互联网监控项目“棱镜计划”曝光对安全监控机构和人员的警示

prism-whistleblower

“棱镜计划”被爆料者一公开,便成为全球特别是中美大众和媒体关注的一个重要话题,泄密者斯诺登选择了一个“出名”的最佳时机——恰逢中美两国元首会晤洽谈国家黑客主义和网络安全之际。

观看互联网舆情,媒体和大众多在对美国国家安全局进行指责,不少计算机网络信息安全业者更是抓住这个监控“把柄”,大释宣扬国外信息系统服务的不可靠,其目的无疑是推广信息安全要使用“自主创新”产品的目标。

不过,在我们多数人的有生之年,美国创新精神仍将会引领世界潮流,核心产品和营销理念仍将领先中国多年,拨开“自主创新”的外衣,我们依然要做多年的“跟随者”。

要说核心战略行业和领域早已开始在安全保障方面“国产化”,政策层面各网络信息安全主管机关以及重点行业监督委员会不断出台相关信息安全法规和指南,要求信息系统在本土登记、注册和使用经授权的本土信息安全产品和服务,大批的产品和服务如防火墙等设备的使用、信息安全管理等保体系的建立等等让国内的一批网络信息安全公司乘势得到快速成长和扩张。

不过,“跟随者”们在崛起的过程中,仍然被领先者美国牵制着信息技术的应用,如我国关键的行业如电力、银行等的核心信息系统仍然有90%以上使用国外的领先产品。

近几年,由美国引头儿折腾的“云计算”风水渐起,特别表现在“公有云”——互联网领域,美国的志向和眼光早已不局限于北美,而是全球,这让信息化相对落后的“跟随者”们很惊恐。加之美国不断输出西方文化理念和普适价值观,冲击着其他的文明,于是各国纷纷启用国家防火墙,监控和过滤着不利的信息流。

对使用者的信息流进行监控是拥有互联网主权的国家和组织的正常行为,甚至各国和一些商业公司都有实施一些间谍活动,这都是些常识并且无可厚非。泄密者斯诺登正好参与了对民众进行互联网信息监控的“棱镜计划”,从广义上讲,将范围由国家缩小到组织机构,有多少信息安全从业人员甚至IT人不是也有从事类似的工作呢?那些IDS、网络审计、内容过滤、上网行为管理、文档安全、数据安全之类的信息系统不都或多或少在监控着员工们的通讯信息吗?

在国家层面,美国不时出台国家安全和互联网监控相关的法律法规,授权相关机构合法监听监控国民的通讯信息。而在组织机构如公司层面,多数也有信息系统使用规范,强调信息数据和信息系统归公司所有,公司有权查看和监控员工工作相关的通讯信息。

所以,我们不必要跟风起哄或赞扬或鄙视或同情斯诺登,或责怪美国政府的网络安全双重标准。我们需要分析研究泄密者斯诺登的动机,以及如何防止事情发生到自身或自己的组织里面。

问题的根本原因在哪里?斯诺登是个异类或叛徒?不是,他自称并没有反对美国国家和人民的利益,他坚持自己的民主价值观,认为民众应该有知情权并且投票决定这一政策。我们从美国的政治文化上看起来,这合乎逻辑,是正常的。

斯诺登在受采访时提到周边人员对他的疑问的漠视,他称“在圈子里已经无法解决这个问题,只有交给大众。”这才是问题的核心所在,在他周边的从业人员可能和我们多数IT及安全从业人员一样,认为这是天经地仪的事,不需要大惊小怪。他服务的组织可能也觉得给了他丰厚的金钱报酬,甚至让他签定了保密协议,再说他看起来也是个正常人,也就没把他放在心上。

正是这些漠视,激起了他在大范围内进行爆料的想法,让大众知道,让大众来评断……他爆料的想法越来越强烈,最终他选择了行动!

人是有思想的复杂的动物,要防范人们做出偏激甚至怪异的行动,要从内心活动抓起。昆明亭长朗然科技有限公司信息安全分析师James Dong说:这就是我们常说的“把恶念消除在萌芽状态”。试想,如果斯诺登的同事和领导们对他进行一些必要的开导,让他正确认识到互联网信息监控的合法性,或许他对监控工作的认识会更进一步,他可能根本都不会有爆料的想法。

说到底,要有效解决这种问题,防范未来再次发生类似事故,还是得从安全意识沟通开始,这也确确实实是一个信息安全认知的问题。当然到目前为止,斯诺登还算是一个好人,没有泄漏手头上所有的更多内幕信息。要知道,来自内部的安全威胁要远远高于外部,掌握更多内幕信息的IT人干起坏事儿来杀伤力更是强大。

回顾起差不多十年前的一起员工网络通讯监控案例,再看看今天的事情,深深觉得雇佣双方在安全认知方面的沟通不足,危害甚大。而解决之道,无疑是强化对员工进行信息安全意识教育,将相关的安全政策、标准、制度和规范详细告知员工,并将此作为一项常规培训活动,而不是简单地让员工们签定一下信息安全和保密相关的法律文件。

树立正确的安全事故观

proper-attitude-of-safety-incidents-zero-incidents

今天,安全无疑不是不件小事。今天,不管您切换至哪个新闻频道,您几乎无法逃避安全事故相关的新闻。在血淋淋的安全事故面前,我们如何吸取安全教训,化安全教训为安全能力,为安全动力呢?

您可能会戏谑说:天天都是安全事故,我早已经麻木了。或者说:我的安全知识技能够高了,那些出事的都是些蠢货和傻冒。毕竟,在这种信息轮番轰炸下,人们会变得神经疲劳,所以,有这两种观点都是可以理解的。但是理解归理解,我们还是要有正确的安全事故观。

您可能会说:很多安全事故和我从事的行业没有什么关系,自己可能一辈子都不会碰到这种安全事故。这明显是“事不关己,高高挂起。”的态度,的确,我们不能否认,某些安全事故只会发生在特定行业或特定的场所,根本不可能在我们的工作和生活环境中发生。但是,即使是“八竿子都打不着”的安全事故,究其根本原因,也必然具有它们的普适性。我们如果不去主动了解这些安全事故的根本原因,不去吸纳血换来的安全教训,那我们早晚还会犯同样的或类似的错误,酿造属于自己环境内部的安全事故是迟早的事儿了。如此一来,我们人类这一自称是灵长类的高级动物,和普通动物没什么区别呢?

安全事故太多,根本原因是我们没有足够深入地分析事故的根本原因;或者我们找到了真正的根本原因,却没有足够有效的解决之道;或者我们找到了正确的起因和解决之道,但是却没能落实好类似事故再次发生的安全补救和防范措施。

话说到这个层面,如何正确应对安全事故,相信不需要更多的解释。昆明亭长朗然科技有限公司安全事故响应与应对顾问董志军说:仅仅应急、维稳、抢险、善后并不足够,吸取教训,防范类似事故再次发生,才是安全管理工作取得进步的重要步骤。

对各行行业,各个部门,都需要树立正确的安全事故观。其实不管您是IT安全、区域安全、生产安全、财产安全、业务风险、国家安全、公共安全、网络安全、经济安全等,都属于“大安全”的范畴,都会遇到各式各样的安全事件(事故)。既然同属“大安全”范畴,当然都可以互相研究和学习,毕竟安全事故的起因分析和改进教训多是通用的或公认。

说了半天,到底安全事故的根本原因和经验教训在哪儿?昆明亭长朗然科技有限公司出台了系列安全事件(事故)教程,不仅详解了安全事件(事故)是什么,更能让人们了解如何识别安全事故、如何报告安全事故、如何进行正确而及时的响应……

不管您对本文有什么疑问或观点,还是对我们的产品和服务有兴趣,想预览一眼或体验一下,都欢迎随时联系我们,洽谈进一步的业务合作。或者如果您只是来电来信聊一聊,也都是很欢迎的。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898