如何建立网络安全文化

根据网安科技的一项调查,中央国资企业仅将其IT预算的3.2%用于网络安全。对此,昆明亭长朗然科技有限公司网络安全专员董志军感叹道:这点支出与全球范围内的跨国企业13%的基准相比,显得多么的微不足道。

不可否认的是,很多中央企业担负着重要的政治任务,这就造成可能在非经济领域的事情上花了很多钱,因此尽管有庞大的开支,在网络安全方面,央企仍然会觉得处处都是威胁,尽管有如《网络安全法》、等级保护等法规驱动力来促进网络安全工作的开展,但是“巧妇难以无米之炊”,那紧张的预算,想买高端的设备和服务,是不可能的。

《网络安全法》实施几年来,相关细则不断出台,给互联网、金融等行业带来了巨大变化,许多公司正在不断加强对网络安全的关注和投入,但是这种情况似乎并没有在央企大量发生。为什么央企不带好头儿严格遵循网络安全相关的法律法规呢?要说他们不怕惩罚那是不可能的,要说没有资源那也说不过去,有国家做后盾的都是财大气粗的,而且有大量的服务商盯着看着。

一位常年与央企网络安全负责人打交道的超级销售称:“客户知道他们在信息安全方面的支出低于其发达国家同行的支出,但是他们也知道中国的国情,即使争取到了可观的网络安全预算,也很快会被领导一句话,就挪做他用。”

这就是央企国企的企业文化的一部分,网络安全负责人无奈也没有办法。不过,如果硬着头皮要上,那最好也是从文化入手,即少花钱买“物品”,多用“人力”,以建立网络安全文化。网络安全领域传统的观念就是安装硬件设备,安全人员喜欢这样做,因为外行的领导们不懂,当然,这闹出过很多笑话,比如一套软件一张光盘一千块领导觉得贵,把同样的软件装进工控机十万块领导却觉得值。不过近些年来,领导们越来越聪明了,他们不再迷信机器设备这些硬件,而是更注重人的因素。这也是一个潮流和趋势,设备设施是为人服务的,也要人来使用的,安全亦是如此,需要与人互动起来,才是真的安全。

建立企业网络安全文化,通过内部沟通,让人人懂安全,是最经济实惠的“秀”安全工作的方法,领导们可能不喜欢去机房看那些硬件设备,但一定会喜欢看到职员们展示出来的安全风貌,这就是领导们喜欢玩儿的,安全文化的体现。网络安全文化的体现会在哪些方面呢?董志军举出如下几个例子。

密码或口令的保护,密码出入各类信息系统的钥匙,是网络安全防御体系的重要一环,央企职员们可以使用容易创建、容易记忆、复杂而强大的密码来帮助提高网络安全性。这需要网络安全团队强化宣传,以激励职员们保持更健康的密码习惯。在职员们为领导们演示工作时,输入复杂的密码登录系统,与输入简单的密码,或者看着屏幕旁边的小纸片上记录的密码,给领导的印象会截然相反。

机密与隐私的保护,领导到办公区走走,看到有的员工不在座位上,但涉密信息却被摆放在桌面,有的员工在微信中随意披露工作内容,有的员工将工作文件上传到互联网云盘上,领导肯定会有些担心。与之相比,领导看到不在座位的员工桌面仍然很整洁,电脑屏幕也被锁定起来,其他的员工在离开座位时也收拾好桌面,并习惯性地锁起重要物品和电脑桌面。即使领导嘴上不说,心里也肯定会有自己的认识和看法。

恶意软件的感染,从来未感染过或听过受到恶意软件感染的机构,和感染了勒索软件的机构,给领导的印象绝对是截然不同的,即使领导是个网络安全方面的技术外行,但是显然,人们会有一个常识,电脑文件被勒索软件加密,绝不是偶然的因素,而无疑体现出网络安全综合水平的落后。

通常上述几个例子,相信不难理解网络安全文化的重要性,网络安全文化并不是虚无的东西,也并不是表面的东西,而是实实在在的网络安全治理管理体系的组成部分。文化的养成源自行为习惯的塑造,而行为习惯则源自于对网络安全的积极和正确的认识。如果人们不认为安装安全补丁有什么用处、甚至觉得是麻烦事儿的话,他们就不会及时安装软件的安全补丁,系统和网络的安全漏洞就会一直存在,一旦遭遇网络安全威胁,风险便随之而来。

不要以为通过扫描网络漏洞、识别和监控网络安全入侵行为,建立网络安全事件快速响应计划等等措施就可以替代掉对职员的安全文化熏陶工作,网络安全是一项全民的工作,针对网络安全威胁的战争亦是如此,不能仅仅依靠专业团队,全民用网络,全民要防范。

借助新型的安全意识培训产品,央企网络安全负责人可以快速、轻松地部署以培训员工安全意识的在线网络教育课程,内容包括安全意识基础和安全意识技术。在线网络教育系统通常还使管理人员下载报告以识别已完成课程和未能及时完成课程的职员。

当然,网络安全文化的建立并非一两次安全意识培训活动就可以达成,要不断地放在实践中去检验,网络安全现场审核与检查、人员网络安全意识访谈、模拟网络钓鱼攻击等等活动,都是花很少钱,却能同时衡量和促进网络安全文化建设的好方法和好工具。

确保网络安全法规与政策的落实,需要拿得出的东西来激励人们学安全、行安全。创建网络安全文化不能虎头蛇尾,要坚持不懈,定期进行全员安全意识刷新是必不可少的工作。

为帮助各类型企业机构的网络安全负责人员,昆明亭长朗然科技有限公司推出了网络安全意识培训与文化宣传服务及课程内容资源,欢迎联系我们,洽谈采购与合作事宜。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898

全球化公司如何应对员工对安全问题的忽略

西方国家一项调查表明,约有24%的人员了解IT安全指南但尚未遵循这些指南。另有27%的人明知危险却仍然连接到不安全的网络。25%的人通过协作平台分享机密信息。对此,西方网络安全界对此表示担忧,认为用户觉得当安全措施妨碍其完成工作时,就会绕过安全。

西方国家特别是西欧是近代民主法制思想的发源地,国民有守法的文化底蕴和传统。对些,昆明亭长朗然科技有限公司企业网络安全管理顾问董志军表示:相比起,中华文明深受道家灵活变通文化的熏染,人们为完成工作、达到目标,可能更愿意躲过安全要求,甚至铤而走险违反安全制度,以身试法触犯安全红线。

除了文化的因素,也有时代方面的因素,60后70后80后一代人都有计算机崩溃和丢失数据的丰富经验,以及被网络钓鱼或被病毒攻击的悲惨遭遇。但90后00后人职场人员却生活在计算机和网络时代,经过多年发展,计算机系统相对安全稳定,所以没那么多安全警惕心,他们不知道计算机崩溃、数据丢失的感觉。他们也更不惧怕权威,想挑战旧的体制,其中便包括安全制度和要求。

对此,我们拜访了一家环球科技公司亚洲区的信息安全经理,想了解一下他们的做法,以及我们能为其做些什么。该经理称员工了解安全最佳实践的方式有多种多样的,这最好能和当地的文化习俗联系起来。比如意识内容可能需要考虑差异,比如当地的语言可能并非英语,当地的主流网络应用程序及移动设备可能并非Google、Facebook、Amazon和iPhone、当地的员工喜欢搭乘地铁等公共交通工具而不是开私家车……说到底,国家可以影响他们应该接收哪些信息以及他们如何接收信息。最终,需要记住一条规则:安全意识团队需要有国际意识,根据业务区域的分布,研究当地的特色,当然是与安全意识有关的部分。

在信息安全经理的展示下,我们快速参观了该公司的安全意识计划最佳实践做法。其亚洲业务主要分布于中国、越南、日本,中国和越南主要进行产品研发和交付,日本负责设计和市场。当然,对不同岗位不同部门人员,安全意识的内容也有偏重,除了所有人员都需要掌握的基线安全培训课程之外,设计研发人员偏多保密意识以及软件安全,市场人员则更偏多防范网络诈骗。

安全意识基线培训主要通过电子学习方式进行,包括在线课程、测试和交动式的场景等等,除了可以让学员随时随地自主学习之外,这种方式提供一个好处是可以很方便地更新相关的课程模块并推向全球,比如新近上线的欧盟通用数据保护条例GDPR培训模块。

对于安全意识计划的推动,该信息安全经理称:与人力资源部门的配合相当重要。人力资源设置时间并确保每位员工按要求参加线上培训课程。可能不同部门、岗位或角色需参加的培训稍有不同。最后,需要与行政管理团队的配合,在办公室的电梯、楼道、餐厅、会议区等张贴或悬挂一些宣传海报。

在谈及安全培训的效果,以及如何影响员工们的安全行为时,该信息安全经理称,在国际上,这还在不断探索和前进。该公司的做法是对积极的安全行为进行鼓励,并以此建立长久的安全意识文化。据称,该公司建立了一个环球信息安全小组,成员由来自全部国家和地区的所有部门的代表组成,他们关心网络安全,并通过其向同事们发送安全通讯,在团队会议上发表信息,以及悬挂海报来自愿提高安全认知。随着他们的人数不断增长,安全部门为这些人员设置了一个奖励计划,根据他们所做的贡献奖励他们。同时,除了这些安全代表之外,对其他信息安全积极分子也经常发布奖励,比如那些发掘出产品安全设计漏洞的人员、及时报告出安全事故隐患如新型钓鱼消息的人员,甚至安装安全修复和更新最为积极的人员。这些奖励经常会公开发布在海报和安全通讯中,不断有新的安全意识积极分子出现,安全意识文化便慢慢建立起来。在安全文化建设方面,亚洲与欧美是一体化进行的,信息安全经理认为当地的传统文化对企业文化的影响力非常微弱。

尽管如此,最近该公司仍然遭遇了身份盗用事件。对此,该信息安全经理表示需要在技术和意识双方面进行加强。毕竟,全球性的网络安全威胁是客观存在的,无论黑客从哪个国家或地区,都可以对我们发起网络钓鱼、欺诈邮件、密码骗局、中间人攻击等等。如果我们没有强大的密码,再加上多因素身份验证,以及背后的服务来保护账户,那么账户面临的风险就会增加,而且这将越来越重要。

昆明亭长朗然科技有限公司开发创作了大量高品质的故事驱动型安全意识培训内容。自2010年成立以来,我们为多家世界级客户提供网络安全意识课程内容服务,近年来,我们为中小型企业级客户推出了便捷的在线学习解决方案。

我们的培训视频简短、有趣且有效。偶尔散布的幽默有助于吸引用户的兴趣和注意力并引发人们的思考,以确保在当今组织运作的网络世界中的意识教育和合规性。欢迎有兴趣或需求的客户联系我们,洽谈安全意识宣教方面的合作事宜。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898