人员,高层的表彰将对信息安全文化培育起来促进作用。当然,奖励成功实施安全政策和建立安全措施来保护组织安全并节省资金、提升效率的员工,这其实也是在为表彰绩效优秀的员工和创造积极向上的工作氛围。

补充与总结

与建立成功的安全意识文化有关的主要因素之一是组织面对不断变化的行业和技术而保持活力的能力。组织不应该简单地制定政策并解决安全问题。相反,应建立对政策及其有效性的持续审查。如果某项政策无效,或者某项技术无法达到组织的安全控管目标,请进行及时的更改!

如果为了安全而禁止员工执行其工作职能,则这种极端的安全毫无价值。一个经典的例子便是锁在保险柜中的没有网络访问权限的关了电源的计算机。该计算机虽然能够免受来自互联网的攻击,但是用户没有办法以任何有意义的方式实际使用它。因此,为了保持最佳安全性的同时提高生产率,请务必在工作一线倾听员工的声音。最终用户或实际使用计算机的员工们都知道安全政策会对生产力产生什么影响。对此,董志军再次补充说:无论是与服务相关的非营利组织还是营利性企业,请确保制定的所有安全政策和应对风险的控制措施都不会损害组织的底线。

昆明亭长朗然科技有限公司多年来专注于信息安全意识培训服务和产品的设计与开发,我们创作了海量的安全知识素材内容,涵盖了所有的信息安全意识培训课题,并且提供针对大型客户的信息安全意识咨询服务及信息安全文化建设服务,欢迎联系我们洽谈业务合作。

安全培训“超融合”彰显大安全理念

关心安全话题的您,最近有没有发现“安全”概念越来越大了呢?从中央部委到公司企业,很多都在将“势力范围”向外拓展呢?对此,昆明亭长朗然科技有限公司网络安全培训专员董志军表示:在紧密关联的行业,可以适当向外拓展,对于不熟悉的领域,还是要知进退。不然,就会像当年各行各业都疯狂进军房地产,结果造成产能大量过剩,最终害人害己、危害国家、危害社会、危害人类的悲剧。

“要准确把握国家安全形势变化新特点新趋势,坚持总体国家安全观,走出一条中国特色国家安全道路。”2015年7月1日,全国人大常委会审议通过《国家安全法》,同时把每年的4月15日定为“全民国家安全教育日”。

根据总体国家安全观,国家安全体系共涉及12个领域,分别是:政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、网络安全、生态安全、资源安全、核安全还有海外利益安全等。

不仅在国内,近年来在世界各国暴恐事件发生几率不断上升。昆明火车站砍杀,法国巴黎市恐怖袭击事件等让我们心存余悸,我们要完善反恐工作体系,深入开展群防群治活动。要“群防群治”,最重要的是让群众拥有“不伤害自己、不伤害他人、不被他人伤害”的能力。要使人们拥有这种能力,群众必须拥有传统的安全防范意识和防恐意识,针对全体国民的安全教育培训必须紧紧跟上。

恐怖主义的威胁,不仅仅是在传统安全领域,甚至在一些非传统领域,例如,网络恐怖主义活动时有发生。而网络安全与政治安全、经济安全、文化安全、社会安全、军事安全、科技安全等领域相互交融、互相影响,已成为我国面临的最复杂、最现实、最严峻的非传统安全问题之一。

应对军事窃密、网络攻击、黑客入侵、病毒木马、隐私泄露、商业间谍等新型网络安全威胁,我们不但要在网络基础架构、操作系统和应用软件等方面强化自主可控,更要让国民能够在实际生活、工作和学习中保护好自己的安全。国家和公民的关系是唇齿相依、休戚与共,只有国民安全了,国家才会安全。国民必须提高信息安全保障意识,拥有基础的网络安全能力,能够从容应对常见的网络安全威胁。

而对于众多国家公务员和涉密人员来讲,他们面临着比普通国民更高级别的安全风险,要应对那些国外政府和商业机构所赞助的涉密信息盗窃,更需要强化保密与信息安全意识,并应用到实际保密工作之中。

其实,在日常生活中,不仅仅互联网可能会让人们面临安全风险,还有很多海外差旅方面安全风险,特别是近年来随着中国的复兴和崛起,海外留学、劳务输出、国外公差、跨境旅游等等引起的海外安全事故越来越多。国际安全,企业和公民在境外的安全、出入境注意事项等不仅仅是国民必须了解和掌握的,更是关乎到国家安全的重要部分。在这个背景下,我们迫切需要提升专业的境外安全意识。

我们可以从新闻上得知:“全民国家安全教育日”要将国家安全教育纳入国民教育体系和公务员教育培训体系,从而增强全民国家安全意识。说到底,“安全”的内涵这么大了,国家公民自然都需要各个方面的安全知识、拥有各个领域的安全能力。

如何实现这个“大安全”时代的国民安全意识教育呢?昆明亭长朗然科技有限公司安全意识教育培训架构师董志军说:将各类安全培训实施“超融合”,不仅可以简化安全培训次数,降低安全培训成本,更能提升安全培训效果。

此前,我们的众多安全培训都是零散的,比如网络安全、保密及信息安全、工作环境安全、消防应急安全、办公生产安全、反恐出行安全等等多数都是各自为政,缺乏统一的管理,让学员学习起来也很麻烦。现在我们可以使用统一的在线安全宣教平台,配之以高品质的安全教程,即可实施安全培训“超融合”架构,进而使用最有效的方式来提升国民的国家安全意识和安全能力。

昆明亭长朗然科技有限公司经过多年的知识积累和不断研发,设计制作出“信息安全意识”多媒体课件、“保密意识教育”动画课件、海外安全与反恐动漫教程、EHS环保卫生与安全互动课件、消防安全培训电子课件等等。其中多个课程如保密意识和海外安全,都是近期制作出来的,尽管目前处于国内领先水平,但是仍然也有随着时代的进步而改进的空间。

这些课件的主题和内容正好与当前国家安全所涉及的重要领域深度吻合,也都可以运行于云端在线培训系统(教育平台),借用于领先的在线教育平台,安全培训负责人或安全管理者可以轻松实现“大安全”时代的“超融合”安全培训。这种以电子学习的方式来实现的安全意识教育培训,不仅低成本、而且高效率,学员也可以随时随地自由自在地安排学习。

欢迎您联系我洽谈业务合作,您可以通过如下方式快速联系到我。

董志军