投毒案对信息安全从业人员的启示

上海复旦大学投毒一案告破之后,北京清华大学朱令铊中毒案件火烧白宫,徐州中国矿业大学3名学生铊中毒事件重回视野,武汉某高校研究生开水房投毒“药”倒两同学被捕……

看客们往往会认为下毒手的这些人心理有问题,的确,为一点小事儿对同学投毒,很不合乎伦理道德,更是草菅人命的违法行为,应该受到严厉的惩罚。

不过,事后惩处可能并不是最好的结局,受害人的心理和生理会留下一辈子的创伤,投毒人也会内疚一生,直至死去。事前的防范胜于事后的惩戒,我们要做的是防止恶劣事故发生,以降低损耗。

在信息安全领域也是如此,首先,严重的安全事故可能给业务成功带来致命的影响,严重损失造成之后再后悔没有及早进行防范,已是“亡羊补牢,为时已晚。”不过,昆明亭长朗然科技有限公司安全顾问James Dong说:虽然道理简单,但是仍然有不少组织机构的业务管理负责人不能认识到“防范未然,未雨绸缪”的正确安全理念。安全管理层需要耐心地向业务部门解释信息安全,向他们灌输正确的安全意识,而不是当他们讲“这事儿不会发生”便退却了。

投毒人员并不完全是十足的恶魔,他们也是有血有肉的身躯,他们做出这种“过份”的投毒行为并非他们的天性使然。问题的最初因素可能是其它小矛盾或利益之争,这些因素可能致使投毒人员自认为是“受害者”,必须进行报复行动。我们常常认为这些地下的恶劣手段是弱势群体的自保或反抗行为,但“弱势群体”的“炸弹攻击”行为造成的损失要远大于最初的小矛盾或利益。

在不同群体和人员之间,利益的博弈是永恒的。如何适当的“分饼”,造成多方共赢,皆大欢喜的局面,是管理者需要重点关注的课题。而在利益分配之外,信息安全管理人员则更多要注意解决“犯罪心理”问题。

其次,信息安全管理人员在制定安全策略、标准和规则时要注意考虑安全意识“弱势群体”,即对安全认知不够深入的员工们可能的过激反应,制定太过苛刻不够人性化的安全规则可能会引起强烈的对抗,如刻意漠视、躲避或破坏。员工消极怠工、代理翻墙、禁用安全软件等行为多都源自对正确安全理念的不理解,要获得正确的理解,需要我们传递正确的安全意识信息,而不是通过强力压制手段要“弱势群体”接受。

此外,在执行安全相关规章制度时要体现出公平公正,至少要让员工们感觉到这一点。信息安全的实施和检查工作表面上看起来也是“得罪人”的事儿,严格的防火墙、上网行为管理和过滤等访问控制措施会影响到部分员工的“正当”信息获取和使用,对于员工们在安全方面的小过错而进行的过度严格的惩罚会让员工心怀不满,伺机报复。

其实,在安全控管措施上给员工们更多的自由,给人们有尊严有面子,实际上人们更会珍惜这些;再给员工们正确的安全意识指导,也会获得人们对安全工作更多的理解和尊重;而对于安全方面的过错,应该以教育改过为大的指导方向,不伤大雅的小的过错提醒一下便可;即使碰到严重的但尚未造成重大损失的潜在安全隐患,也不能立马断定是严重违纪,应该好好进行一番调查,仔细说服教育,让其心服口服认识到自己的错误。

最后,我们深入研究员工们的安全违规行为,会发现背后都有各种各样的“理由”,有这些近乎荒唐的“理由”存在说明这些员工们对正确安全理念的认识不够。如同对待业务管理层宣讲信息安全积极主动防范理念一样,我们更需要向全体员工传达正确的信息安全意识,让人们知道自己的安全职责、理解公司的安全规章并且实践正确的安全行为。

不要让公司员工成为信息安全方面的“投毒人员”,需要让员工们在信息安全方面“想开些”,需要加强安全心理素质教育,并且普及正确的信息安全理念。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

安全界应该多群策群力

changchun-car-thief-baby-buried-in-snow

尽管繁荣的社会经济和覆盖越来越广泛的社会保障体系让多数人受益,但是不可否认的现状是目前社会群体和不同阶层之间的收入差距过大。“不患寡而患不均,不患贫而患不安。”不满的一些群体和个人便开始使用恶劣野蛮手段甚至不法犯罪行为来“重新分配”社会财富。海量的规模小的偷鸡摸狗社会问题让公安人员都很无奈,而不时兴起的大型群体运动足以让党和政府忙碌不堪。

我们也注意到:朝阳民众在社会治安方面的积极作用,这说明了保障平安和谐社会不能完全指靠专业安全力量。

说到底,社会平安是否能够得到有效保障,不在有多少公检法的力量和监控系统,而在于人们的一念之差。

所以呢,要保障安全,区域环境安全、工作场所安全、消防生产安全、生命财产安全或计算机网络信息安全等等,不能完全指望专业的安全队伍和技术控制手段,尽管这些并不可少,而是要重点教育培养人们正确的安全理念。

不少组织机构例如商业公司,也都是整个社会的一个小缩影,安全管理层可能聘请了保安、购买了灭火器、设置了门禁、安装了监控和报警系统、甚至也成立了风险管理部门、限制了工作权限的范围,部署了上网行为管理系统等等,但是却缺乏对员工进行必要的安全理念和安全认知的教育,结果便是安全意识薄弱的员工们可能不理解或不认可,进而不使用或逃避这些种种安全措施。昆明亭长朗然科技有限公司便是要从理念认知层面帮助安全管理层实施必要的安全意识培训教育,进而让安全规范和系统深入人心,让安全防范成为全民的责任和事务。

对于安全管理人员来讲,除了不让您的员工成为嫌犯之外,朝阳民众尚懂得向警方报告可疑安全隐患、威胁和事故,在安全事件来临之时,比如办公区域出现了可疑的陌生人,或电脑出现异常情况,您公司的员工是否会及时上报呢?

信息安全管理的规章制度能否落实,员工的行为是违规还是守纪,很多情况也在于受众的一念之差。这不是唯心主义论,而是我们事先是否成功教化了受众,是否将正确的安全观注入了受众的血脉。