安全意识应该带来行为改变

在取得成功、走向辉煌的过程中,我们必须有一个个明确的目标,一切以结果为导向。营销团队通常会拿此进行队员励志,成功学专家更是将此奉为圭臬。因为涉及信息安全,特别是用户意识和培训,所以在安全意识领域也应思考有一个明确的目标和导向。

是否要将所有人员培训到最高级别,以便他们可以成为安全解决方案的一部分呢?也许可以通过政策和技术控制用户的行为来使企业获得成功?也许只是审核人员检查安全意识培训相关制度和记录?昆明亭长朗然科技有限公司安全意识专员董志军说:观察安全意识和培训计划的无数方法和可能的结果,无论是否完成,都归结为一件事:改变行为。

有许多企业正在进行网络安全培训,但他们没有什么可以展示的。当然,培训记录通过了审计检查,但人们仍在点击恶意链接,打开可疑的邮件附件,并堕落于社会工程师几十年来未翻新的老套骗术。我们可以在几乎所有的安全评估项目中都看到了社会工程学的影子。网络钓鱼邮件太容易成功了,通常会有三成左右的用户打开附件或点击邮件中的链接,并在出现提示时输入其网络登录账户和密码。这是一个简单而又令人不安的漏洞,然而每天都会发生在世界各地,当然也包括您所在的工作单位。

现行安全意识计划是否能带来安全行为的改变

安全意识计划应该专注于正确的事情,以行为变化为核心,这有助于实现总体安全目标,防止正在做的事情偏离目标,走入歧途。具体有哪些奇葩的偏颇的做法呢?其实在特定的企业文化中的表现各不相同,有拿数据来说话的机构,喜欢搞“深入、公正和持续”的安全评估,进而发现可以带来改进的一些事情。问题是这些IT安全团队“既是运动员、又是裁判员”,他们发起的安全评估通常不是深入的、无偏见的或持续的,因此用户必定“不服”,对安全挑战会持续存在。改变的行为往往不是安全,而是如何搞调查评估和工作表现等等这一些文书工作和政治工作。

有的安全意识和培训计划纯粹就是无脑的跟随,这种找花钱路子的案例有很多。您有没有想过:强迫更多令人头脑麻木的课堂会议或视频会让更多人加入安全措施吗?有没有更有创意的方法,例如采购外部的专业培训服务呢?询问用户他们想要学习什么以及他们想学习它们的方式。IT和安全专员千万不要自以为很了解用户,圈子以外的很多聪明人都可以提供很好的反馈,要提高基层用户的安全性。这并不是在内容和形式方面投大众好,试问,用户们真的喜欢微信观看大片进行学习吗?您得到的真实答案可能让人意外,人们觉得安全培训的内容似乎和自己无关,更不想花费自己的私人时间来学习如何保护公司/单位的信息安全。如果这种错误的认识得不到改观,改变安全行为简直就是痴人说梦了。

很多安全管理者笃信通过惩戒措施会加强员工的安全自律。董志军说:尽管看起来很奇怪,但在受到纪律处分方面,成年员工与年幼的孩子并没有什么不同。如果他们要从错误中吸取教训,他们不应该被责骂和尴尬,而是需要了解为什么他们不应该做他们所做的事情以及他们下次如何更好地处理事情。话虽这么说,相反,在现实中,我们可以看到太多员工因为被恐吓而误解退缩、被指责而冷漠泄气、或被惩罚而心生积怨,进而消极地逃避、抵抗、甚至突破各类安全规章和要求。这当然是改变了员工的安全行为,但是方向却是相反的。

尽快做出必要的改变

无论是商业领域还是个人生活方面,信息安全都是您可以关注和赢得关注的方面。员工安全意识计划需要建立起来才能获得成功。在理想的世界中,这意味着他们甚至没有机会做出安全决策。安全方面技术控制可以帮助解决这个问题,但很有限。最终,在面临安全威胁和问题时,员工将自己拥有重要的安全选择权。您当前的意识和培训工作是否会引导他们走上正确的道路?在仔细检查自己的安全意识计划之前,没人能够知道。

请认识到安全意识和培训工作的核心成果是改变受众的安全行为。只有让合适的、专业的人员参与设定期望,然后方可尽一切努力达到目标,当然并随着时间的推移,目标需要不断修正和抬升。这种PDCA方法,与尽量减少与员工相关的安全风险的方法相同,而且它是被证明科学而有效的。

简要结论

安全意识计划要如何改变安全行为,引导受众参与的积极性是首要任务,这并非靠制作精良的安全宣教大片或者抡起安全事件惩戒的胡萝卜加大棒就可以实现的,要让受众理解安全文化精髓,他们才能认可和接受信息安全方针政策,以及我们发出的安全要求和指令,进而在工作、生活、学习中重复实践安全,进而养成良好的安全行为习惯。

昆明亭长朗然科技有限公司根据不同组织机构的安全文化,以及人员群体的不同特性,量身定制适合的安全意识教育计划,并提供相关安全宣教活动的顾问和实施服务,欢迎有需要的客户或伙伴们联系我们,洽谈合作。当然,如果您对文中的这个话题有兴趣或者有自己的观点看法,欢迎联系作者董志军,以进一步深入探讨。

电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

移动科技及持续性威胁推动信息安全管理创新

大数据、云计算时代来临,CIO及IT总监经理们越来越发现要赶上变化响应时代潮流并不容易。

在整个IT团队中,总监经理们往往能站在业务及IT战略的高度看待IT未来的巨大变革,但是在具体的工作目标的制定和分解、以及战术的执行上会遇到困难,这是因为,新形式下,IT部门需要更多复合型以及实战型的人才。

传统的IT大分工,一个萝卜一个坑,让IT专业人员只需专注其相对狭小的领域,总监经理们便可轻易掌握全盘,传统的基础架构(数据中心、网络、通讯、语音、服务器)、应用程序(分析、开发、测试、运营)和最终用户支持(监控中心、客服中心、桌面支持)为主的几大主要职能在新技术的考验面前需要被重新构架。

简单举例来讲,企业要上无线终端应用,安全问题如何得到解决,需要三大部门协同探讨,如果没有跨部门工作经验的实施人员从中沟通协调和推进,即便项目能够完成,也往往会留下严重安全漏洞。

再举例讲,如果准备向云计算迁移,在如何迁移数据方面,应用程序部门会首当其冲,基础架构部门则要评估带宽需求和保证必要网络安全,而最终用户支持部门则要考虑对最终用户的影响,以便提供必要的用户操作培训,而CIO安全职能除了保障各系统安全之外,还要考虑诸如云服务的服务级别协议,安全法规遵循等等,甚至根据具体的案子,旧的数据中心、旧的服务器和应用程序的去留、监控和客户支持的流程变化等等都会随之而来。

窃取数据、进行破坏成为坏家伙们的主要动机,他们利用的不仅仅是网络基础架构和应用系统的安全弱点,更多是利用人性的弱点,比如借助社会工程学的网络钓鱼、电话诈骗和工作场所渗透等等,更有高级持续性威胁APT,一旦被盯上,几无逃脱可能。

CIO及IT总监经理们如何使IT战略与业务战略保持一致,如何顺应新形势的要求,如何才能获得复合性的人才,又如何应对新型的安全威胁呢?从外部雇佣高手或向员工提供交叉培训是必选之路,首先,让IT人员懂得基本的业务流程知识,让他们能用非技术的语言同业务部门员工进行沟通;其次,让不同IT子部门的经理主管们互相学习,采用交叉培训甚至轮岗的方式可以帮助强化沟通、发现问题和改进效率;最后,扩大T技术人员们知识领域,让他们的工作能力和经验可覆盖到周边职位,同时让他们互相切磋技艺,以便提高知识的全面性和提升动手操作的实践能力。

在结束之前,新的科技创新以及业务需求正在改变IT的组织架构,IT员工的角色和职责也需适应这种变化,一个萝卜一个坑、老死不相往来的时代已经完结,信息安全是所有员工的职责,各个职能的IT人员更需要加强信息安全理论知识的学习和实践经验的积累,向所有员工提供信息安全意识培训应该成为CIO和IT总监经理的重要任务。