安全意识培训应成为安全管理的重要战略举措

俗话说“春种一粒粟,秋收万棵籽”,“一年之计在于春”,春天是忙碌耕耘的季节,对信息安全行业的从业人员们来讲也是如此。各类组织的安全管理团队纷纷开始制定新的一年的安全目标、战略和实施计划,希冀能积极面对各类不断演变的安全威胁、通过各类安全控管措施,降低组织所面临的安全风险,进而达到保障业务的安全持续运作的总体目标。

然而,想在年终大会上进行工作总结时好好展示一把信息安全部门对于组织业务成功的伟大贡献并不容易,来自各个业务部门的高阶管理层会关注到部门内外相关的严重的计算机信息安全事故、由于安全事件给业务正常运作带来的不利影响如停工时间、客户流失、商业信誉损失、机会损失等等。

虽然我们并不能完全杜绝安全事故在组织内的发生,甚至即便我们的安全团队进行了适当的安全应急响应措施,最大限度地挽回了潜在的损失,仍然不免会被高阶管理层误解,甚至受到批评和指责,问题的根源何在?即使不是高管们刻意刁难,能投入更多的钱,请最牛的高手,实施最为领先的安全系统,也还面临着安全与效率的平衡问题。

不要以为高管们不懂得安全,他们可能确实不会配置防火墙,甚至工作电脑中了毒也还要求助于IT帮助台,然而他们对于您制定安全的控管目标和战略会有很大帮助,想在信息安全方面制定出满足SMART标准的目标并不容易,特别是安全控制目标缺乏行之有效的衡量标准,所以没能进入到组织核心决策层的信息安全管理负责人员永远可能会低一头,因为业务高管可能会轻易给信息安全工作的成绩给出或好或差的判定。

再问一次,问题的根源何在?如果安全管理负责人不想让团队的后期努力付诸东流,一年下来却发现白忙活了一场,就应该现在反思一下。

对于绝大多数组织机构而言,安全不会是核心的商业竞争力,无论如何信息安全管理负责人难挤到核心层,或许您要辩解说核心层的高管才应该为安全负责,这就对了!那您有没有想,既然高管和业务部门要为安全负责,那要专门的信息安全团队和人员干嘛?

好!到这里,聪明的您应该明白问题根源所在了,就是安全不仅是信息部门的事情,安全需要高管以及各个业务部门成员的参与,实际上,保障信息安全是组织所有成员的职责,所以让所有员工都参与进来吧!

信息安全负责人及部门成员再不应该继续像无头苍蝇一样埋头于技术的安全控管系统,应该多与各业务部门沟通协调,帮助他们了解基本的安全理念,帮助他们找出组织层面和部门层面的重要信息资产,帮助他们认识到这些信息资产所面临的安全威胁,帮助他们并和他们一起讨论及制定安全风险控制措施……

有了高阶领导层和业务部门管理层的参与,员工们也更有了主人翁精神,这才是真正在做安全,这种安全是和业务紧密相关的,不管叫风险管理、业务安全、公司治理什么的,总之,信息安全团队的价值得到了更大的发挥,而不再是配置个网络安全系统,控制了员工的网络使用行为,又引起了员工的消极对抗等等这些较低的安全管理行为。

所以,在制定安全战略时,要考虑更多与业务部门管理层及全体用户的沟通和交流,要为此分配资源,要给出足够的安全预算,要制定全体员工的安全意识培训计划……

武汉大学计算机学院副教授、信息安全博士彭国军称:信息安全是三分技术,七分管理!相对于某些安全设备投入而言,加强员工的信息安全意识,使其能够及时感知安全威胁并合理规避风险,更有意义和效果!

有信息安全从业人员觉得安全沟通不容易,用户要么忙忙碌碌重视不过来安全,要么做贼心虚刻意躲避安全……实际上,通过安全意识培训来加强沟通和理解是最佳的途径,昆明亭长朗然科技有限公司在这方面积累了丰富的经验,帮助了众多客户成功地通过安全意识培训,进而建立起组织内的安全文化,增强了企业的凝聚力和竞争力,亭长朗然公司欢迎对这些有兴趣的客户来电来邮件进行咨询。

我们总结一下,制定信息安全管理的目标、战略和计划时,要考虑到信息安全是为了保障公司的业务持续,是为了保护组织的成功,所以,信息安全不单是安全部门的职责,更不能信赖单独的技术控管措施,加强同高管以及各业务部门的沟通协调,Involve他们到一条船上,也让所有员工参与进来,方可共建成功的安全体系,也方可共享信息安全建设的胜利果实。security-check

 

我要我的专用方案,信息安全——价值、目标、战略与流程

信息化在社会和各组织(公司)中已经达到了一定的水平,至少不少组织正在使用互联网。而且,我们相信您各类组织机构会越来越多地使用信息科技来推动业务流程创新和提升商业竞争力。

为了确保您的组织的成功,您需要认真对待信息安全,信息安全对各类型的组织越来越重要,有如下三个主要原因:

1.在科技飞速发展变化的环境中,组织的运作越来越多地依赖于他们的信息系统;
2.公众越来越关心个人的机密信息是否得以被正确地使用;
3.罪犯分子和恐怖分子对信息系统和数据的威胁一直在增长。

结合您的组织想一想,信息对您的组织是否有着非常重要的价值?您的组织内和组织外相关的员工是否有认识到保护这些价值的重要性?

可能您会说,这是很浅显的道理,更进一步您可能会说您的组织已经部署了各类安全技术措施如防病毒、防火墙、防黑客以及安全补丁修补等等的管理流程,甚至正准备安装UTM统一威胁管理系统,上马SOC安全运营中心项目或者打算外包一些安全技术服务给MSSP可管理安全服务提供商等等。

您确实正在做应该做的事情,因为不管统一威胁管理系统、安全运维中心还是网络安全托管,都可以很大程度帮助保护您的组织的网络安全。

同时,您要保持清醒,整合型的安全网关、安全运营中心或者外包安全服务大都自称是一整套的信息安全管理解决方案,或者至少是整体解决方案的一部分,实施了它们之后就可高枕无忧,实际上并非如此,如下三点将告诉您为何众多信息安全管理方案并不能解决您的商业价值保护问题:

1.每个组织都不相同,所以所面临的安全威胁也都是不同的:使用的技术,技术使用的人员,业务经营的区域和物理位置。这些都会影响到信息安全;
2.信息安全影响到每一个组织的架构和行为:一个安全控管的疏忽可能导致信息被窃取;感染了病毒的计算机连接到组织的网络可能破坏信息数据;一杯红茶泼洒在电脑键盘上可能会让信息不可用;
3.每一个人都在用独特的方式与组织交互——从潜在的客户到执行总监,从商业黑客到信息安全经理,都在时刻对组织的信息安全产生积极和消极的影响。

看完上述三点,您是否开始反思甚至否认所谓的“信息安全整体解决方案”?其实,并不是安全厂商故意欺骗您,毕竟,所有的产品和服务都要有一个华丽的包装,想想您自己的组织的业务,不也是如此吗?

这实际上也并非您的错,当然,事前您可能已经隐约感受到过分依赖技术控管体系可能并不够,只是现在您的感觉更加强烈而已。

不要忧虑,因为认识到信息安全“三分技术、七分管理”,表明现在您已经开始走上正确的方向,在这正确的方向的指引下,您的组织的信息安全和您自己,都将得到彻底的解放,获得自由和新生,这不是很值得开心的事儿吗?

不是拍您的马屁,让我们言归正转,首先,您已经认识到,信息安全和管理需要在组织背景中加以考虑,毕竟,信息安全管理并不是您的组织存在的目标,只是确保成功的手段,甚至您个人的职业发展方向也可能是深入组织的核心业务,以更多地贡献您的聪明才华。

所以,我们建议您行动起来,但是并不必急于拿出阶段性的成绩,而是先了解您的组织,或许您会讲至少心里在说,我在组织中已经是元老啦,我太熟悉这里的一草一木了。

我们不否认您肯定要比我们对您的组织更加了解,我们给您的建议是:

1.调查并确定那些会影响您的组织的信息安全问题;
2.详细了解和说明信息安全和组织各个职能区域之间的关联;
3.确定每个人可能对安全的贡献,提出一项策略,这项策略可以让积极贡献的总和大于消极贡献的总和。

等完成了这一步,在信息安全管理方面,您已经很清楚地认识到自己和组织了,这胜过一切的漏洞扫描、安全评估和外部审核,所以我们要祝贺您和您的组织,为您们的脱颖而出,想想看,还有多少组织和信息安全管理人员正在黑暗之中探索着前进的方向、正在被世俗牵着鼻子,正在迷失中丧失未来的前程。