信息安全年会关注的焦点是信息安全意识

最近,昆明亭长朗然科技有限公司的一家客户针对全体员工进行了一项年度信息安全意识调查,调查结果令人震惊,几乎没有员工明白安全漏洞和安全威胁的区别,在怀疑或遭遇安全事故时如何正确响应也很不令人乐观。

如果说漏洞、威胁和风险属于专业术语,部分安全从业人员甚至都搞不明白的话,我们更应该原谅这些员工。如果员工在遭遇可疑安全事件时不知如何报告或向谁报告,那显然是安全应急响应体系和流程的缺乏或不足,至少在安全事件报告方面,暴露出安全管理人员未对最终用户进行适当的沟通和培训。

安全管理人员可能会说没有足够的资质来建立安全应急响应体系,拜托,再小的企业也会有突发安全事件吧?何况大些的公司还有专门的安全管理职位和队伍呢!安全应急响应的投入可大可小,但找两个轮流值班的、接电话和查收邮件的保安总可以吧?

为什么要安全应急响应呢?想想如果员工发现工作区域有鬼祟的陌生面孔,立即报告给公司安全部,安全应急响应服务台立即派保安前去盘问和检查好呢?还是员工不当一回事,公司财物丢失了也无人知晓的好呢?

公司的多数安全预算用于购置各类安全设施、安防设备和安全服务,网络信息安全领域也是如此,资源多数花在安全系统和外包安全服务上,而比较忽略内部的安全管理体系如安全流程建设。

提到网络信息安全,人们谈论最多的是病毒和网络黑客,比较少关注信息安全意识。亭长朗然公司的安全顾问James Dong说:就连防病毒和防黑客都不能离开用户的安全意识,更不要说防范内部不满员工和商业间谍等等这些威胁。

针对信息基础架构系统的电子攻击近年来引发政府的关注,水电能源、卫星通讯、交通导航、银行金融等系统在安全等级保护框架下有了较大的改善。甚至在国家层面已经开始关注和谈论互联网战争和网络恐怖活动,这都彰显出国家在信息安全方面已经牢牢掌握主导权。

不能忽视的是在信息安全方面,也同样存在国进民退和国强民弱之说,在国家牢牢控制互联网安全核心架构体系之时,关于信息安全的立法、司法和监管日益成熟。而老百姓的互联网安全能力提升明显偏慢,显然与全球发达国家国民的安全素质差距甚远,甚至有网络观察员称中国的互联网是一小拨网络暴徒绑架着大量无知的普通网民,这和互联网大国的地位很不匹配,而且这样下去无疑将严重影响信息社会的健康发展。

回到亭长朗然公司的这家客户,在分析调查报告结果之后,安全管理团队进行了适当的检讨,认为有必要改进安全应急响应体系,并且加强对全体员工进行信息安全意识教育,特别是强化安全事件的报告。公司安全管理团队为此专门举办了为期一周的信息安全年会,年会后对员工进行随机抽样调查和社会攻击学攻击渗透测试,结果证明:通过培训,被调查员工了解到哪些是信息安全事件,该向谁报告安全事件。有趣的是,针对同一名员工的两次社交工程渗透攻击都被识破并及时报告给了安全服务台,两次的不同是这名员工第一次交谈时显得很腼腆,满脸通红;第二次已经显得很“理直气壮”。

员工的安全意识得到了质的提升,这正是信息安全年会的目标。短短两周的时间,这家公司的信息安全部门已经通过员工的及时报告,快速响应,挽回了一起可能造成重大损失的信息安全悲剧,这起真实的事件得以成功处理,不得不感谢信息安全年会的举办和信息安全事故场景的模拟演练。

网络安全形势严峻导致投资转向安全意识教育

针对大型网站的黑客攻击令多数注册用户的机密数据如邮件地址和密码等外泄,各类媒体对这些密码泄露事件也大肆渲染,唯恐天下不乱,而各路安全公司也乘势煽风点火,推销安全产品,不过具有讽刺意味的是,不少知名的媒体网站和信息安全公司同样也难逃被黑客攻击带来巨大损失的噩运,一时间,人们谈黑色变,人心惶惶。

同时不可否认的是,安全事故也有其积极正面的意义,灾后重建会拉动社会对安全控管的需求,创造新的商业和就业机会,还能刺激安全科技创新,然而对于多数受灾并不太严重的组织,最重要的还是:人们的安全意识得到了提升,安全觉悟得到了提高,这比什么都重要,人心齐,泰山移,不需要人人都有高深莫测的防黑技艺,只需普及一般的安全常识,便可让大多数黑客知难而退、无功而返。

不过,别以为看看别家遭黑客袭击,在安全方面遇到了灾难事故,自家就可以从中吸取到足够的失败教训,而且,大多数人并不会因为旁观了一把就会将安全意识提升到充足的水平。

最基本的,几乎所有的业务部门的总监经理主管们都知道:安装防病毒软件可以防范恶意代码。然而,知晓防病毒软件必须得到及时更新的并不多见,知晓即使防病毒软件得到了及时更新,却仍有可能不及新型恶意代码的出现速度的则更是凤毛麟角。

昆明亭长朗然公司在2011年进行的一项企业员工安全意识调查结果表明:高达96%的受访者仍然将防病毒软件视为最重要的信息安全保障措施,然而同样是96%的受访者却仅仅只愿意全盘扫描那些被怀疑或确认受到感染的电脑,只有接近2%的员工会在电脑出现异常时检查防病毒软件是否得到了启用和更新。

当然,我们不能渴求用户个个都成为信息安全专家,毕竟多数用户的首要工作职责还是为公司创造产值,并非防范病毒、击退黑客或者保护信息系统和信息数据的安全。但是如果普通信息系统用户连基本的计算机安全常识都不具备的话,在科技变革日新月异的时代,再厉害的安全技术防范措施也会显得苍白无力,甚至无济于事,因为多采用一项创新科技,就会多带来一些安全隐患,在安全威胁日益增多的时代,尤为如此。

再以我们的这项企业员工安全意识调查为例,计算机的病毒防范理念尚如此之不容乐观,其它的计算终端呢?便携式移动计算设备呢?智能手机、平板电脑呢?即时通讯和社交网络应用呢?社会学工程攻击呢?诸如此类的安全防范理念,多数普通用户几乎没有一点儿概念,当然结果就是大量的安全威胁通过利用这些渠道成功入侵了企业的内部网络、渗透了关键的信息系统、窃取了重要的机密数据、影响了业务的正常运作、甚至导致了重大的失败……

诚然,为了保障信息安全,各类型的组织或多或少部署了不少的安全产品或技术流程,如防火墙,入侵侦测与预防、数据丢失防范、访问控制与安全评估等等,这些安全产品或技术流程往往包含多种安全控管措施,可以实现多种控管目标,确实有必要实施一些,然而想靠这些来实现保障组织安全的总体目标显然不够,一方面各类控管措施都是针对各类角色的各种行为,控管措施的实施者、操作者、使用者或受影响者可能并不理解或认同这些控制目标和措施,这可能会严重影响到安全控管的效果,所以,这些不同的角色都需要接受适当的安全培训,最终接受并支持这些控管措施;另一方面,从安全管理角度讲,安全专家们也常说做好安全需要3P,People,Process,Product,即人员、流程和产品,这里面People即人员是最首要的,甚至有极端的安全技术极客们如世界顶级黑客米特尼克等等宣称,当今组织可以不建立标准化的安全流程和制度、不安装指定的防病毒软件产品,只需加强员工基本的信息安全意识。虽然安全技术极客们艺高人大胆,而且基本的安全意识观念中已经包含遵守安全流程和使用防病毒的必要性,但是安全极客们的这番话仍然显示出信息安全意识教育的重要性。

也正是不断曝光的网络安全事故引起人们对信息安全意识的关注,也正是因为信息安全意识越来越受到人们的重视,各类型组织开始不断加强员工的安全意识培训和安全文化教育,甚至有公司还始将信息安全意识培训当成新员工入职的必修课,而且每年都对全体员工进行安全意识再培训,传统上只重视网络信息安全设备和硬件的公司纷纷认识到这并不足够,开始将部分安全投资转向针对全员的信息安全意识。

亭长朗然科技有限公司的资深安全培训讲师Alice称:在发达国家,几乎所有的组织都有将员工的安全意识培训纳入到安全管理工作之中,政府及各类安全组织更是积极推进整个社会的信息安全意识建设水平,知名安全厂商如McAfee和Symantec等等也早都推出针对企业用户的在线安全意识培训课程;而在我国,只有极少数组织会将针对全员的安全意识培训列入日程,在线的即通过电子学习方式进行的信息安全意识培训则更是方兴未艾,虽然是新生事物,但是无疑在线培训有其独特的优势——可以让员工随时随地自由学习,更能快速实施大规模培训,并且及时获得培训的绩效,这种新颖的方式值得大家去尝试,特别是那些尚未进行过课堂现场培训的客户更应一步到位,就好似在当今的非洲大地上,人们不用拉固定电话直接使用移动手机那样,大跨步体验现代科技带来的便利和高效。

security-training