应对报复社会型的枪手安全巡逻永远不够

校园枪击案、广场枪击案,影院枪击案等等不仅仅发生在枪支泛滥的美国,自杀式炸弹袭击也不仅是中东战乱国家的专利,以周克华为代表的银行枪击案更是令人防不胜防。

出于美好的愿望,人们不愿深究这些恶性案件发生的真实原因,而官员们为了政绩也往往乐意将恶性事故淡化处理。不过,再严厉的新闻管制也面临社交通讯日益普及带来的冲击,如今,官员们多数都明白了,想“捂”住恶性事故远不如及时正确的响应更能为政绩加分。

然而,再具有爆炸性的新闻也是有时效的,在媒体和大众议论一段时间之后相关事故会进入关注的疲劳期,大众是健忘的,官员们深知这些,便利用舆论宣传工具转移大众的关注目标。

当安全恶性事故位于舆论焦点的时候,整个社会在进行大反思,结果往往是中央政府出台紧急而临时的安全应对政策,调拨相关的人力物力用于安全防范。举例讲,恶性枪击案之后,公众对公共场所的安全不满,安全保卫相关职能便趁机叫苦,以便获得更多的社会资源,压力之下,政府便调拨更多的资源,派驻了更多的警力以及安保力量到公共场所进行安全巡逻,于是大众开始在警惕之中稍感放心。

再厉害的犯罪分子在这敏感的时间点也会有所顾虑和收敛,安全巡逻相对长一段时间,自然没有获得什么明显的成绩,然而大众是健忘的,慢慢也放松了警惕,同时安全巡逻力量也逐渐弱化,相关的资源投放可能回收、减少或被挪为它用。结果就是隔三差五,报复社会型的枪击案又上演了,更多的社会资源又投放到了安全保障领域,新一轮的周而复始又开始了……

这显然是不断上演的一个个社会悲剧,无辜的人们被枪杀,或许他们的家人朋友在责难政府安全保障不力的时候,更多反省了紧急情况的自保之道。虽然说成为枪手来泄愤的靶子甚至人质的平民百姓和疯狂的枪手无冤无仇,但是了解紧急情况之下的正确应对之道,平民百姓仍有捡回一条命以及降低社会整体损失的可能性。

举例讲,抢劫银行及珠宝店的枪手往往并不愿意乱杀无辜,但是对于可能阻碍其抢劫行为的,则不会有一点手软,所以,在劫匪眼皮之下,即使你的妈妈打电话来或憋出尿来或蜜蜂飞到你的鼻子上,都要强忍住表现乖乖的,不要在劫匪面前表现出任何小动作或小聪明,特别是要让劫匪能够明显看到你的手,以防止其误认为你要去掏武器或报警先给你一枪。

而如果乱杀无辜的枪手进入了你的写字楼,你获得通知,此时还有时间应对,则不该出门逃生,而应立即关闭门窗,并尽可能用坚固的物体抵挡以防止枪手轻易破门窗而入,然后躲避在室内相对安全的地带,并且保持安静,如果情况允许,可立即报警寻求帮助。

而当判断几无从恶匪手下生存之可能时,则应避免无为的牺牲,应拼死猛力一击,以求重创恶匪,或能捡回一条命,或至少令恶匪损失严重,同时亦利于拯救他人。

实际上,上述只是一小部分应对之策,类似的正确应对方法还有许多,我们不是说不需要安全巡逻,安全巡逻力量貌似永远不够,而这些社会安全资源投入的收效可能并非如人意。亭长朗然公司的安全观察员James Dong说:如果人人都有足够的安全防范意识,人人皆兵,则无需令太多社会安全资源进入闲置状态,反而更能保护大众的生命财产安全,也能令疯狂的广场狙击手们有所收敛。

要想人人拥有足够的安全防范意识,无非需要加强安全意识教育培训,以防止人们的“健忘”,还需定期进行必要的应急演练,不论是通过精心设计的真实的互动式培训课件,还是身临其境般的场景模拟演习,都是最好的安全意识教育手段。

博客相继被黑给科技公司的启示

近期,科技公司博客站点被黑的案子越来越多,造成系统的用户邮箱及密码等信息失窃,相信会给上下游的其它科技公司带来一定的安全管理启示。

关注互联网安全新闻的朋友们应该知道一个常识,就是几乎每周都会有黑客攻击造成密码泄露的安全事故发生。

这些安全事故多数发生在国外,但并不表示国内的事件不多,因为法治严谨的发达国家多会严格规定各组织机构在受到黑客攻击之后要立即通知受影响客户,而相对自由独立的海外媒体会捕捉并公开这些“丑闻”,通过引导大众,进而给那些遭遇安全事故的组织以压力。

国内的组织机构往往担心遭受巨额索赔或罚款,或者怕给商业信誉带来不良影响而喜欢疏通政府和媒体关系,企图通过公关来捂住“丑闻”,进而希望将大事化小,小事化了。

在笔者的安全审计工作中,经常有碰到客户拿出一大堆安全管理文档和流程,但没有相关的记录,就安全事件响应流程方面,多数客户称组织内部并没有严重安全事故发生过,这令人哭不得。

事实上,任何组织难免都会遭遇安全事故,“不经历风雨,怎能见彩虹”,小孩在学习走路掌握身体平衡的过程中必定要经历一些摔打的,那些自称没有经历过严重信息安全事故的组织在安全管理方面肯定是不成熟的,因为成熟的安全事故响应体系会要求有详细的事故响应处理记录、根本原因分析以及防范再次发生的根治措施。没有这些记录或报告,是企图在表明安全运行状态一直很良好呢?还是在从侧面证明安全管理水平一直处于混沌而不成熟的状态呢?

当然,安全事故发生后的响应目标是将损失降至可能最低,这里面的损失最重要的是商业信誉,诚然,目前国内几家互联网公司的流氓黑社会行为很令人不齿,这主要原因是大量的用户都是互联网安全小白,他们缺乏辨识是非正误的能力,以便被绑架了都不知晓。

事实上,那些流氓黑社会尽管短期获得了所谓的“成功”,但一点都不受社会中坚阶层如白领精英们的尊重,随着社会大众的互联网安全意识的提升和中产阶级队伍的扩大,那些没有基本商业道德准则,不讲信誉的流氓行径会受到越来越多人的唾弃,不过我们似乎也应该相信,少部分黑社会也可能会在积累了血泪资本之后通过洗钱等手段而逐渐转向正路。

我们提到的这“正路”,是指尊重比较普世的商业价值,就互联网安全事故来讲,至少有一条,是善待客户,连客户网络帐户被窃的基本知情权都给剥夺了,还谈什么客户至上,提高服务质量,改进客户满意度,超越客户期望,给客户带来最佳体验……

在普世商业价值观的指导下,回到安全事故响应的目标,将可能的损失降至最低,降低谁的损失?有人们往往会错误地将自身和客户的利益对立起来,这是严重违背普世商业伦理的,就比如你不能以更低的价格向客户提供更好的产品或服务,不要坑蒙拐骗,最好在你能做到更有竞争力之前推荐客户去其他家。因为当今竞争激烈,尽管建立客户的忠诚度难,但是你的坑蒙拐骗行为可能无疑是在将难上加难。

当你提供的互联网服务出现问题时,比如用户的密码外泄时,应该马上响应、迅速通知受影响的用户,并在技术层面帮助用户挽回可能的损失,比如要求用户登录之后立即更改密码、加入手机验证码之类的多重身份验证机制、暂时锁定那些未修改密码和确认身份的帐户进行虚拟财产交易、加强异常登录监控等等,这些措施都能够给服务质量带来积极的影响,因为安全事故已经发生,用户能理解而且只能接受现实,良好的补救措施反而会给商业信誉加分。

更多的,就是分析事故发生的根本原因,制定防范措施,相信组织内部的管理和沟通协调不是大的问题。对外,在制定这些安全措施的同时,也需要加强对系统用户的安全意识教育和安全措施使用培训,昆明亭长朗然科技有限公司的安全咨询顾问James Dong认为有有几点是必需的:

1.教育用户密码安全,使用强健的密码,包含大小写字母、数字和特殊标点符号,这些正好也可以结合网站密码强度验证功能;避免和其它网站使用相同的密码;定期更改密码等等。

2.注意防范社交攻击和钓鱼攻击,犯罪分子可能会冒充各类身份使用各种下三滥的手段来入侵用户的大脑和计算终端,甚至包括冒充你的网站服务人员来实施诈骗,教育用户不要随意接收可疑文件或点击网络链接。

3.梳理沟通渠道和紧急情况响应指南,便于用户在发现异常或问题时及时报告,以便采取适当的安全响应措施。

4.注意社交网络安全,动态网站论坛和博客被黑的概率要远高于静态网站,社交网络里的一些互动内容更是不能轻易相信,也不要在社交网站发表可能会犯罪分子利用的言论。

最后相信您已经知道,网站、应用平台和数据的安全维护关键在科技公司,但记住最终客户的水准提升上来,才是保障商业流程安全的核心,因为最终用户的安全意识低下是整体商业流程中最严重的安全漏洞,最终用户可能也是网络犯罪等安全威胁所最为关注的目标,还是一个较为散漫的大群体。