深入广泛宣传强化安全意识

最近参加了些“安全生产月”、“网络安全宣传周”、“消防安全月”等安全宣教活动,除了当局的形象政绩宣传以及一些能增强大众对安全的体验和认知的展位活动之外,其他几乎都是厂商的产品营销广告,活脱脱的是“安全产品博览会”。

看到常规的安全知识没能得到大力的普及,反而被一些安全产品和技术厂商“忽悠”,昆明亭长朗然科技有限公司信息安全行业观察员董志军感叹说:如果人们都拥有了必须的安全常识,拥有了基本的自我保护能力,那样的话安全事件会少出很多,安全保护类产品特别是创新技术和设备的市场需求就会减少很多。这就造成了一个产业发展的矛盾——黑客、间谍、窃贼等破坏分子少了,网络安全产业也没落了。毕竟人家说什么“警匪一家、小偷和警察是相辅相生的”,似乎有些么哲理。

行业和大环境如此,谁也改变不了。如何管好自己的一方净土,才是国民和单位安全管理负责人真正能付之于行动的。

对国民个人来讲,保护人身财产安全、平安出行、健康安全地工作,合规守法使用网络免于在线欺诈等。一个社会人,一个自然人,在观看了安全警示教育片,或者参加了安全体验活动之后,通常都会承认自己在安全意识方面还很薄弱,还很需要提升安全方面的认识和技能。然而,有多少人能有机会观看安全警示教育片和参加安全体验活动呢?又能有多少人会主动学习安全自保和自救知识呢?有人总结了大部分安全事件的起因,说:“安全事故的根本原因在于无知”。要如何从安全小白进化成为安全智者呢?针对社会人来讲,真不容易自我突破。然而,可以实施的地方是从青少年抓起,现在很多中小学开学第一周就强抓安全意识教育,大学更是如此。相信这些都会有很大的帮助,但是仍然有改进的空间,至少得让安全意识教育活动更深入到社区,覆盖到更广范围内的人群。

对于一家单位来讲,安全生产大于天,因为关系到人命,而信息安全更是关系到很多单位的商业成败甚至生死存亡。然而,在保赢利和促增长的首要目标之下,安全毕竟不是多数单位的核心战略,为保安全不可能随意无止境的花钱。一家单位的人员安全意识往往是决定这家单位安全水平的关键性指标,而不仅仅是各种安全保护措施如设备、技术、管理制度等等。单位安全管理负责人往往都知晓这一点,所以在人员安全意识方面都希望能有所突破,能少花钱多办事。搞定期的安全知识培训是首先能想出来的,也是大多数单位都在实施的,当然也有很多利用海报、宣传单、微信图文、电子显示屏等形式深入广泛宣传,以强化人员安全意识。单位在工作场所搞安全意识宣教,除了能让单位本身受益之外,也还有益于社会,员工们将安全意识传播给亲友,这就相当于在尽安全方面的社会责任和义务。

不管如何说,要提升国民的安全素养,从社会层面讲,安全意识进校园,安全活动入社区,是必须的路子。对一家单位来讲,安全管理人员要尽职尽责,最容易开展的以及最好彰显工作业绩的,还是安全意识培训活动。切记:增长人员的安全意识和能力,是有效防范和坚决遏制各类安全事故的基础。

昆明亭长朗然科技有限公司致力于帮助提升全民的安全意识水平,我们帮助各类型的组织机构策划、组织和实施安全意识宣教活动,我们提供多种形式的安全宣教素材内容,欢迎有兴趣和需要的单位和个人联系我们,洽谈采购与合作事宜。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:[email protected]

QQ:1767022898

培育安全意识文化的九个步骤

自从人们将计算机连接到互联网,便面临着黑客入侵、病毒感染和数据泄露等等的网络危险。众所周知,将计算机连接到互联网的简单行为立即将其所有的数字内容置于危险之中。随着时间的流逝,互联网逐渐演变成物联网,我们的世界将越来越互相连接。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:所有连接到互联网的计算机、智能家电、移动设备、无人驾驶设备、智慧城市设备等等都已经或即将处于人类网络防御的前沿。由于网络攻击,绝大多数企业最终将遭受不同程度的财务损失。受到网络犯罪分子攻击的现实是当今所有联网设备都必须面临的非常残酷的威胁。

致力于数据保护的全新安全产业的诞生证明了对这类威胁的认识。实际上,人类世界每年花费数万亿元用于保护网络和网络中包含的专有信息。从政府机关到公司企业,多个部门致力于保护数据、建立专注于计算机保护的安全计划。我们帮助过各种类型的组织机构加强对其最终用户、程序员以及大众网民的安全意识教育,以期人们能够尽早接受保护信息资产的安全理念,并担负起相关的角色和责任。对此,董志军补充说:要保护好互联世界中的数字资产安全,我们必须深刻理解信息安全掌握在我们全体人类的手中、是我们共同的责任的事实。只有这样,当我们与互联网互动时、当我们面对各种各样的网络威胁时,我们就越能保护我们的信息安全。如下,我们将逐一讨论保护信息安全,培训安全文化的九个步骤。

一、培养安全责任感

要让人类共同承担起保护网络安全的责任,需要我们培育普适的信息安全意识文化,这种安全意识文化将与传统上的各种文化交融,并促进人类文明向新的更高、更安全的方向发展。保护我们自己计算机上的数据确实并且应该属于我们自己的责任范围,这当然是不言而喻的。尽管有些人可能会认为承担这项责任是拥有计算机的必然结论,但是在看不见的数字世界里,人类可以在物理世界中感到相对安全的同一社会结构根本不存在。这主要是因为数字世界本质上是看不见的。攻击者可以匿名进行匿名攻击。用于攻击的技术是一种相当新的技术,并且总是在不断变化,因此,甚至有可能在捕获犯罪分子时也没有法律起诉数字犯罪分子。此外,网络罪犯分子也可能与受害者不在同一个国家,并且可以完全避免起诉。这是一个难以捉摸、匿名且令人沮丧的数字犯罪世界。因此,各类型的组织和个人不能依靠传统的社会结构、法律或其他现有障碍来保护其数据。相反,数据所有者必须承担保护数据的责任。如同教育青少年儿童人类的基本价值观一样,安全责任感的培育是保护数字世界安全的首要任务。

二、分析和评估信息风险

风险管理方法是人类的一项重要文明成果。为了对不同类型的信息数据提供适当和合理的保护,数据所有者必须首先准确确定要保护的内容。归档文件、人员信息、客户信息和专有过程等等各种信息都需要受到保护,但是它们的安全级别可能不同。当然,根据您所在组织的类型,您可能需要保护不同类型的资产。确定确切的保护内容和保护方式涉及创建信息资产清单、识别这些信息资产面临的风险以及决定如何最好地应对这些风险。风险文化是很多组织得以长远发展和基业长青的关键,有很多关于风险管理的方法介绍,我们在此不做赘述。

三、制定信息安全政策

一旦资产和风险得到记录,就必须制定旨在保护组织资产的政策并将其付诸实施。成功的政策不可能迅速而随意地得到制定。这些政策必须是周密的,但也不能太过细致,繁琐的细节使组织无法进行实际的工作。因此在设计安全政策时,请确保尽一切合理的努力使这些政策易于落地和实施。应当强调的是,安全政策应该促进工作的开展,而不是以安全的名义使其停顿下来。同时,请确保安全政策弥补了现有业务流程的安全不足。如果将政策告知于员工,但员工们却感觉不到安全是他们日常工作的自然组成部分,那么他们将不太可能将安全落实于正常运营。切记:只有将安全政策嵌入了日常的业务流程,安全行为被人们不断重复并养成习惯,安全意识文化才能慢慢深入人心。

四、建立信息安全团队

有了风险应对的计划方案和旨在保护信息资产的安全政策,就需要我们在组织范围内建立信息安全团队。信息安全团队可以有专门的组织架构,在由高管组成的信息安全管理委员会的领导之下,接受管理委员会的工作指派,为管理委员会而负责。因此,信息安全团队应由公司各个部门或业务单元的代表组成,这些代表一般都接受过信息技术和信息安全方面的适当培训。需知,这些人员不能仅仅是信息技术或安全方面的专业人员,还应包括组织中各部门或业务单元中对确保数据安全充满热情和才华的人员。

五、实施多级安全培训

安全不仅仅是安全团队的职责,更是全员的职责,管理层、不同岗位的员工们必须认为到自己的安全职责。同时,要保障风险应对措施的执行、确保安全政策的落实,必须要依赖受影响的员工们。因此,必须对组织各个级别的员工们进行安全意识方面的培训。全面的培训计划将教育员工实施某些安全控制措施、制定某些安全政策的原因。通过全面信任、赋能并关爱员工们的安全心理和思想,他们不仅会感到自己扮演着重要的信息安全角色、很有价值,而且会对在日常运营中如何最好地保护自己负责的资产有更深入的了解。

重要的是不要忘记,组织中的每个人都必须接受部门政策和组织中个人角色的培训。从首席执行官到客户服务代表的每个人都必须接受有关其所在岗位如何影响安全的适当培训。如果某人未能执行保护其工作资产所需的安全步骤,则组织的安全性将面临漏洞,并且组织的数据被成功攻击的可能性将更大。因此,绝不允许组织中某些人员以资历和职位凌驾于已采取的安全措施之上。一项好的安全意识培训计划将为整个组织提供牢固的安全人力资源基础,进而让人力资源在安全方面更加“开化”,即促进安全文化的培育和养成。

六、创建安全工作基线

没有衡量就没有成果。在组织可以确定安全工作是否确实有效之前,必须制定衡量基准。这些度量标准和基线可以在以后的审核过程中使用,以确定成功的计划和政策以及需要进一步关注和改进的问题领域。对于组织而言,以准确而有意义的方式量化成功至关重要。否则,信息安全团队所做的努力可能不会在最需要的地方产生影响。

七、定期实施安全审核

像水往低处流一样,人们喜欢沿着阻力最小的道路前进。随着时间的流逝,某些安全政策就可能会得不到很好的遵循和执行,具体取决于安全政策在日常工作中的适应程度和自然程??度。使用在上一步我们创建的安全衡量基准,对比实际情况,便可以执行安全审核,将为组织内部的安全状态提供良好的参照。形成参照图之后,可以清楚地看到需要改进的地方,并且可以采取适当的整改措施来纠正影响安全的所有问题。人类就是在不断的自我审视过程中前进的,良好的安全文化是一种可以不断自我修复的文化。

八、制定灾难应对规划

一怕一万,就怕万一。不管安全政策有多么的周密,无论采取了什么措施来减轻风险和培训员工,组织都应该为灾难来临做好准备。灾难的例子可能是软件病毒感染了主服务器,或者是自然灾害袭击了组织的办公园区。我们可以将各种意外的重要影响事件都视为灾难,因此应采取所有合理的步骤和计划来应对此类“黑天鹅”事件。制定灾难应对计划是高级人类文明特有的特征,只有让时时准备应对灾难的安全文化深入人心,在灾难来临之时,人们才能自信坦然且井然有序地面对,才能保障最快的速度恢复正常业务持续化运作。

九、奖励安全贡献和行为

培训安全文化的重要举措是要营造一个让员工感到被鼓励实施安全行为的环境。人们会对获得成功的奖励和认可做出更好的反应。信息安全管理委员会应奖励那些有卓越贡献的安全团队成员以及员工中的安全积极分子和优秀行为人员,高层的表彰将对信息安全文化培育起来促进作用。当然,奖励成功实施安全政策和建立安全措施来保护组织安全并节省资金、提升效率的员工,这其实也是在为表彰绩效优秀的员工和创造积极向上的工作氛围。

补充与总结

与建立成功的安全意识文化有关的主要因素之一是组织面对不断变化的行业和技术而保持活力的能力。组织不应该简单地制定政策并解决安全问题。相反,应建立对政策及其有效性的持续审查。如果某项政策无效,或者某项技术无法达到组织的安全控管目标,请进行及时的更改!

如果为了安全而禁止员工执行其工作职能,则这种极端的安全毫无价值。一个经典的例子便是锁在保险柜中的没有网络访问权限的关了电源的计算机。该计算机虽然能够免受来自互联网的攻击,但是用户没有办法以任何有意义的方式实际使用它。因此,为了保持最佳安全性的同时提高生产率,请务必在工作一线倾听员工的声音。最终用户或实际使用计算机的员工们都知道安全政策会对生产力产生什么影响。对此,董志军再次补充说:无论是与服务相关的非营利组织还是营利性企业,请确保制定的所有安全政策和应对风险的控制措施都不会损害组织的底线。

昆明亭长朗然科技有限公司多年来专注于信息安全意识培训服务和产品的设计与开发,我们创作了海量的安全知识素材内容,涵盖了所有的信息安全意识培训课题,并且提供针对大型客户的信息安全意识咨询服务及信息安全文化建设服务,欢迎联系我们洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898