信息安全体系中的人员教育要素及实践探索

在保护网络安全方面,大多数信息安全管理者倾向于只使用访问控制防火墙、恶意软件防范、敏感数据加密、安全漏洞评估与管理、客户信息访问记录等安全措施,通常会忽略一个明显的安全漏洞,就是最终用户的弱点。对此,昆明亭长朗然科技有限公司网络安全观察员董志军表示:传统的网络基础架构安全体系已经非常成熟,这是因为很多组织机构已经投资了尖端的安全软件,并且拥有了出色的IT人才。不过,网络的连通性越来越强,最终用户可以借助强大的网络终端设备,随时随地连接到信息系统、获得并处理信息,这给传统的网络安全架构体系带来新的挑战,并非强化终端计算设备的安全管理就可以解决的,近来,网络钓鱼诈骗、社会工程攻击等等都是很多企业入侵事件的原因。

用户无疑是网络安全防范体系中最薄弱的环节,不过话说回来,也可能是最大的财富。网络大神通常说:在安全性方面,用户既是最大的资产,也是最薄弱的环节。用户了解遵循的流程和策略以及被忽略的流程和策略的真实情况,他们可以成为衡量安全措施有效性的一个很好的指数标和晴雨表。

教育最终用户关于他们在组织安全最佳实践中的作用是加强安全策略的最有效方法之一。为什么网络安全培训教育至关重要呢?有几个原因。技术几乎融入了现代生活的各个方面,包括我们的工作、电话、汽车到房屋。随着智能技术的发展,网络犯罪对我们的生活产生巨大影响的方式急剧增加。不幸的是,问题的范围常常被忽视。这是因为,当我们想到网络犯罪和黑客攻击时,往往会想到是上了全国头条新闻的坏事,例如大规模的网站入侵、身份盗窃和股票操纵。实际上,网络犯罪有无数种方式可以影响人们的个人和商业生活,并且必须意识到,这些犯罪的最严重后果并不总是金钱损失。

想象在不久的将来,大多数人都拥有自动驾驶汽车。再想象一下,即使其中一家汽车公司的网络安全受到破坏,也可能造成昂贵又致命的潜在损害。在技​​术不断以指数级增长的世界中,更相关的问题是,网络安全意识培训该如何进入到组织机构和社会大众,以便引起全民的重视?全国层面的网络安全宣传周流于形式,目标受众往往是没有信息基础的中老年人,缺乏有深度的内容。

昆明亭长朗然科技有限公司开发了大量的安全意识课程,该课程涵盖从如何识别最终用户最常见的威胁到使用强密码到与BYOD相关的风险以及如何防止常见安全漏洞的所有内容。我们将课程框架的重点放在最终用户面临的持续的日常威胁以及如何应对这些威胁上,并结合了动手学习。例如,我们希望最终用户知道网络钓鱼电子邮件是什么样子,以及他们如何检查邮件的的合法性以识别出那些社会工程手段。最终用户在应该了解最佳实践背后的原理时积极参与组织的安全策略,而不是死板地遵循IT安全部门下达的命令。

安全意识教育是双向的,有效的安全教育需要定期的沟通,并且必须共享信息,使安全性对话成为日常业务的一部分可以帮助最终用户理解安全性是每个人都应该关注的问题。通过发送定期的电子邮件公告或时事通讯,并提供更正式的基于计算机或讲师指导的教育和课程,将大大增强沟通的频率和效果。此外,还可以使宣教内容具有针对性,适用于人们的家庭生活,这样,安全意识信息才更容易被理解、接受和保留。

通常来讲,每年进行一次大型的全面的基于在线课程学习的活动,加之每月定期的安全公告或知识更新,每季度混合使用互动的安全测试及教学游戏,加之安全检查及整改行动,即可以达到良好的安全意识沟通效果。员工们即拥有了全面的知识体系并保持年度更新,又能了解到近期的安全态势和吸取安全事故原因,切能在实际工作中加以践行。

总之,人员是网络安全防范体系中的第一道防线,技术往往是最后一道防线。在技术控管方面,应该采用防病毒、反垃圾邮件和数据丢失防护解决方案等等,来监视所有的通信渠道包括电子邮件、网络浏览甚至所有终端设备上的关键信息丢失。不过,永远记住,信息安全管理是基于人员教育,作业流程和技术控管的解决方案的组合,只有三者紧密结合,方可帮助组织最大程度地降低其信息安全风险。

  • 电话:0871-67122372
  • 微信、手机:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898

基于邮件与消息的网络钓鱼及防范措施

网络钓鱼技术很容易发起,并且针对的是易受攻击的“人性弱点”。尽管恐惧、好奇心和投机是黑客一度喜欢利用的人类最主要情感,但是如今,成功的网络钓鱼尝试针对的是人类对娱乐、社交媒体交互以及奖励或认可的需求。对此,昆明亭长朗然科技有限公司网络安全研究员董志军补充说:成功的网络钓鱼者都是心理操控的高手,甚至不少曾经都是营销方面的精英。这些“人精”一旦选择了网络钓鱼这条不法之路,也同时踏上了危害大众的不归路,因为网络钓鱼几乎没有什么成本,获利却很丰富。最常见的网络钓鱼术无疑借助的是电子邮件和即时消息。

那么,我们如何将其识别为网络钓鱼邮件?总有一些线索可以帮助我们识别网络钓鱼邮件及消息。

  • 称呼不包括接收者的名字。这应该引起怀疑,因为专业电子邮件或通信消息会通过姓名来称呼您。
  • 查看电子邮件或通讯消息中的网址,网络钓鱼往往会利用邮件和消息进行导流,将用户导致更易窃取隐私和机密的钓鱼网站。
  • 他们试图通过各种方式激发起感激或认可等情感因素。此类电子邮件必须重新阅读并谨慎对待,以确保其真实性。
  • 他们可能会要求您在特定的时间完成特定的任务(例如将个人详细信息填入到所提供的链接、扫码下载安装APP等)。除了给您时间上的紧迫感之外,还威胁称如果您不遵守该任务命令,通常会导致不良后果。

通常来讲,我们可以使用一些软件工具来阻止网络钓鱼邮件和诈骗消息:

  • 反垃圾邮件过滤器和电子邮件安全选项会自动捕获尽可能多的网络钓鱼邮件,但要注意少量网络钓鱼邮件仍然可以躲过。
  • 多重身份验证软件可以帮助您为帐户和设备添加多个安全级别。
  • IT安全意识培训软件教会员工通过模拟网络钓鱼攻击来识别安全弱点。

相信防垃圾邮件系统和双因素身份验证对很多人来讲并不陌生,然而,解决恶意网络钓鱼企图的最佳方法是对员工进行安全意识的培训和教育。以下我们向您分享一些安全教培经验,各类型组织机构可以将其置于信息安全意识培训计划之中:

  • 验证电子邮件和消息的真实性:在回复来自已知和未知来源的电子邮件或消息之前,花点时间确认其真实性。不要立即单击其中的网址链接,不要立即发送任何机密数据或立即进行汇款。如有疑问,请与您的经理或主管联系,或者等到您确认该邮件或消息的真实性为止。
  • 仔细检查网址链接:通常,您可以通过假冒网址的警告标志来识别它们。不良的网址可能会跳转到不同的网站,或者可能会被缩短。防病毒软件和互联网安全解决方案通过提供有关有害网站的警报来提供帮助。
  • 查找语法错误:大多数网络钓鱼邮件或消息中都会有一些拼写和语法错误。注意拼写错误的单词和写得不好的句子,以识别钓鱼或欺诈性内容。
  • 鼓励员工举报可疑邮件或消息:激励职员们主动报告安全威胁,这一功能可以将检测到违规的平均时间缩小到1个小时。这些过程也在提高人们对潜在的网络钓鱼威胁的认识,同时可以防止其他员工打开恶意邮件或消息。

总之,基于邮件与消息的网络钓鱼还将继续猖狂下去,尽管技术措施有些帮助,但是人员的警惕性和火眼金睛才是最终的解决之道,各类型机构需强化员工们的安全防范意识,同时还必须认可和奖励机敏并举报可疑活动的员工们。昆明亭长朗然科技有限公司专注于帮助各类型组织机构提升员工们的信息安全意识,我们帮助客户策划和制定安全意识培训及沟通计划,并提供各种安全意识课程内容资源,以及安全宣教教育活动的支持。欢迎有兴趣和有需要的客户,以及合作伙伴联系我们,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898