随便聊聊信息安全真理与方法

近来,互联网安全俨然成为全民的热点话题,安全已经成为商业决策的顾虑,黑客和间谍更是常出现在各类媒体报道中,甚至连安全专家也不在是阳春白雪,以往忽略数据安全的互联网用户更是开始关注他们的隐私和帐户安全。

现在,各类公司都已经认识到业务运作需要安全保障,业务对安全有实实在在的需求,而且为了满足这些需求,世面上已经有成千上万的解决方案,但是多数并不是告诉人们如何真正解决商业面对的安全问题,而是想推销他们的产品,甚至有的会拍胸脯说采用了某些产品或方案后会高枕无忧,这就是人们常说的“忽悠”。

实际上,多数类似的产品不但不会使客户的业务变得更为安全,反而由于其卖点会误导消费者,进而让客户麻痹大意带来更大安全隐患或错过真正的解决方法。

一名中国最具信息安全影响力专家称:要获得真正的安全只需两招:一、主动防御;二、多层防御;

1.进行主动防御是关键,一旦在安全上开始主动,意味着我们在攻击开始之前便有了心理准备,这样我们可以从容不迫地实施安全控制措施、开发和贯彻安全方针政策以及在安全事故发生之前对员工进行安全培训。如果不保持主动,等事故发生之后再去灭火,那样不仅会手忙脚乱,更会令业务损失惨重。

2.实施多层防御很必要,因为这样可以降低攻击成功的可能性,多层防御的目标是让各类安全控管措施互相弥补和交叉作用,并且在不同的安全层面协同工作构建多重安全防线。这样,即便是一条安全防线被攻破,其它的防线仍然会顶住,按照概率算法,假如一层安全防范的效力能达到80%,渗透者成功攻击的概率为20%,部署两层安全防御措施的话,成功的概率为4%,三层则为0.8%,四层则只是0.16%,加了几层防范措施,使成功的攻击变得几乎难以得逞。

相信通过了解上述两招之后,信息安全管理负责人现在应该知道该如何做了。昆明亭长朗然科技有限公司安全服务顾问James Dong说:除了众所周知的道理之外,我们还需要正确的方法,即信息安全管理策略:

1.首先主动防范,当然是加强安全管理体系的规划设计,具体的工作方法可以参考信息安全管理体系ISMS计划阶段的内容,当然,如果抽不出时间了解安全风险评估及控制相关内容,也可以聘请专业的安全人员帮忙,通常有CISSP,CISA或CISM认证资质的信息安全专家在信息安全管理的理论和实践上都值得信任,当然,安全管理负责人员也可以去参加相关的培训或自学以便掌握更多相关领域的知识。

2.实施多层防御意味着不能过度信赖计算机网络信息安全产品原厂商或代理分销商,因为不能指望他们给出公平公正的客观建议,毕竟对他们来说,给客户的安全建议书多数是不要钱的,赚钱还是靠产品,所以不得不在安全方案建议书中推荐能使他们赚取最大利益的产品和服务。要真正的安全建议书,应该找专做安全服务的安全厂商,并且要是那些将安全咨询顾问服务作为产品来销售的,要坚信一点,真正的安全解决方案建议书都花了钱买来的,像市场上的刊物一样,花钱买的和不花钱的比起来,一个是内参,一个是广告。

部分国内的网络信息安全公司喜欢炮制出一个信息安全解决方案示意图,以展示自家对信息安全管理的深奥理解和实施信息安全的方法论,其实这种自作聪明的作法很没有必要。精明的安全管理负责人知晓自己队伍的力量单薄,会主动联系寻找专家外援,他们不想听过多无聊的空洞理论,只是想通过与专业的安全服务机构合作,取长补短,可以花费较低的成本,获得安全管理的真理和科学方法,也只有使用科学的方法,才能使业务获得长久的持续发展。

从信息传递的安全保密谈起

在历史上,特别是军事领域,截取敌对通讯包括探子所携密件、电台电报等,并进行密文破解是获得机密信息,进而获胜的关键。然而,现代加密技术非常之强,从理论上讲,除非有人发明并使用超级计算机或超速破解软件,否则想破解使用标准加密算法传输的密文,需要几年甚至万年的时间,也就是说,已经几乎不可能了。对此,昆明亭长朗然科技有限公司网络安全宣传业务指导员董志军称:同样的道理可以解释现在大多数黑客都很难成功入侵目标机构的原因,即简单的安全技术防御措施,就可以起到很强的技术防御效果,进而让攻击者需付出极不对等、极不值得的努力。

然而,技术需要正确的部署和使用,错误的防火墙配置或禁用防病毒软件,反而可能给人们带来虚假的自信,进而带来灾难性的后果。此外,还有一种更简单的社会工程学攻击手段,攻击者可以使用该骗术,进而轻松避开那些安全技术防御措施。因此,人员,特别是员工(职员、职工)对于抗击网络入侵和黑客窃密,对于组织机构的安全保密来讲,越发显得重要。

这就是为什么我们需要让员工们了解当今的安全威胁态势,认识到自己在安全保密工作中扮演的重要职责,学会如何通过保护自己进而保护整个组织。让我们举两三个例子。

一、您有没有注意到,在我们身边的同事当中,有很多人会使用第三方软件来保存工作单位的信息,当然,也许您自己也会使用私人邮箱接送工作信息、也许您会使用百度云盘或腾讯QQ文件分享,以便更方便地与同事交流,或者可以在家中访问它们。这样做的后果就是让这些重要的信息数据游离工作单位之外,不再受到组织内部安全措施的保障。

二、您有没有注意到,我们可能会违规使用工作所必须之外的软件工具,比如安装浏览器扩展甚至与同事分享工作电脑或工作账户的密码,以便可以避免一些IT方面的麻烦,而快速解决工作问题或由同事帮忙完成工作任务。这些“特殊”的需求貌似无害,细想起来,可能会埋下一些安全隐患,插件可能含有窃密的恶意代码,不当的分享可能让同事了解了不该知晓的工作秘密。

三、对于IT专业人员来讲,也是如此。在当今的远程办公日趋流程的工作文化中,虚拟专用网络在企业中的使用已经有数十年了。它为人们提供了一种安全、可靠的方式,使人们能够随时随地登录。但是出于加密破解技术不断更新的原因,微软的PPTP协议被攻破了,问题是仍然有很多组织机构仍然在使用PPTP协议的虚拟专用网络服务,如果有足够的时间,黑客将很容易突破该协议的加密通道,进而侦听甚至篡改远程工作人员的网络通信。

我们可能会认为自己很安全,或者认为员工们都会受到安全技术的保障,但事实并非如此。通过采取一些措施,我们可以来解决此问题,以便让我们的员工变得安全。

一、加强安全保密政策体系的建设,所有的组织机构都应该有明文规定的IT信息系统使用准则,准则应该包括不可使用非授权的软件、不可使用未授权的云端存储、不可分享工作账户等等,对于大型的、成熟的组织来讲,这些都是常规的安全实践,未建立相关准则的,应该立即建立并定期审核,以便保持更新。

二、建立一些方便员工们工作使用的系统,比如建立内部的应用软件安装平台、内部的文件交换空间,提升账户申请和审批效率,改用支持新型加密协议的虚拟专用网络设备等等措施。当员工们发现使用组织内部的应用,即便利,又安全,同时在安全准则的规范之下,便不会轻易冒风险选择绕过安全措施。

三、强化安全知识宣教。大多数组织机构在网络安全方面投资不足,可能会导致一些安全问题,但安全问题并不总是由经费不足或技术原因而造成,更多的的行为或文化原因。安全行为或文化的养成需要时间,需要员工们将安全知识付诸实践,并不断重复。

四、在针对信息系统的等级保护工作之外,强化对数据机密级别的划分,在哪些数据是机密的、哪些不是机密的之间应该划清界限。培训员工们,让其了解该如何对待它们,以限制潜在的负面影响。在对待社会工程学攻击窃密方面,让员工们养成确认来电来信来询者身份的习惯,也养成确认双方是否有权披露或获取该信息数据的保密习惯。

总之,如果员工们没有适当的安全知识,不了解工作单位的安全期待和相关的安全工作准则和保密程序,当他们面临时间紧迫的压力时,他们也会毫不犹豫地找到更方便的解决方法,同时也给工作单位带来网络安全弱点和泄密隐患。昆明亭长朗然科技有限公司推出了专门针对职场人员的安全保密意识课程,欢迎有需要的客户或伙伴们联系我们,洽谈合作。当然,如果您对文中的这个话题有兴趣或者有自己的观点看法,欢迎联系我们,以进一步深入探讨。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898