信息安全管理的优先工作是什么

attacks-analyzed

网络攻击方法越来越高超,匿名Anonymous黑客、政府赞助、零天zero-day攻击,高级可持续性威胁APT等等成为受害者们的一个借口,实际上事态有没有那么严重呢?

不可否认的是在舆论风口浪尖的一些组织机构更容易成为攻击者的目标,然而,多数安全攻击能够成功的原因是什么呢?我们找到了微软发布的安全情报报告,让人大跌眼镜的是Zero-day溢出攻击竟然被忽略不计!利用一年内和往年的已知安全漏洞的溢出攻击合起来也不足10%。

感染或攻击成功的最主要原因是需要用户参与互动的、以及通过USB和网络需自动运行的。近半数需要用户执行某个操作才能触发,而有超过三分之一的恶意软件或攻击需要利用Windows“自动运行”功能。

了解了这些攻击矢量,负责安全管理的IT总监、经理和主管们在进行信息安全规划和运维时便可以更好地分配适当的时间、资源、人力和预算。

显然,对信息系统安装适当的安全更新修复相关的安全漏洞必不可少,不过,IT负责人却需要将更多的资源投放到最终用户的互动式操作方面。说到用户交互式操作,简单说就是防止用户有意或无意进行不当操作。如同诈骗分子远程操控受害者从柜员机上转账一样,形形色色的安全威胁也会利用最终用户的“帮忙”来实施入侵行为。比如社交工程学攻击者会冒充经理层或IT等来引诱员工泄露机密信息,网络钓鱼分子也会炮制恶意链接或附件,以期目标用户来点击和执行。

尽管通过输入校验、权限设置、内容过滤等技术措施可以一定程度地帮助防止用户不经意犯错,但是需知信息不仅仅是电子数据,信息包括人们的各种感观对世界的认知。留在人们大脑中的对公司成功至关重要的数据信息仍然是海量的。而存储于员工们的头脑中的、无法通过信息安全系统进行管控的,则需要特别的关注,而有效解决方法唯有加强员工们的安全意识教育

IT安全负责人可以通过技术手段来禁止USB、CDROM和网络“自动运行”功能,但是仍然需要教育用户不能随意开启和点击陌生U盘光盘内的可疑文件等等。

昆明亭长朗然科技有限公司是国内信息安全意识宣教领域的领航者,我们创作了大量的安全意识教程内容,包括动画视频、电子微课和知识图库等等。同时,针对管理层,我们也推出了信息安全管理基本知识相关的快速教程,欢迎有兴趣和需要的客户联系我们,洽谈采购与合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

信息安全治理中人的要素

相对于治理体系比较完善的跨国公司,多数国内公司在安全治理和管理方面比较混沌和混乱。俗话说:治乱世用重典。

负责公司信息安全的高管要想有所作为,必须严肃安全纪律,但是员工们又不是机器,管制太严可能引发消极对抗,管制太松又改变不了安全问题严重的现状。

说到底,多数信息安全问题不是技术控管措施所能有效解决的,要保障公司的信息安全最重要的是解决和人员相关的问题。

如同完善的公司治理一样,信息安全治理也需要“有法可依”,大的社会环境正从“人治”不断转向“法治”,公司要长治久安,保持业务持续性,也需从信息安全制度体系建设上入手。

而要依赖制度体系进行有效的信息安全运作,则需开发各级安全文档,高手高层的安全方针政策、相关的安全标准要求和以及最终用户可以参照的安全流程和操作指南。

为了让信息安全规章制度能够真正落实,防止“有法不依”的现象,需要在制定安全规章制度时认真考虑“人员”的因素,毕竟,实施或应用安全流程的是“人员”,安全流程也只有经过“人员”的参与操作之后才能达到其特定的安全控管目标。

不要让信息安全相关规章流程成为审计检查之后的一纸废纸,则需要强化流程与人员之间的互动,为安全策略和流程找一个负责人,或称所有者,通常是部门的主管或经理,负责维护流程的更新。而部门成员则可能是该安全策略或安全流程的遵循者,只需照章办事。信息安全管理部门可能也需要创建和维护整个公司范围内通用的,以及部门内部所有的信息安全相关策略和流程,并且需要协调监管其它各业务单元和部门的安全作业流程和安全操作指南。

理顺了信息安全部门人员及各部门安全工作流程负责人之间的关系之后,则需强化人员之间的沟通协调,这其中重要的是安全观念的推广。安全管理负责人要制定详细的安全意识沟通计划,包括对全体员工定期提供通用的信息安全意识培训,以及协助重点部门和人员进行的基于角色类的安全培训,比如对于管理层,可能需要了解更多信息安全相关的职责,就需要特别的管理层安全意识培训,毕竟各部门的经理主管们除了保障自身的信息安全之外,还要担当整个所辖部门的安全管理责任。而特别的部门,如保安部和IT部等等,则会根据工作实际需要,获得与职位和工作相关的必须安全培训。

可以通过必要的安全考试来测量员工们对信息安全基础知识和相关作业流程的掌握情况,昆明亭长朗然科技有限公司的信息安全顾问Bob Xue称:唯有员工们掌握了必要的安全知识和技能之后,安全策略和流程方可被有真正理解,安全规章制度才能行之有效,安全治理工作也会随之顺利开启。

有了好的开端要再接再励,要让员工们接受这些安全方针管理和标准化操作要求,一方面,要强化审核,通过查看工作记录、审计系统日志、以及随机抽查检测,等等方法可以了解实施情况;另一方面,也需要进行必要的激励措施,人是追逐利益的,给为信息安全建设工作有杰出贡献的员工以必要的奖励,适当惩罚违反安全规章制度的行为,会让员工们在面临安全选择之时趋向正确的决定。

最后,信息安全治理也需要充分利用“人员”,创建员工们互相监督,互相提醒的安全气氛,让坏人无处藏身,让不安全念头灭在萌芽,让安全风气得到端正,进而让不安全行为不得发生。

security-governance-and-staff