如何保障信息安全控制措施的有效性

最新一项针对企业用户的开放式信息安全调查表明:近半数(46%)的最终用户对公司的网络信息安全控制措施表示不理解和不满意,而这其中几乎所有(94%)都曾经尝试并企图躲避或越过公司的安全控制措施,而有近半数(52%)曾经成功地躲避或绕过了一种或多种安全控制措施。

举例讲,很早年国外就有专业测试机构NSS通过媒体曝光网络防火墙的失效问题,当然,那时候只有专业的渗透攻击测试人员才能轻易让企业的网络防火墙失效,其方法在今天看来已经极其简单,而且也非常容易实现,就是在内部通过伪造源地址对防火墙发起欺骗式拒绝服务攻击,尽管多数防火墙都有对源IP地址进行校验以及防范拒绝服务攻击的能力,然而防火墙处于被动响应的地位,其可处理的网络连接数资源往往会轻易的被内部一台普通的PC耗尽,进而让防火墙无暇顾及更多访问控制规则。

不过,话说回来,尽管今天很容易实现这种攻击,普通计算机用户的安全攻击水平离脚本小孩还有不少差距,更不用说多重防御体系的构建,安全政策和制度的实施等等给普通用户的心理威慑,所以,多数企业的网络信息安全管理员并不是很担心安全控管效果的问题,反而更多操心的是安全系统控管的力度、安全产品相关策略或规则的定制问题。

系统安全管理员们当然没有错,一项新的安全控管措施要在企业内部实施,当然不是一蹴而就的,不管是身份管理系统、访问控制系统、平台安全系统还是数据安全系统等等的实施,都需要一个漫长的与企业计算环境进行匹配的“磨合期”,除非那些配置的非常自由开放的、形同摆设的安全控制系统,多数安全项目的“磨合期”少则三五天,多则三五个月。

“磨合期”内系统安全管理员、操作人员和最终用户们可能会反复进行测试或实验,以便使新上线的安全控管措施最大限度的发挥其功效,即起到保护企业安全的作用,当然,安全负责人员可能会向最终用户发布新的安全精神及安全系统上线的变更通知,而精明的最终用户这时会做些简单的试探,但往往不会有过多犯规或顶撞行为,也不会公开尝试躲避或越过控制措施的动作。

“磨合期”很顺利得以完结,系统安全管理员甚至操作人员对这些安全控管系统的新鲜感也越来越低,似乎运行比较平稳,没什么好继续搞下去的必要。而此时,精明的最终用户开始活跃起来,而那些对安全即无知又大意的最终用户也开始被企业内外部的攻击者支配了,这正是最危险的时刻,结果当然导致半数的半数,即四分之一的用户成功躲避或绕过了这项不再“新”的安全控制措施。

殊不知,还有更危险的还在后面,系统安全管理员或安全操作员某天发现了这项安全控制措施或称之为安全控管系统的“漏洞”,准确讲,是他(她)的工作不足。在这个棘手的问题处理上,不仅出于自保的原因,还可能包括自身对“不再新”安全系统的厌倦、不满甚至反感,他(她)可能会逐渐将此项安全控制措施淡化处理甚至彻底丢弃。

一项计算机网络安全控制系统的生命就这样香消玉殒,即便新的再来,也仍将重复同样的历程,问题的根源何在?不能怪罪系统安全管理人员或安全运行操作人员的喜新厌旧、疏忽大意甚或玩忽职守,也不能责怪安全产品厂商售后服务及跟踪支持的力度不够,更不能责怪普通用户的不配合或高级黑客的狡诈。

问题的根源在安全管理流程和安全意识培训的缺失,在“磨合期”,安全管理负责人即应建立长久的可持续重复进行的安全系统维护流程以及安全运营操作流程,并定期检查以确保安全工作的持续进行并得以不断的改进。同样在“磨合期”,安全管理负责人应该加强系统项目人员、运营操作人员和最终用户的沟通和协调,这其中重要的一项是对相关人员进行系统的安装配置、管理维护必要的培训,包括技术操作和流程制度;另一项是加强最终用户的信息安全意识培训,让他们理解和认可这些安全控管措施对于公司和个人成功的重要性和必要性,并会基本的应用操作以便保护好自己,要考核他们对这些信息安全基础的掌握情况,并让他们签署安全承诺书。

当系统安全管理人员、安全运营操作人员和最终用户都知晓自己的安全职责,掌握基本的安全防范技能之时,安全管理负责人只要稍加监控,便可轻松保障信息安全控制措施的有效性。

昆明亭长朗然科技有限公司有丰富的网络信息安全项目实施经验,并且通过帮助客户建立安全相关流程及安全意识和技能相关培训,获得了众多客户的一致好评。亭长朗然公司的企业安全项目总负责人James Dong是国内为数不多的同时拥有CISSP,CISM和CISA国际权威信息安全相关证书的专家之一,欢迎各界朋友通过邮件与他联系,邮件地址是james@securemymind.com

security-countermeasures

建立安全意识推广计划的挑战与建议

哲人说:“意识决定行为、行为决定结果”。我们让受众拥有足够的安全意识,是为了让受众在面临安全隐患、危害或事件的时候,能做出正确的安全决定、选择和应对,进而付诸正确的安全行动。昆明亭长朗然科技有限公司安全教育专员董志军说:简单讲,搞安全意识宣教活动的目的,是通过改变人们对安全的认知,进而改变人们的安全行为。

然而,动动嘴皮容易,行动起来困难。要改变职场成年人的固有认知,我们要面对的是一系列的挑战。

首先,不管是企业安全负责人、内部沟通专员,还是员工培训讲师,我们中有很多人根本不知道要传递哪些饱含安全意识的信息。购买通用的安全意识课程资源内容并不是一件傻事,“万事开头难”嘛,见识过通用的课程内容,方才有个概念和轮廓。当然,也有很多安全管理体系工作较为成熟的组织机构,其中不乏安全方面的管理能人,他们知晓人员是关键信息和作业流程的主体,重视信息安全中人员的要素,了解哪些可以通过安全技术手段、流程安全管理的方式实现,哪些需要依靠转变人们的安全意识认知来实现。说到底,要传递的信息,源自安全需求,这与安全目标、战略和环境等因素都密切相关。不同的单位,不同的行业,不同的业务,不同的阶段所面临的安全威胁、所需的安全对策都不一样,自然所要传递的安全意识信息也不尽相同,这正是“凡物莫不相异”、“世界上没有两片完全相同的树叶”。因此,通用的安全意识资源内容并不是最适用的。

其次,很多人不知道有效的信息传播方式,也有很多人是参考单位既有的沟通渠道。总之,看别人怎么宣传,自己也就怎么宣传,这种随波逐流的做法虽然能让人明哲保身,不至于犯大错,但是绝不会给人带来大功绩,搞不好反倒弄成“东施效颦”或“邯郸学步”的凄惨结局。在信息安全宣教方面,有多种信息的发布渠道和传播媒介,如:安全手册、户外海报、电脑屏保、动画视频、微信公号、线下活动、线上学习、电子期刊……我们不仅要考虑到把饱含安全意识的消息发出去、通过哪些不同各类的形式发出去,更要考虑对受众群体的覆盖度和针对性。安全手册理论上可以人手一册,也就是击中99%的员工。海报挂图这些,受制于空间限制,通常对一家大型机构来讲,传播覆盖度居中低,也就是击中不了20%的受众,不要说我在员工必行通路上摆放就能达到100%,那没意义,除非摆到所有员工的面前一次。电脑屏保和动画视频往往都是通过电子方式展示,对于几乎所有员工都有电脑的机构来讲,传播覆盖度会居中高,也就是能击中80%的受众。微信公号貌似可以覆盖全员,其实那少得可怜的点击量,算一下传播覆盖度几乎最低,通常击中不了5%的受众。线下活动也是一个受制于空间和时间限制的,如果在员工年度大会上搞,几乎可以覆盖99%,如果是小型课堂、户外展示或部门代表组成的研讨会,那传播覆盖度也通常超不过5%。线上学习和电子期刊不受时空的限制,但受终端计算设备的限制,理论上几乎可以100%覆盖到有工作电脑和电子邮箱的员工。

再者,很多人没有考虑受众的接收率和接受度。信息过量的时代,受众对各种宣传“视而不见,听而不闻”是常事。举例来讲,员工可能100%收到安全手册了,90%的人翻了一下就放到一边了,接下来80%的人就永远将它们放在一边了,也就是说20%的人看了,接收率是20%。再举例讲,线上学习,如果强制学员参训并考核,那接收率能达到100%,如果执行力不足或者设成选修课,那就难说,通常线上学习的接收率在30%~95%。电子期刊被开启的比率通常不会超过40%。接受度呢,这个比较复杂,受制于太多因素,且因人而异,10%态度好也聪明的,可能接受了90%,10%态度差又笨的,接受了10%,剩下那些也就接受了20%~50%。

总结上述几点,看起来困难重重。人们期待着“山重水复疑无路 柳暗花明又一村”,期待着一个充满光明与希望的信息安全意识教育新境界。如何应对这系列安全意识挑战,发出有针对性的消息,使用最高效的传播方式,提升覆盖度、接收率和接受度呢?昆明亭长朗然科技有限公司安全教育专员董志军说:我们可能需要重新思考信息安全意识宣传推广方案。

首先,我们要发出有影响力的消息,不管通过什么方式什么渠道传播,如果是不关痛痒的没有料的消息,形式外表上如何花里胡哨都是“金玉其外,败絮其中”,没有用,白白浪费金钱和人力资源。如何创制有内涵的消息呢?无疑要结合安全哲思、创意、心理学、教育学、传播学等多种学科。

其次,要知道,漫画、动画、游戏等等本身不会增强信息,甚至远没有手册彩页、期刊贴士等“有料”,但创新的有趣的方式可以吸引眼球,也就是在视觉上很有吸引力,增强接收率。当然,有时我们也需更快和更方便用户的方式传递信息,例如,通过一篇时效性强的宣传短文来应对紧急突发的安全事件。

最后,就是提升接受度了,也许改进安全意识的最佳方法是采用互动来测试和提升受众的接受度。美国大学的一份最新研究报告显示:“可视化和游戏可以让受众产生更深的理解,增强和媒体的互动。”例如,让受众玩一个模拟现实情景的短小游戏或做一个测验,可以让受众对安全产生更深的理解和接受。安全经验是可以被游戏化的,通过学习管理系统,您可以显示每个部门的总分,同时突出高分者,可以聘请他们为所在部门的网络信息安全协调员或倡导者,进而通过他们来渗透和影响更多受众。

关于小游戏和互动测试,董志军说,虽然我们在一些信息安全意识培训项目中使用了,也有一些可以参考的方法论,但是到目前来讲,实践方面尚只有少数的几家客户通过在线学习管理系统来进行实现交互测试,当然课程资源内容尽可能包含了动画视频和互动游戏。总之,我们要保持谨慎乐观,我们的一些想法,暂时只供您参考,我们的一些建议,您不妨试一试。相信很快我们会有更多实践案例来证明这些理论。

不管您对这个话题有任何的疑问或建议,都欢迎联系我们。昆明亭长朗然科技有限公司是国内信息安全意识领域的创新者、探索者、开拓者和引路者。我们不屑于将同一个产品和服务重复性地出售一百遍,“Make Differences”是我们的处世理念和生存哲学。在信息安全意识宣教方面,如果您想玩些新的,欢迎联系我们一起探索,一起前进!

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898