不少机关单位的高层领导，甚至网络安全负责人员，都有一种假设，就是只要拥有足够强大的技术防护措施，就可以高枕无忧。比如：使用网关、邮件、桌面等多重防病毒体系，就可拒计算机病毒于门外；使用防火墙和入侵检测与防御系统的报警和切断方案，就可以自动发现和阻止潜在的黑客攻击；使用动态的和足够大的带宽，可以让分布式拒绝服务攻击者望而却步……对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：如果网络安全工程师这样认为，我觉得可以谅解，毕竟这些技术管控和工程师们的日常工作密切相关。但是，高层领导和网络安全负责人员也这样认为，就显得不正常。因为不管防御系统的架构设计多么完美，日常防御的运营维护多么专业，没有一套至上而下的管理体系和制度规范，单靠提升技术方面的防御能力，就如同缺乏智慧头脑的一介武夫，缺乏正气，容易走偏，也就是进入武侠剧中“走火入魔”的状态。

那么，如何建立网络安全方面的“正气”呢？要了解网络安全在组织中的重要性，以及保障网络安全的常规方法论，在“大图景”之下，不至于剑走偏锋，也不至于被少数利欲熏心的网络安全厂商洗脑制约，或被厂商潜藏于监管机关中的代理人忽悠蒙骗。对此，董志军补充说：各类型的组织机构都不得不强化网络安全工作，特别是政府机关单位和关键信息基础设施行业，在网络安全法等相关法规的要求之下，不得不实施各种网络安全举措。搞好网络安全工作，这本身是一件有利于组织机构，亦有利于国家和人民的好事儿。但是就是有少数部门和机构、小团伙及个人，为了自己的利益，曲解网络安全法的精神，滥用法律为自己谋利。比如，借助自己的专业资质和能力，把几百块成本的网络安全设备，卖到几万甚至几十万、几百万。再比如，把一件很简单的安全评估、检测和审查工作神化，动辄索取几十万的“通关”报酬。当然，有既得利益人群会说：向国家机关单位多要些钱有什么大不了？钱不就是要“取之于民、还之于民、用之于民”么！问题是钱真正的“用之于民”了吗？还有那么多要靠自己艰难挣钱的组织机构特别是中小企业如何负担得了昂贵的网络安全呢！如果大量的民间企业网络“不安全”，那整个国家能获得“网络安全”吗？

了解了国家层面的网络问题症结所在，也就知晓该如何在组织层面进行应对，最重要的一步当然是加强网络安全管治方面的学习，国家有通过“网络安全宣传周”搞大规模的网络安全扫盲和普法活动，但是主要是针对普通百姓的，关于如何搞好网络安全管理则非常缺乏，因此不要指望太多。您可能会说，国家有发布相关的信息安全、网络安全标准和指南，多部委及监管机关也有发起指令，按照指令行事就好。您这么说大的方向没错，按照类似信息安全管理要求或等级保护管理要求等等国标行事，自然是走在正确的方向。

不过，不要以为大方向对，就不会再走偏。需知，某些标准和指南也是厂商的利益体现。简单说，很多厂商为了自身的利益，为了多卖些产品或服务，在国家标准起草时，就积极参与相关工作，而那些标准化机构中的一些工作人员，不排除有被其收买的。并不是说国家标准会推荐一些厂商的产品或服务，而是要实现国家标准中有的相关安全控管目标，最快捷的方式就是采购那些产品或服务。这虽然有些绕，但不是一回事儿，堂堂大国还是很光明正义的。但是世界之大，难免会有些钻营之徒，影响国标，在国标中弄一些苛刻的过分的，甚至没有必要的安全要求出来。虽然那些苛刻的过分的安全要求对于网络安全来说有一定的促进性，但是在全局层面，也是在浪费国家和社会资源呀。况且，如果在某方面的安全控管过力，往往会带来反作用力，过犹不及，同时，让另外的方面欠缺，造成一种不稳定的失衡局面，并形成不被注意的安全漏洞。更为恐怖的是，在网络安全防御方面，过度自信的危险性很高，还不如一点儿都不自信。

那么，如何让包含领导干部或企业高管在内的所有职工在网络安全方面保持谨慎呢？一些简单的方法包括在领导干部会议、公司会议中讨论网络安全文化建设，向全体职工发送网络安全消息，在内部传递网络安全信息，以提升网络安全意识。整个组织机构中的人员都应该接受定制化的安全意识培训。当然，应该从高层领导层开始，高层以及高层的助理往往是网络安全的高危人群，应该从网络安全认知研讨、行动养成计划、个人网络安全模拟以及技能实践演练等多个方面多头并举。对于技术人员来讲，培训应该包括特殊技能的培训，比如如何加固系统平台，如何侦测不合乎要求的终端，如何制定切实可行的安全策略等等。对于网络安全管理人员来讲，培训应该包括如何制定安全方针政策，如何对标进行合规自检和整改措施，如何对一般员工进行网络安全意识培育，以及促进安全制度的落实并推进组织安全文化的构建。

政府机关单位的网络安全做法虽然有些低效，但是值得公司企业参考借鉴，从经济性角度讲，网络安全管控措施过于细化不划算，使用更为简单的安全方案往往是最有效也最实惠的。不要迷信于自动化的技术措施，人工智能永远落后于不法分子利用“人性弱点”发起的社会工程学攻击。要加强整体组织层面的全体动员以应对网络安全问题，团队协作迅速响应才是致胜的关键。当然，政府机关单位必须善于利用外部资源，因为网络安全水平差距太大，请专业的网络安全服务公司或网络安全公安机关帮忙，方能拥有可与外界威胁抗衡的网络安全实力。

定期评估检查网络安全控管措施的有效性非常必要，在领导干部及管理层会议上强调网络安全，分派安全沟通议程是在对高管层赋能，而针对全体职员的网络安全教育工作是在加强沟通与凝聚，以强化终端安全及人员安全，以“人民战争”的正义态势，形成全面的网络安全防护体系。昆明亭长朗然科技有限公司推出了专门针对职场工作人员的网络安全与信息保密意识课程，以帮助各类型的组织机构建立有正气的网络安全文化和网络安全工作氛围，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

网络风险是当今人们无法逃避的话题，小到针对个人的网络诈骗，中到针对组织的网络入侵，大到针对国家的网络战争，在各个层面，各种角色的人们对网络风险的理解各有不同。对此，昆明亭长朗然科技有限公司网络安全研究专员董志军表示：当今社会及可见的未来，网络应用越来越普及，网络风险总是随之而来、挥之不去。网络安全关乎国家安全、社会稳定和人民利益，因此，我们必须把网络风险纳入到更大的风险管控框架体系，不能简单的局限于传统的技术领域。

既然要从更广阔的视野更大的格局中看待网络风险，我们就需要明确风险应对的职责，再不能单单只是信息科技部门的份内事情。传统上，基于技术风险的系统设备安全和信息数据保护，是首席信息官或首席信息安全官们的职责。然而，整体的组织业务风险与安全，通常在于组织治理框架之下，归属董事会的职责。网络风险应该被视为组织风险或商业风险的新形式，这样就不局限于IT的范畴了。

在风险应对之前，需要选择一个合适的风险管控框架，类似等级保护和ISO、COSO等等这些通用框架虽然有些局限和偏重，但是可以参考和借鉴。使用这些方法来评估当前的风险，通过自查的方式来找到差距，是了解网络风险现状的关键。当然，如果内部资源不足，聘请独立的第三方评估机构，特别是受国家重点监管的行业，更需要引入有评测资质的第三方机构来帮忙，通常来讲，第三方评估机构能够发现组织内部觉察不出来的风险隐患。董事会对风险管控很在意，定期的会议上，网络风险的管控议题，包括风险管理的现状、目标、计划等等一定得讨论和汇报。

有了董事会和高层的重视和支持，网络风险应对计划将被分解成具体的工作任务，不要以为零碎的控管措施拼合起来就能达到总体的应对目标，风险应对需要全面、有机的沟通领会，即建立网络风险应对文化。通常从科学的角度来讲，大多数的网络风险难于彻底消除，只能通过一定的安全管控措施来降低到可接受的水平。无论采取什么样的行动，什么样的举措，记得不是花大价钱，从根本上彻底消除，而是在组织整体风险管控层面，进行综合有机的管控。如果不了解风险管理的精神，缺乏风险应对的文化，就盲目采取安全行动，相关的举措可能会带来新的更严重的问题和风险隐患。

建立网络风险应对文化需要从网络安全意识入手，安全意识计划不仅仅应该包含网络安全工作实践、安全政策方针等等方面的员工教育，还应包含风险管理的基础理念、知识和技能。很多组织在网络安全方面投入巨资，特别是在安全技术方面，而员工们对此却毫不知情，造成配合方面的脱节，甚至引发对安全技术的误解、躲避甚至抵抗。网络风险教育计划还应该包括合规、保密（隐私保护）、以及网络钓鱼（社交工程）等领域的培训宣导。网络安全与私密保护相关的法规要求会越来越严格，违法是一项最大的网络风险。同时，电信诈骗和网络钓鱼往往利用的是人性的弱点，很难从技术方面完全防范，所以也是一项顽固的网络风险。

只有持续不断坚持不懈的网络安全意识宣教才能在组织内建立起风险文化，不断提醒非常重要，通过安全检查活动，明确说明不安全的状态、行动中蕴含的安全风险是建立安全文化的关键技巧。职工们知晓什么情况有危险，该做什么或怎么做才能纠正和防范风险，需要长时间的理念熏陶和习惯培养。记住：仅仅靠向受众提供网络安全意识培训内容，并不一定会让受众理解并接受，受众的行为也不一定会因此而改变。这就需要强调测试、监督、检查、衡量和改进方法的必要。只宣讲，不考核，受众可能根本没收到或没理解。不监督、不检查，就不知道受众是否真正认可和接受。

要在风险应对方面有所成效，必须认识到人为风险，包括有意的恶意破坏或无意的大意失误，都需要组织建立并不断改进网络风险文化，需要让员工们知晓在各种情况下应该怎样做才是正确的。只有员工们拥有了网络风险意识，才会在实际工作中发挥主观能动性，才会全力将网络风险应对工作“拧成一股绳”。网络安全公司通常会觉得找几个黑客级的技术高手，挖一些安全方面的天才少年，建立一个应急响应团队，就表示拥有了强大的安全能力，可以应对组织所主要面对的网络风险。这明显是一种对网络风险没有清晰认识的误区，网络风险分布于组织的各个角落，不仅针对高阶团队和高价值的信息系统及数据，也针对全体员工。因此，要应对网络风险，需要广泛发动群众，不能只靠个人英雄主义和VIP保护主义。

昆明亭长朗然科技有限公司致力于帮助提升全民的安全意识水平，我们帮助各类型的组织机构策划、组织和实施安全意识宣教活动，我们提供多种形式的安全宣教素材内容，欢迎有兴趣和需要的单位和个人联系我们，洽谈采购与合作事宜。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898