成功的信息安全意识教育计划是给用户亲身体验机会

security-chain-broken

大人警示小孩要注意什么,小孩儿都会理解并照做吗?答案并非如此,实际上,在公司信息安全管理领域,也是这样。

公司信息安全管理团队通常会强化对员工们进行必要的信息安全意识教育,但是很多安全管理者发现效果可能并不如意。即便是那些在信息安全意识推广活动中投入了漂亮的安全信息提示贴、精美的员工安全手册或有趣的FLASH故事动画,问题何在呢?昆明亭长朗然科技有限公司安全意识顾问董志军最近和一位信息安全总临聊起这个话题,如下是他的一些简单自述。

这家公司每年都有数万的信息安全意识培训预算,安全意识活动也搞得有声有色,但是员工们的安全行为却仍然不见大的改观。在接到咨询电话后,我和这位信息安全总监约好一早九点见面。

我向其询问了一些简单的信息安全管理方面的实践,了解到虽然公司的新入职员工需要参加全面的信息安全意识教育课程学习,全体员工也会被要求每年度定期刷新信息安全知识,但是对未遵守信息安全相关要求的行为,却没有任何的惩罚。我又问起了学员的信息安全课程参训率和在线考试的通过情况,几乎是100%的好。

我同他开玩笑说:“您觉得这是信息安全政策沟通不到位,还是执行力不到位呢?”对方苦笑回答:“开放包容充满人性化是我们公司的文化,我们很少会对员工进行惩罚,即使有安全事故,也会更多的反思公司方面的问题。”

这真是家伟大的科技公司,和日本台湾的苛刻管理模式大不相同,公司的业绩却是响当当,员工工作起来却很随意,上午10点半了,还可以看到衣衫不整的员工姗姗来迟。科技界竞争激烈,我有些怀疑这么懒散的员工们是否拥有必须具备的信息安全保密基础理念,以防范商业间谍和竞争者们来窃密。

我把我的怀疑讲了出来,信息安全总监微笑着说:你那边不是提供信息安全意识方面的渗透测试服务嘛!你来扮演个社工黑客,玩一玩诈骗电话和钓鱼邮件吧!我说:这正是我来拜访的目的啊!

于是我们就开始了一项信息安全意识模拟入侵项目,在简单而正式地签定保密协议以及授权书之后,我获得了包括姓名、工号、部门、电话号码和邮箱的员工通讯录、标准软件清单、信息系统名称以及登录界面截图。在简单熟悉了公司的IT环境之后,我便开始了入侵准备工作,我的设备包括一个内部分机号码,一部手机卡,一台位于互联网上的电脑和一台连接到公司内部的个人电脑,我的目标随机抽取五名员工,通过黑客手段,来获得他们的系统帐户和密码。

要说我已经连接到了公司内部网络,要发起一些基于网络层面的入侵嗅探简直太轻易。但是这种方法被信息安全总监禁止了,我也不想让人们以为我只是个技术极客,我需要向人们展示更大的可能性。五名员工已经随机选好,我打算假冒成IT/FI/HR等服务部门通过内线来套取他们的帐户和密码;假冒成客户、社保局、公安局和电信运营商工作人员通过外部手机来套取公司信息,我还伪造了一封钓鱼邮件,并且仿制了两个钓鱼网站。

现在让我说一说我的成绩吧!通过内线,我成功地拿下了两名员工;而通过外线,我只获得了一点皮毛信息;不过配合使用钓鱼邮件以及网站,我获得了所有人的帐户和密码!

当我把成绩展示给信息安全总监的时候,他瞪大了眼睛,忽然赞叹地说:我们太需要你的帮忙了!我们需要更多的员工来亲身体验!接着他把那五名员工叫了过去,向他们说明了这次钓鱼活动,展示了获取的帐户和密码,提醒他们注意信息安全,并要求他们回去立即改掉密码。

我插了一句说:应该鼓励这些同事将亲身的安全经历分享出来。信息安全总监说:这主意太好!亲身体验并且分享经验是最好的教材!

大人告诉小孩该怎么做,小孩儿没有照做,却在亲身经历了错误之后,改过了。通过信息安全意识模拟攻击测试,我们可以让这种错误的代价降至最低。欢迎访问我们的安全意识渗透测试服务介绍页面了解更多内容。

安全意识渗透测试

人们薄弱的安全意识是组织信息安全保护中最大的风险之源。因为人是安全控管技术的使用者、是安全策略、标准和流程的实施者和实践者,人们的安全意识水平决定整体安全保护的级别。

如同您需要定期对信息系统和基础架构进行渗透攻击测试一样,您的人员的信息安全防范意识如何?信息安全敏感度如何?安全认知及行为如何?能否经得住高级可持续性威胁APT的攻击探测?

昆明亭长朗然科技有限公司建立了一套模拟的信息安全意识渗透攻击体系,包括常见的社交工程诈骗、网络钓鱼、邮件钓鱼、电话诈骗、短信诈骗、社交网络钓鱼、电话钓鱼、办公室入侵、物理环境窃密、无线网络热点诈骗等等。

模拟攻击的好处在于攻击不会造成实质性的信息安全事故如数据泄露等等,同时还能起到很好的教育作用。不仅安全管理团队能够从模拟渗透攻击中得知信息安全防护体系的薄弱之处,“受害”最终用户也能从模拟演练中获得宝贵的经验教训,进而从容应对随后来临的真实安全威胁。

我们引进了国外先进的社交工程学攻击评估系统,并根据中国的实际环境进行了本地化的改进和创新工作。此外,为了更能符合客户的实际安全情景,我们特意开发制作了社交工程攻击安全意识培训课程以及在线的邮件诈骗、短信诈骗测试服务。

欢迎和我们联系洽谈更多模拟社会工程学攻击的渗透服务。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898