困难时期的网络安全战略选择

近年来,国家安全、政治安全等上升到新时代的新高度,网络安全、数据安全也随之成为热门行当。然而,全球疫情反复、局部战火不断,很多企业手中没钱,又要办事,至少得守法合规。举例讲:《网络安全法》、《数据安全法》、《个人信息保护法》等等必须得遵循,否则,前期的资本投入,后期的辛苦收入,都可能被黑客远程勒索、被处以巨额罚单,瞬间即可让整个事业化为乌有。

尽管网络有国界,但是网络不法分子却实实在在地分布于全球范围内。对此,昆明亭长朗然科技有限公司网络安全专员董志军表示,如同所有人都是电信诈骗的潜在对象一样,所有公司都是专门针对性攻击的潜在对象,这就是说,您所在的公司随时都有被远在地球另一端的黑客入侵的可能性。换句话说,即使是一个拥有中等资源的黑客,甚至一个脚本小孩,也可以试图甚至决心攻击您所在的公司,而且这种攻击有可能会成功。为什么呢?因为谁都有弱点,所有公司都有漏洞。您尚未遭受到电信诈骗,只是暂时没有适合您的剧本,或者您的公司还没有受到黑客袭击,只是针对贵公司漏洞的攻击手法还在研究中。

那么我们该怎么办?乖乖投降,将我们的辛勤努力换来的劳动成果拱手交给网络不法分子?除非贵司真的要倒闭了,否则,我们不能小气到一点钱都不花,多少需要投入一定的网络安全费用,以打击网络不法分子的气焰。然而,要实现网络安全,并不是花足够的钱就能阻止的,我并不是说有些行业骗子会拿一个垃圾东西包装成高大上的防御系统实施行骗,我的意思是在网络安全领域,没有完美的防守,也就是人们常说的,没有100%的安全。

那么,我们该怎么在网络世界的丛林法则中生存呢?让自己更加强大,让自己比同业在网络安全方面强大,让自己更难成为攻击者的目标,或者成为攻击者最困难的目标。您可能会问,那不是让我们成为黑客级别的公司吗?不必要,世界级的网络公司及安全公司已经帮我们做了很多事情,我们需要做的就是利用好这些世界级的优势,来让自己成为黑客难以拿下的目标。

网络安全的传统防御包括防火墙、防病毒软件之类的东西,以及复杂密码策略等等。正确实施这些措施,可以让外部黑客的日子变得艰难,然而他们会变换手法,让您点击一个网络链接,或者开启某个电子邮件附件,当然那个链接指向的是窃取信息的钓鱼网站,或者与邮件附件一样,包含可以控制计算设备的恶意代码。

当然,在正常的情况下,我们的用户会受到安全意识教育,不应该去点击那些可疑链接或者打开那些附件。不过,事情可能不会那么快就结束,黑客可能会冒充某机构给公司员工免费邮寄U盘,有的员工可能出于好奇,就将其插入到电脑中,这样,就给黑客打开了一道后门,让黑客通过U盘感染电脑,潜伏下来并以该电脑为跳板,逐渐向更高级别的信息系统进行渗透。通常来讲,黑客的潜伏期会长达半年至数年,他们并不容易被异常检测系统发现出来,因为他们窃取了某些员工们的数字身份,也就是说他们有员工们的账户和密码。

在工作时间进行异常检测真的很难。不要轻信那些被冠以大数据分析、行为建模、机器学习、人工智能之类的高科技产品,并不是说那些防御措施不起作用,而是要让它们起作用,使用者需要很强的能力。那我们能做的是什么?强化员工们的安全意识,将员工们武装起来,形成一道人员防火墙,部署实施如零信任等认证框架,切断黑客利用脆弱员工做跳板的入侵渠道。

我们可以做的第二件事,对于领导们来讲,非常重要。那就是打造企业信息安全文化,在平衡收入和支出时,我们必须承认网络安全的重要性,网络安全、数据安全的终极责任已经上升到高管层面,那么,首席执行官、首席财务官、首席运营官等等,是否在常规例会上与首席信息官、首席安全官讨论网络安全这个话题?如果答案是否定的,那么无疑,这是一个网络安全文化方面巨大的工作失误,需要补起来。

其次,关于企业安全文化,还需要看一看,首席执行官、首席财务官是否是信息安全方面的模范用户?黑客知道,高管们往往掌握着更多的内部敏感信息,也有更高的系统访问特权,因此,也是更有价值的攻击目标。而高管们往往并不是IT方面的高手,又接触的人多,一不小心很容易落入网络钓鱼的圈套。因此,这些高管们,也可以说是非常重要的人物们,必须掌握合乎其职位和角色的安全意识,这可能与普通员工们的不同,但是却是必不可少的。另一方面,高管们在信息安全方面的模范示范作用非常重要,高管们的以身作则,会引起员工们重视和效仿,高管们对信息安全的承诺,会变成政策和制度,会变成员工们的行为操守和日常习惯,进而演变成企业安全文化。

最后,再让我们回到数据安全合规这个核心主题,使用等级保护、分级保护思想,找到关键数据,分析其面临的威胁,如果被窃取、破坏或泄露给公众,会对公司产生战略影响吗?当然,也可能是客户信息数据库,即包含公民的个人身份信息,这就可能同时属于《网络安全法》、《数据安全法》和《个人信息保护法》的管辖范畴。弄清楚哪些流程、哪些人员可以访问哪些种类的数据,设置严格的数据访问控制策略,强化审计监管,可以大大降低数据泄露的风险。

数据安全保护政策必须得到全体员工甚至所有用户的理解和支持。这意味着公司必须做好准备,加强员工数据安全方面的培训,因为员工们是数据的处理者,包括创建者、收集者、使用者、展示者、分享者,任何一个环节的不当操作,都可能造成数据泄露、触犯相关法规。此外,还要考虑数据万一泄露的这种可能性。这不仅仅是技术问题,是紧急事件报告与响应流程,是管理问题。我们需要让所有员工都明白这一点,如何迅速报告可疑情况或泄露事件,如何快速恢复数据?如何进行取证?如何弄清楚根本原因,以免再次发生?

对于高级领导团队来说,最重要的还是沟通。当网络攻击发生,当万一成为真实之时,为公司能够生存下来,对客户说什么?对员工说什么?对监管者说什么?对执法该怎么做?对媒体说什么?需要准备好剧本和模板,需要事先做好演练。总之,未雨绸缪,为企业生存的最坏情况做好准备,保持成长和继续前进的重要部分。

最后,我们要说,不管您在一家非常小的公司,还是在一家跨国大公司工作,您的工作流程都离不开互联网,您的关键数据都运行在重要的信息系统之上,这些数据面临着各种各样的安全威胁,包括来自内部人员的威胁,当然这其中大部分是无意的大意或失误,少部分是恶意的盗窃。您需要弄清楚这一点,就是要加强数据安全方面的管控,因为能够在这方面投入资源的大公司正在让自己成为一个黑客更难拿下的目标。您所在的公司可能规模较小,也可能规模大但是此前未引起重视,因此,贵司可能很快成为黑客攻击的坚定目标。不要说,现在是困难时期,这是借口,当下黑客也很困难,正拼命寻找目标下手呢!现在是时候通过强化员工们的安全意识,让贵司变得强大起来,让黑客望而生畏、知难而退了。

昆明亭长朗然科技有限公司积极顺应时代变化,专注于帮助各类型组织机构解决“人员”方面的安全风险,我们创作了大量的教程资源内容,包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件,同时,我们拥有基于云计算的弹性学习管理系统,可以帮助各类型机构快速发起针对全员的安全意识在线学习计划,进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们,预览课程内容和洽谈采购事宜。在困难时期,我们愿与朋友们一道,在网络安全方面,做出最精明的战略选择,以最少的开支,获得最大的收益。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

探讨全球网络安全威胁应对之策

当前,全球网络空间面临的威胁日益严重,各种安全事件层出不穷。各国为了确保本国的网络空间利益,纷纷采取出台网络安全策略、完善网络安全机构、健全网络安全法规、优化网络安全力量、加强网络空间治理、开展网络安全国际合作等举措,加强网络空间安全能力建设,提升网络空间安全水平。

观看网络空间安全治理政策,其中,“组织网络空间演训提升网络实战能力”、“加强网络安全教育培养网络专业人才”等战略引起很多互联网安全培训机构的重视。昆明亭长朗然科技有限公司企业网络安全管理顾问董志军对此表示:我国是个大国,幅员辽阔,人口众多,网络安全相关产业市场有很大的发展空间和潜力,而又因关乎国家安全,是个受到天然保护,免受外来者侵蚀的产业。所以,不管是安全演练还是教育培训,这块“蛋糕”将变得很大,而且只能中国自己自主享用。当然,借助“一带一路”战略的推进,我们可以向外国推出相关的产品和服务,赚外国人的钱,同时建立全球网络安全合作框架,共同应对网络威胁。

各大学和科研机构纷纷设立网络安全相关专业,通过数年的高等教育,进行专业人员的培养。这是一个好的势头,但是并不足够。一方面,网络安全专业人员的教育要落后于社会发展的需要,相对于美国来讲,我国的网络安全人才,不论是数量还是人口比例,都很低。此外,也不得不承认,我国网络安全专业人员的综合水平也要低出美国不少,美国有好的政策吸收包括华人在内的很多世界级网络安全精英,同时,也有很好的就业舞台,网络安全人才在美国的个人职业发展道路有很多,所以我们要保持警醒。另一方面,网络安全防御不能仅仅依靠专业的网络安全人才,更是一场全民参与的持久性的网络安全战争,因此我们不能只发展网络安全方面的专业和职业教育,更需要对全民进行网络安全知识和技能的普及教育。

此刻,全球各大国高度重视网络空间的战略地位,通过加大在网络空间的投资力度、出台完善战略规划、优化调整组织机构、建立健全法规制度、大力研发关键技术、强化网络攻防演练、加紧构筑网络空间联盟、深化军民融合发展等一系列举措,全方位构建网络空间安全保障体系。这些网络安全政策措施如果没有受众的理解和支持,也将在效益上大大折扣,毕竟,网络安全为人民,网络安全靠人民。没有网络安全就没有国家安全,就没有经济社会的稳定运行,广大人民群众利益也难以得到保障。

如何激发人民群众积极参与网络安全事业呢?得让人民群众了解网络安全与国家安全、社会稳定和自身利益之间的关系,让人民群众了解到网络安全的重要性,以及自己在工作、生活和学习中的网络安全职责。在此之后,还需让人民群众了解到如何积极参与到网络安全保护行动,即如何在日常工作、学习和生活中,在面对网络安全相关挑战和选择时,能够积极践行正确的网络安全行动。

比如,我们要告诉青少年中小学生,网络上有些不适合的内容,要学会保护自己。当发现不良的、有年龄警告的或让人不适的内容时,要中止访问并及时报告。同时,也要注意网络上有很多欺骗和欺凌行为,交友需慎重。

再比如,我们要告诉网购人员,网络交易有风险,要学会保护自己。货比三家,但不能贪图便宜,选择信誉好、评价高的平台和商家。要注意保护好个人通讯信息,及时销毁快递单上的敏感个人信息,以免手机号码等信息泄露引来大量广告和骚扰。

群众路线是党的根本工作路线,也是党的一项成功经验,如何告诉人民群众这些网络安全知识呢?有很多种途径和渠道,在国家层面每年有“网络安全宣传周”,在各单位层面,也可以搞类似的宣传教育活动。昆明亭长朗然科技有限公司帮助各类型的组织机构策划和组织网络安全宣传教育活动,同时,我们也出品了大量的安全、保密与合规宣教资源,欢迎有兴趣和需求的各类型组织机构联系我们,洽谈合作事宜。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898