安全意识应该带来行为改变

在取得成功、走向辉煌的过程中,我们必须有一个个明确的目标,一切以结果为导向。营销团队通常会拿此进行队员励志,成功学专家更是将此奉为圭臬。因为涉及信息安全,特别是用户意识和培训,所以在安全意识领域也应思考有一个明确的目标和导向。

是否要将所有人员培训到最高级别,以便他们可以成为安全解决方案的一部分呢?也许可以通过政策和技术控制用户的行为来使企业获得成功?也许只是审核人员检查安全意识培训相关制度和记录?昆明亭长朗然科技有限公司安全意识专员董志军说:观察安全意识和培训计划的无数方法和可能的结果,无论是否完成,都归结为一件事:改变行为。

有许多企业正在进行网络安全培训,但他们没有什么可以展示的。当然,培训记录通过了审计检查,但人们仍在点击恶意链接,打开可疑的邮件附件,并堕落于社会工程师几十年来未翻新的老套骗术。我们可以在几乎所有的安全评估项目中都看到了社会工程学的影子。网络钓鱼邮件太容易成功了,通常会有三成左右的用户打开附件或点击邮件中的链接,并在出现提示时输入其网络登录账户和密码。这是一个简单而又令人不安的漏洞,然而每天都会发生在世界各地,当然也包括您所在的工作单位。

现行安全意识计划是否能带来安全行为的改变

安全意识计划应该专注于正确的事情,以行为变化为核心,这有助于实现总体安全目标,防止正在做的事情偏离目标,走入歧途。具体有哪些奇葩的偏颇的做法呢?其实在特定的企业文化中的表现各不相同,有拿数据来说话的机构,喜欢搞“深入、公正和持续”的安全评估,进而发现可以带来改进的一些事情。问题是这些IT安全团队“既是运动员、又是裁判员”,他们发起的安全评估通常不是深入的、无偏见的或持续的,因此用户必定“不服”,对安全挑战会持续存在。改变的行为往往不是安全,而是如何搞调查评估和工作表现等等这一些文书工作和政治工作。

有的安全意识和培训计划纯粹就是无脑的跟随,这种找花钱路子的案例有很多。您有没有想过:强迫更多令人头脑麻木的课堂会议或视频会让更多人加入安全措施吗?有没有更有创意的方法,例如采购外部的专业培训服务呢?询问用户他们想要学习什么以及他们想学习它们的方式。IT和安全专员千万不要自以为很了解用户,圈子以外的很多聪明人都可以提供很好的反馈,要提高基层用户的安全性。这并不是在内容和形式方面投大众好,试问,用户们真的喜欢微信观看大片进行学习吗?您得到的真实答案可能让人意外,人们觉得安全培训的内容似乎和自己无关,更不想花费自己的私人时间来学习如何保护公司/单位的信息安全。如果这种错误的认识得不到改观,改变安全行为简直就是痴人说梦了。

很多安全管理者笃信通过惩戒措施会加强员工的安全自律。董志军说:尽管看起来很奇怪,但在受到纪律处分方面,成年员工与年幼的孩子并没有什么不同。如果他们要从错误中吸取教训,他们不应该被责骂和尴尬,而是需要了解为什么他们不应该做他们所做的事情以及他们下次如何更好地处理事情。话虽这么说,相反,在现实中,我们可以看到太多员工因为被恐吓而误解退缩、被指责而冷漠泄气、或被惩罚而心生积怨,进而消极地逃避、抵抗、甚至突破各类安全规章和要求。这当然是改变了员工的安全行为,但是方向却是相反的。

尽快做出必要的改变

无论是商业领域还是个人生活方面,信息安全都是您可以关注和赢得关注的方面。员工安全意识计划需要建立起来才能获得成功。在理想的世界中,这意味着他们甚至没有机会做出安全决策。安全方面技术控制可以帮助解决这个问题,但很有限。最终,在面临安全威胁和问题时,员工将自己拥有重要的安全选择权。您当前的意识和培训工作是否会引导他们走上正确的道路?在仔细检查自己的安全意识计划之前,没人能够知道。

请认识到安全意识和培训工作的核心成果是改变受众的安全行为。只有让合适的、专业的人员参与设定期望,然后方可尽一切努力达到目标,当然并随着时间的推移,目标需要不断修正和抬升。这种PDCA方法,与尽量减少与员工相关的安全风险的方法相同,而且它是被证明科学而有效的。

简要结论

安全意识计划要如何改变安全行为,引导受众参与的积极性是首要任务,这并非靠制作精良的安全宣教大片或者抡起安全事件惩戒的胡萝卜加大棒就可以实现的,要让受众理解安全文化精髓,他们才能认可和接受信息安全方针政策,以及我们发出的安全要求和指令,进而在工作、生活、学习中重复实践安全,进而养成良好的安全行为习惯。

昆明亭长朗然科技有限公司根据不同组织机构的安全文化,以及人员群体的不同特性,量身定制适合的安全意识教育计划,并提供相关安全宣教活动的顾问和实施服务,欢迎有需要的客户或伙伴们联系我们,洽谈合作。当然,如果您对文中的这个话题有兴趣或者有自己的观点看法,欢迎联系作者董志军,以进一步深入探讨。

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

再谈客户数据的保护

在所有现代商业活动中,人们几乎不可避免地会取得有关客户的某些信息,比如姓名、地址、账户、手机号码、甚至身份证号码和购物习惯等等。当然,根据业务流程的不同,这些只是可能收集的信息的一些示例。

当客户将这些数据委托给您时,您应该采取强有力的措施来保护它们。此外,可能有一些本国和国际的法律法规,会要求您所在的企业保护客户信息的安全。

不管规模如何,各类型的公司都会成为攻击者的目标,网络犯罪分子才不会考虑贵司有没有投资最新网络安全技术所需的财务资源。因此,无论您的业务规模如何,您都应该了解一些保护客户和业务数据安全的基本方法。

1.制定有效的数据保护政策

当客户想要衡量您保护其个人信息的承诺时,数据保护政策(或称隐私政策)是您的首要工作。因此,花一些时间制定一项明确、连贯、直接和现实的政策文件,以确保您为保护客户数据免受未经授权的访问和使用而采取的安全措施。

明确您从客户收集的信息、使用方式以及客户希望从记录中删除数据时应遵循的程序。隐私政策是建立客户信任和提升声誉的有力工具。这不是走走过场或假意展示,而是郑重承诺和行动指引。

2.只收集所必需的信息

您收集的客户数据越多,您就越容易成为有利可图的目标,同时还在无意中增加了网络安全泄露事件对客户的影响。黑客可以获得的信息越多,他们就越有能力实施更具说服力的身份盗窃和欺诈活动。

这就是各种法规如网络安全法、欧盟的通用数据保护条例(GDPR)等都在不断强调组织机构不要取得他们不需要的消费者信息的原因。

提醒一下,符合条件的必要信息可能会随着业务的发展而变化。因此,每半年或每一年审核一次必须拥有的客户数据,并删除那些不再需要的信息。

3.对信息进行分类分级

并非所有信息的重要性和敏感性都相同。例如,用户名和密码对于黑客来说比客户的邮件地址更有价值。信息越敏感,您应该投入的来保护它们的资源应该越多。

通过根据重要性进行业务和客户数据的识别、分类和/或分级,您可以确保将网络安全工作聚集在最重要的地方。

4.对员工进行安全培训

员工是最薄弱的安全环节。您可以获得并安装最复杂的网络安全和数据防泄露系统,但是如果员工们不了解他们在保护客户信息方面的职责和作用,并采取相应的安全保护行动,那么数据防泄露不会生效。

建立全面的安全意识和培训计划,使用研讨会、在线学习和定期的邮件通讯等多种方式来不断教育您的员工,让其了解敏感业务信息落入坏人手中的风险以及他们该如何在工作中防止这种情况发生。

此外,员工还应该知晓最新的社会工程和欺诈技术,因为攻击者经常使用这些技术,冒充他人欺骗员工进而获取客户数据。

总结

所有类型的组织机构都应该致力于数据保护。不管在哪个行业、何种规模,数据泄露都可能对声誉和财务造成不利影响,最终导致业务崩塌。

希望通过上述这些客户和业务数据保护方法的分享,您可以有所收获,用于在日常的安全工作中。昆明亭长朗然科技有限公司专注于帮助各类型的客户对其员工进行安全意识教育培训,我们创作了海量的信息安全意识教育培训内容资源,包括宣传图片、动画视频和电子课件等等。如果您需要类似的安全意识课程内容资源,欢迎您联系我们索取内容清单、挑选、预览和采购。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898