缺乏IT安全意识可能造成巨额代价


CIO及IT总监经理们在制定IT战略计划时,会越来越重视IT安全问题,这是因为病毒、蠕虫、木马、恶意软件和互联网攻击日益猖獗,同时安全相关的法律法规越来越严格,客户对数据安全保护的要求也日益增强。

各类公司在保护自己及客户的安全上已经花费了相当数量的投资于软件、系统和策略上,然而安全链中最弱的环节却是一名又一名的员工,例如:

1.IT安全策略已经得到了更新,公司却并没向所有员工提供相关更新的有效沟通;
2.新入职员工并未得到充分的IT安全培训便开始访问机密数据;
3.对公司不满的员工离职了,他有许多关键系统的访问权限,然而没有人能意识到他对公司是一项威胁;

实际上,回顾近年来的系列黑客攻击事件,除了那些利用未公开发布的系统漏洞进行攻击的之外,剩余几乎所有的攻击之所以能成功,都和人员的安全意识薄弱有关。

而一项数据泄露报告也表明:尽管过去一年,黑客攻击造成的数据泄露事件大量曝光于媒体,然而报告分析指出主流的大规模黑客攻击并没有特别高超的技艺和手法,只要员工们遵守基本的安全实践,这类能够造成数据泄露的攻击行为根本无法成功。

那么除了防范黑客攻击和数据泄露之外,为何说IT安全教育如此重要?

正式的IT安全意识教育计划对于保护公司的信息资产、公司职员以及公司的成功都至关重要,同时还可确保员工们了解他们的安全角色和职责。

同样,IT安全意识培训可以帮助公司对安全法律法规的遵循,每家公司或多或少会受到一些法规的监管,这些监管机构也会要求公司向员工、供应商以及合作伙伴提供正式的安全意识培训。

但是制定和执行IT安全意识教育计划并不容易,多数公司并没有足够的资源和时间来自己动手。它需要在整个公司层面多个部门和人员的参与,并且需要熟悉IT安全培训的专业技能人才。

信息安全意识计划可以分为几个阶段:

1.初级阶段是向全体员工提供一些安全资源,让他们知道信息安全的基础知识,通常的做法包括发放安全宣传单、张贴大幅安全海报、提供信息安全壁纸屏保、播放信息安全Flash影片、发送安全意识期刊等等,这些初级的方法容易上手、操作也比较简单而且成本低廉,但是缺乏与员工的互动,难保员工的参与,安全意识效果无法保障也难以衡量;

2.中级阶段包括但不局限于初级阶段的做法,重点是新员工安全培训以及年度安全培训,让员工们在入职开始工作之时便能认识到公司的IT安全方针政策和作业程序并且每年定期刷新,以便他们了解到为了保护公司以及客户的安全,他们需要扮演的角色和所担负的职责,通常的方法是向员工们提供课堂面对面的培训和电子学习课程,这类方法往往需要专职的教员或优质的精心设计制作的课程,需强制员工们的参与,工作量大,成本也相对较高,不过,这类方式往往有较强的员工互动,员工参与度高,安全意识教育的效果也更好也更容易衡量;

3.高级阶段是建立信息安全文化,这时,公司往往有更高层次的安全意识计划需求,比如信息安全上升到公司的战略高度,公司的成功已经严重信赖信息安全,公司要确保遵守商业信息安全法律规章,公司安全方针政策的执行需要得到落实和强化等等,建立信息安全文化需要长久的努力,方法需要灵活多样,并且和公司其它商业工作流程紧密结合,比如将员工的安全意识学习成绩、安全行为检查结果与工作绩效及个人发展挂钩,对安全的意识和安全的行为进行适当的奖惩措施,不断评估和改进安全意识培训方案等等,重点是不拘泥于形式并且坚持不懈,当然这种阶段的回报也是巨大的。

昆明亭长朗然科技有限公司帮助信息安全培训处于各个阶段的客户实现更成功的安全意识教育计划。

昆明亭长朗然科技有限公司积极顺应时代变化,专注于帮助各类型组织机构解决“人员”方面的安全风险,我们创作了大量的教程资源内容,包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件,同时,我们拥有基于云计算的弹性学习管理系统,可以帮助各类型机构快速发起针对全员的安全意识在线学习计划,进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们,预览课程内容和洽谈采购事宜。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

业务成功与信息安全意识

不闻不若闻之,闻之不若见之,见之不若知之,知之不若行之;学至于行之而止矣。——荀子

信息安全不是独立于业务目标的“学术孤岛”,谈到对组织成功的重要性,虽然信息安全不如加强产品研发和拓展新兴市场那么“经世致用”,但是也绝对不可或缺,在特殊的行业和关键的领域,甚至是决定成败的核心竞争力。

在这些特殊的行业和关键的领域里,信息安全不仅表现为业务成功的“保障”角色,更是取得持续胜利的“推进器”,甚至是创新战略的“使能者”。不过,每家公司都有自身独特的愿景、使命、目标和战略,公司治理成为保障成功的关键,信息安全的源头便源自于此。当然,信息安全在不同公司中的地位和价值可以从此窥见一斑,然而,担负公司治理重任的高管们可能并不是那么的“学究”,他们对信息安全与商业成功之间的必然关联和重要性认识可能并不足够,这就需要专业的信息安全专业人员来提供智囊支持。

尽管多数公司并没有明确的信息安全组织架构和信息安全总监职位,但是多少都有相关的团队和人员来担当必要的职责,只是有可能没有做那么清晰的部门设置和职位定义,这主要和高层领导的认知及意愿有关。

信息安全管理亦是采用至上而下的方法,如果公司高层领导对信息安全的认知不够,例如只认为信息安全是防范电脑病毒,让网络不受ARP攻击而罢工,那就很难指望公司的信息安全管理体系能够充分保障业务数据的安全。所以说,领导层首先要树立正确的信息安全观念,并且做好示范表率作用,这里面包含建立健全信息安全相关方针政策和工作流程,以及在公司范围内实施安全教育、培训和意识提升计划。

建立安全方针政策、规章制度和工作流程实际上并不像人们常讲的“拷贝些模板”的事儿,除非只是想做一些纸面的工作而不想让这些落到实处。设立安全方针政策和规章制度是为了确保员工们在工作中应用正确的信息安全理念,所以它们之间是紧密联系的。要结合工作实际情况制定规章制度和工作流程,就需要让中层领导仒和一线的员工充分参与,这当然少不了信息安全相关的沟通和协调工作。而要进行有效的信息安全沟通和协调,最重要的是进行信息安全意识相关的教育培训。

不仅仅诸如信息安全管理委员会之类的安全团队内部需要进行沟通和协调,与最终用户如全体员工及相关外来人员之间也需要沟通协调,就比如一个与访客接待相关的安全流程,就需要得到多方的理解和支持才能有效运作。

信息安全意识教育培训并非宣读一番相关的安全制度和流程,我们不仅需要让最终用户“理解”信息安全,更要让他们“认同”信息安全,要向最终用户展示正确的安全理念和行为,可以利用模拟的场景,可以分析实际的案例。

当最终用户充分“理解”了信息安全之后,便需要他们付诸实际行动来证明他们“认同”正确的信息安全理念,这就达到了我们的最终目标——获得最终用户的安全行为,通过适当的安全工作流程来保障信息安全方针政策的落实实施。

让最终用户“理解”信息安全不难,让最终用户“认同”信息安全不易,昆明亭长朗然科技有限公司的信息安全意识培训顾问Alice Wong说:想取得“知行合一”的良效,除了采用高质量的饱含模拟场景和真实案例的信息安全意识教程之外,也不能忽视安全行为激励机制。人性多是趋利避害的,Alice建议公司拿出少量信息安全资源当作激励员工们正确安全行为的“安全奖金”,同时对容易造成安全事故的不当行为进行适当处罚,并且不断地通过教育培训来刷新人们的安全认知。日积月累,信息安全意识便深入脑海,安全的行为便逐渐形成。

security-awareness-and-behavior