员工安全培训帮助实现终端安全以及法规遵循

当今的各类组织面临着一系列的安全挑战,包括终端安全、法规遵循和自带计算设备BYOD等等。通过实施必要的网络安全控管措施,比如常见的内网安全套件、桌面安全套件,网络信息系统管理员可以实现一定程度的控管目标,但是通常并不足够充分。

网络信息安全技术和产品呈现整合趋势,各类控管措施的功能越来越强,随之的软件设置也越来越复杂,这将导致实现一种控管目标需要庞大的工作量,特别是细力度和动态的控管需求会让负责任的信息系统管理操作员精疲力竭,日程月累,最终系统管理员只能选择放弃那些复杂的系统设置。

实际上,多数网络安全控管系统并没有发挥其主要的功效,有的甚至成了摆设,终其原因,不是网络管理员技术不足或偷懒,而是没有处理好与相关人员之间的关系。拿上网行为管理系统来说,多数组织都没有明确的互联网使用安全政策,全凭IT部门的经理主管和系统管理员拍脑袋来制定各类网站的安全访问规则,这显然是很搞笑和不靠谱的。

此外,还有技术层面的问题,不少网络信息安全产品为了渗透市场,往往会添加同类产品的部分功能,但是又非核心功能,所以控管力度不精细,这就会出现为实现一个目标有多个控管措施,而多项 控管措施之间互相冲突和碰撞的问题,比如为了控制员工使用某些互联网聊天软件,有管理员喜欢添加到聊天服务器的虚假路由;有管理员喜欢从防火墙层面设置访问列表,屏蔽即时通讯服务的认证服务器和网络协议;有管理员喜欢在代理服务器设置访问限制,阻断相关的网络通讯流量;当然也有管理员喜欢使用上网行为管理或上网审计系统来进行相关的控制;还有管理员喜欢从桌面应用安全策略上进行相关的设置……

不要指望这些冲突和碰撞在科技不断创新的大潮中会减少,相反,在竞争日益白热化的市场,即使冲突和碰撞不会变得严重,也会增加信息系统、网络信息安全控管和法规遵循的复杂度,最终让控管本身变得得不偿失。

实际上,市面上多数的网络安全产品都是多余的,至少并没有太大的必要去实施,特别对那些没有明确的安全方针政策和标准的组织更是如此,安全服务价值的接受度不高逼使安全厂商拼命研发和制造安全控管产品,进而通过忽悠客户来“创造”新的市场需求,这显然是本末倒置,“屁股指挥大脑”的一种网络信息安全市场怪相。

要解决终端安全以及信息安全相关的法规遵循问题,就要摆正信息安全中关于流程Process、技术Product和人员People的关系,三者相辅相成,缺一不可。不过现状是在安全控管流程Process方面,市场对安全管理咨询服务和安全解决方案设计服务等等的接受度高,但愿意花钱的不多;在人员People的安全资质和防范技能方面,认识到通过必要而适当的安全意识教育来提升员工安全水平的很多,但知道如何有效建立和实施信息安全培训方案的很稀少。

相比被市场牵着鼻子实施安全硬件设备又将其闲置,加强信息安全方面的软实力,对员工进行信息安全意识教育和培训,可以减轻网络信息安全系统管理员的工作负担,更能在节省资源的情况下获得更良好的终端安全控管绩效。而信息安全法规遵循不仅重点看各类安全方针政策和标准流程,更注重核查相关的记录和结果,以及否有人员参与必要的安全意识培训和流程沟通活动之中。

是否需要在企业层面建立信息安全意识月?

搞信息安全意识教育如同内部市场营销活动,各种手段要综合并用才能获得最佳的营销效果。在这些林林总总五花八门的手段中,策划信息安全意识相关的专题活动是一项工作重点。

十月份是美国的互联网安全月Cyber Security Awareness Month,由于美国在全球拥有的强大实力,它的信息安全意识教育做法也纷纷被英联邦国家效仿,接着英国引导欧洲、中东及非洲,澳大利亚带领亚洲和大洋洲,加之英语的普世效应,这一做法大有推广至全球的趋势。

尽管中国的互联网仍然被西方世界广泛认为审查过严,甚至和伊朗、叙利亚之类的国家互联网络相提并论,抛开不同文明体系中的政治文化冲突不谈,解决全球互联网安全问题并不是简单加强内容审查和过滤这么容易。俗话说“解铃还需系铃人”,美国发明了互联网并推动了相关的产业巨变,在造就互联网荣耀的同时,也给带来了大量的网络犯罪,所以我们有理由相信,甚至仍然需要美国来领导解决全球网络安全问题。

不要以为解决信息安全问题可以“中学为体,西学为用”或“师夷长技以制夷”。随着信息技术的引进,信息安全控管理念和措施应该紧紧跟随,否则小可导致个人电脑中毒,中可令组织业务安全受损,大则能使国家安全面临严重威胁。

在信息安全控管措施方面,我国大力发展“自主知识产权”的安全控管体系,加之政策的扶持,大批的安全技术研究专项立项,亦有大量安全软硬件系统设备被制造出来。除了关系国计民生的关键领域是这些信息安全控管措施的消费主力之外,大批的企事业单位是巨大的企业信息安全设备和服务的消费者。

不过,在这片欣欣向荣的信息安全产业发展大局势中,有一样控管措施仿佛被市场忽略了,这项安全控管措施却是非常关键的,它便是信息安全意识Information Security Awareness。不可否认的是各类信息安全控管措施必须在相关安全理念的指导下才能发挥效力,就像人们常说的“理论指导实战”一样。

然而,国内的信息安全市场仿佛并不看好信息安全意识,关键的因素是安全意识教育产品或服务的商品化,安全意识教育相比于硬件设备来说,是无形的,而且即使进行相关工作,也难以立即看到成绩,所以安全意识培训在多数由绩效衡量拉动的组织内部并不是工作的重点。

不过,实际上,多数组织机构都明白大部分的安全事故的最终原因是人员的安全意识不足,所以不少组织都有专门负责对员工进行信息安全意识培训的职位描述,甚至有专门的安全讲师和团队来负责员工安全培训方面的工作,当然也有不少组织机构将这些培训工作进行外包。

国家相关部委早已经下达各类文书,督促和强制下级各单位加强对职员进行安全意识培训。在更广泛的商业领域,多数企业除了会对新入职员工进行简单而必要的安全基础培训之外,往往并没有更多的行动。随着时间的推移安全相关的知识理念会被员工遗忘,而信息安全所面临的各类威胁却不断出现,所以仅仅提供些粗浅的新员工安全培训显然是不足够的。

提供年度的信息安全意识刷新被提上信息安全管理负责人的工作议程,的确,旧有的安全知识在新型安全威胁面前会过期,即使不会过期也可能被遗忘,所以每年针对全体员工进行一次大规模的安全意识检查和修补非常必要。

在大型的组织机构中,想将员工统统组织起来开大会宣讲安全新精神新理念简直不可能,时间和空间的限制不说,成本也会居高不下。如何能选择最为有效的手段呢?建立信息安全意识月是不错的答案。信息安全意识月不是简单的宣布一下安全月的到来就完事了,要多种活动交叉进行,比如发放员工安全手册、张贴安全意识海报、派送安全期刊、放置安全培训展板、发放安全教育漫画、实施安全知识测评、提供安全意识在线学习、发送安全认知短信,搭建信息安全座谈会,开展安全场景模拟攻击演练等等。

根据此前一年的安全事故报告分析情况,突出一两个安全教育主题,搞一些案例和场景的分析,可以帮助降低同类事故的发生概率。更重要的是加强与员工们的互动,激发员工们的参与,会让安全理念更加深入人心,互动式的座谈会、电子学习课程和渗透攻击、在线考试等等不但会给学员们学习的压力,更生动有趣的设计比起单向的内容提供要有效得多。

是否需要在企业层面建立信息安全意识月呢?昆明亭长朗然科技有限公司的信息安全意识顾问告诉您答案是肯定的,不过最终是否设立呢?决定权还是在您的手中,就如同安全在所有员工的心中和手中一样。