员工安全培训帮助实现终端安全以及法规遵循

当今的各类组织面临着一系列的安全挑战,包括终端安全、法规遵循和自带计算设备BYOD等等。通过实施必要的网络安全控管措施,比如常见的内网安全套件、桌面安全套件,网络信息系统管理员可以实现一定程度的控管目标,但是通常并不足够充分。

网络信息安全技术和产品呈现整合趋势,各类控管措施的功能越来越强,随之的软件设置也越来越复杂,这将导致实现一种控管目标需要庞大的工作量,特别是细力度和动态的控管需求会让负责任的信息系统管理操作员精疲力竭,日程月累,最终系统管理员只能选择放弃那些复杂的系统设置。

实际上,多数网络安全控管系统并没有发挥其主要的功效,有的甚至成了摆设,终其原因,不是网络管理员技术不足或偷懒,而是没有处理好与相关人员之间的关系。拿上网行为管理系统来说,多数组织都没有明确的互联网使用安全政策,全凭IT部门的经理主管和系统管理员拍脑袋来制定各类网站的安全访问规则,这显然是很搞笑和不靠谱的。

此外,还有技术层面的问题,不少网络信息安全产品为了渗透市场,往往会添加同类产品的部分功能,但是又非核心功能,所以控管力度不精细,这就会出现为实现一个目标有多个控管措施,而多项 控管措施之间互相冲突和碰撞的问题,比如为了控制员工使用某些互联网聊天软件,有管理员喜欢添加到聊天服务器的虚假路由;有管理员喜欢从防火墙层面设置访问列表,屏蔽即时通讯服务的认证服务器和网络协议;有管理员喜欢在代理服务器设置访问限制,阻断相关的网络通讯流量;当然也有管理员喜欢使用上网行为管理或上网审计系统来进行相关的控制;还有管理员喜欢从桌面应用安全策略上进行相关的设置……

不要指望这些冲突和碰撞在科技不断创新的大潮中会减少,相反,在竞争日益白热化的市场,即使冲突和碰撞不会变得严重,也会增加信息系统、网络信息安全控管和法规遵循的复杂度,最终让控管本身变得得不偿失。

实际上,市面上多数的网络安全产品都是多余的,至少并没有太大的必要去实施,特别对那些没有明确的安全方针政策和标准的组织更是如此,安全服务价值的接受度不高逼使安全厂商拼命研发和制造安全控管产品,进而通过忽悠客户来“创造”新的市场需求,这显然是本末倒置,“屁股指挥大脑”的一种网络信息安全市场怪相。

要解决终端安全以及信息安全相关的法规遵循问题,就要摆正信息安全中关于流程Process、技术Product和人员People的关系,三者相辅相成,缺一不可。不过现状是在安全控管流程Process方面,市场对安全管理咨询服务和安全解决方案设计服务等等的接受度高,但愿意花钱的不多;在人员People的安全资质和防范技能方面,认识到通过必要而适当的安全意识教育来提升员工安全水平的很多,但知道如何有效建立和实施信息安全培训方案的很稀少。

相比被市场牵着鼻子实施安全硬件设备又将其闲置,加强信息安全方面的软实力,对员工进行信息安全意识教育和培训,可以减轻网络信息安全系统管理员的工作负担,更能在节省资源的情况下获得更良好的终端安全控管绩效。而信息安全法规遵循不仅重点看各类安全方针政策和标准流程,更注重核查相关的记录和结果,以及否有人员参与必要的安全意识培训和流程沟通活动之中。

移动计算及云计算时代的安全问题探讨

您所在的工作机构是否允许员工使用私人平板电脑或智能手机工作,以便其可以随时随地与办公室保持联系呢?如果答案是确定的,则说明是在顺应大势,紧随潮流。当然,如果答案是否定的,必定是对安全、保密及合规有深深的顾虑,也是可以获得理解和认可的。

私人设备允许员工在家中或路上灵活工作,从而使工作单位受益。虽然一些企业通过发放用于工作的移动设备来实现这一目标,但我相信这种做法将会减弱。千禧一代的年轻人对携带两台移动设备的概念不太能够接受或容忍,并且在使用单个设备进行个人和商业通信时更加舒适和高效。对此,昆明亭长朗然科技有限公司网络安全观察员董志军表示:移动计算与云计算的替代性越来越完善,当计算终端越来越普及,直到无处不在,随时随地可以连接到云服务之时,组织机构已经没有必要分发终端计算设备了,这些计算设备资产本身不值钱。因此,精明的公司将满足员工使用自己私有设备工作的愿望,包括允许他们使用安卓、iOS、Windows或其他任何移动平台或操作系统。

不过,世事都有两面,毫无疑问,从各种私人设备访问工作单位的数据,都会增加安全漏洞的风险,无论是来自黑客攻击,还是员工在不知不觉中下载的恶意软件和病毒。该如何兴利除弊呢?制定关于正当使用移动设备的政策,并向员工强调说明该如何保护驻留在员工的平板电脑或智能手机上的工作信息。

总之,允许员工在世界任何地方工作,可以带来很多好处,也有一些安全泄密隐患。通过一些安全管控方面的作为,可以使远程工作的体验变得既高效又安全。当然,所有的作为,都需要获得员工们的理解和支持。毕竟,员工们是移动工作的主体,移动计算设备是移动工具,端点安全是组织中普遍关心的问题,安全团队应该更广泛地考虑如何保护好终端的信息数据。

诚然,私有计算设备属于员工的资产,如果不关注终端设备保护,终端设备可能成为黑客或病毒等网络威胁进入企业网络、窃取关键信息的跳板;如果只关注设备保护而不是信息数据保护,那么工作单位就面临着巨大的人为因素造成信息失窃的风险。

当下,随着越来越多的设备上线,企业及其信息面临的风险不断增加。估计每年有百亿台配备微控制器的设备被部署在电器、设备和玩具中,这个数字还会不断增长,“高度安全”的物联网设备需要许多设备不具备的属性:基于证书的身份验证、自动安全更新、硬件信任根、防止代码错误的计算基础等等。

同时,云计算正在加速公司收集、处理、存储和使用信息的方式。随着公司过渡到混合基础架构,公司的数据在基于云的系统和本地系统中移动,无疑应该评估他们的端点安全策略,以确保数据在其所在的位置受到保护。身份保护是防范威胁的关键组成部分,企业级组织应通过启用双因素身份验证以减少攻击面、监控和处理安全警报以及使用基于风险的条件访问等解决方案自动修复威胁来增强用户的身份核验。

企业级组织机构必须保护数据在使用、传输和存储等多个生命周期状态下的安全,必须在敏感数据进入环境时对其进行发现和分类,根据策略应用保护,监控和修复威胁,并在数据在整个组织中传输时保持合规性,然后再报废和删除。这些安全控制过程有的可能由信息安全部门独自完成,然而,亦有很大部分需要得到终端用户的理解和支持。毕竟,员工们是信息系统的使用者,是信息数据的创建者和使用者。也就是说,组织机构应通过跨身份、设备、应用程序和数据以及基础设施的可见性、控制和指导来建立其安全态势,以管理其整个组织的安全策略并随着时间的推移改进安全实践。职工们有责任正当使用移动设备,无论是单位派发的,还是私人所有的。这就需要组织机构加强与职员们之间的安全沟通与培训。

昆明亭长朗然科技有限公司推出了大量的网络安全、信息保密及合规意识宣传教育内容,包括动画视频、平面图片和电子课件等各种形式的内容资源,其中也包含网络安全小游戏,以及互动式、场景式、案例式的教程模块,以及稳定可靠的在线培训平台(学习管理系统),欢迎有兴趣的客户及行业合作伙伴联系我们,预览作品、体验平台的功能以及洽谈采购合作。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com