防病毒理念并非深入人心

自从厉害的黑客制造出电脑病毒的那一天起,防病毒产业就没有消停过,在计算终端方面,不仅适用于各类操作系统的单机版产品不断问世,越来越多的附加安全功能使防病毒软件变身为互联网安全套件。企业用户更是钟爱有强大管理功能的网络版软件,针对各类服务器和网络应用系统的特别版本也深受喜爱,因为它们能够携手终端防病毒,共同建立更为全面的防毒体系。移动互联网和云计算时代,面向移动设备的防病毒产品更是在进行信息安全界市场重新洗牌,基于云杀毒的创新技术和应用可以节约终端的宝贵计算资源……

不过,人们早已经不在关注某款防病毒的功效如何,以及有什么神奇的领先技术,如今厂商再夸夸其谈防病毒软件整合了多少个核心杀毒引擎,有何种神奇的识别未知病毒的能力,人们只会笑而不答,心中暗想:吹牛吹破天有什么意义?防病毒就防病毒,几亿国人都在用免费的绿色产品,网络版也都开始不要钱了……

安装了防病毒之后的故事则更为悲摧,让机器越跑越慢不说,最麻烦的是查杀不了电脑中的病毒,却造成了机密资料外泄甚至招致黑客诈骗。更有许多用户报怨防病毒程序毁坏了不少辛辛苦苦制作的文档,使之无法恢复,而安装了防病毒软件之后一些主要的应用软件失灵或无法正常使用更是家常便饭。

还有一项和国情密切相关的是大量的家庭和个人用户并不愿在操作系统和主流应用软件上面花钱,他们宁可随大众去观看一些充斥着广告的免费视频、或通过傻瓜式的导航网站去凑凑热闹,也不愿有独立的思维和行动去探索互联网,更不会使用简单的操作来收藏钟爱的站点,可以说这是一群又懒惰又蠢笨的网民。黑客不断挖掘着软件系统的安全漏洞,安装安全补丁超越防病毒软件成为保障终端安全的必备工作,利欲熏心的软件厂商才不愿保护盗版软件使用者,他们在软件更新过程中设置正版校验,让这些网民的最基本的安全需求无法得到满足,企图来逼迫他们购买正版。在正常的商业环境之下,消费者可以选择花钱买正版,或转而使用具有竞争性的替代产品,然而这是一片未开化的世外桃园,几个没有正面思维的程序员想借助拯救世人的契机发大财,他们开发出了一种升级功能,可以帮助盗版用户越过微软更新时的正版校验而实现补丁的顺利安装,最终让纯朴的网民上了他们的当,并且帮助软件程序员们组建了巨大的僵尸网络,并且由屌丝华丽变身为高富帅。

软件程序员们想让这些纯朴的网民们永远沉迷其中而便永久免费利用他们的计算资源为自己生财,所以不会告诉他们真相,便让这些网民一直不舍得丢弃用了近十年的XP系统,进一步造成IT消费萎缩,严重影响了信息产业的健康发展,国际大型IT厂商纷纷裁员便是例证。

不过,尽管水火两重天,劣币驱赶良币,那一批软件程序员们不断扩大着自己的队伍,他们要建立一个强大的产业链条,以便能巩固和强化自己的利益,抢占互联网入口是保障广告收入来源的第一战略,于是接二连三的出现了各种网络浏览器,有不少软件程序员们也看到了移动互联网的来临,甚至打起了做手机的主意,他们并不是想真心做手机,而是想通过软件控制手机终端。

再回到防病毒,实际上安全行业内的人都知道,多数防病毒软件就是个界面,核心技术如引擎和病毒代码都由世界上少数几家所维护和控制。未掌握核心技术的厂家有两条关键战略:一是加强市场宣传,二是加强技术服务,实施这两条战略的结果就是吸引和绑住用户。

太多悲摧的防病毒故事使稍有些安全意识的人们开始觉醒,他们果断放弃了各类防病毒软件,而让电脑“裸奔”,“裸奔”总比被人挟持要好吧!不过“裸奔”的代价是隐私没有保护,人们已经不在乎什么隐私了,他们情愿把电脑当成游戏机,心想电脑上的东西都来自互联网,也应该归属于互联网,如果黑客足够厉害,都可以来玩儿,只要我不用电脑来跑钱,谁能偷走我的帐户?

安全专家可能对此不赞同,在他们眼中,无论如何防病毒是最基本的安全保障,除非你是技术极客。这些安全专家没有经历过被“挟持”的灾难,也没有太多悲摧的故事,所以理解不了这些行为也罢了。安全专家的想法也有些道理:上网的过程实际上是各类文件流向终端电脑的过程,这些文件中可能有些是不安全的,需要被过滤,不管是邮件附件还是网页插件。

的确,防病毒虽然有其不足之外,会产生漏网之鱼,也可能会错杀误杀,更可能有假冒的防病毒软件——真正的电脑“挟持”者,但是无论如何防病毒软件能够提供最基本的安全保障,它的不足是否能成为禁用或卸载防病毒软件的借口呢?相信不少组织内的信息安全管理人员会遇到这类事情。员工们对防病毒的理解和认识可能大相径庭,安全管理人员需要做的是无非是提高认识,统一思想,而要实现这点,唯有通过有效的安全意识培训。

相信通过适当的安全意识培训之后,安全管理人员在应对员工企图卸载防病毒软件等不安全行为时,也更能更加胸有成竹;而防病毒理念并非深入人心,那些屡教不改的员工,无非是信息安全思想认识没有达到组织统一要求,自然需要更多的关于信息安全基础知识理论的学习和安全意识思想上的帮助。

“看你这安全认识水平,要不要参加一下安全意识培训班啊?”员工们在实际工作中碰到安全问题时经常说着。而负责安全管理的总监经理们见了面总是寒喧:“你那边病毒还泛滥么?员工安全培训最近搞得怎么样啦?”“最近玩什么哪?有什么安全管理方面的创新吗?”“海报那玩艺儿我们几年前就用腻味了,现在已经用了电子学习课件了呢。”

信息安全管理之科技与观念的大讨论

现在几乎很难找到没有安装防病毒软件和企业防火墙的大中型组织了,然而道高一尺,魔高一丈,即便是Verisign、RSA、索尼、北电、赛门铁克等等这些科技大腕的安全防范体系都相当脆弱,普通企业的安全现状更是令人担忧,这使众多组织的信息安全负责人不得不开始反思传统的信息安全防范战略。

在过去这十多年里,我国的计算机网络信息安全产业随着互联网和信息化大环境的成熟而迅速成长起来,成千上万个安全控制相关的科技产品问世,有大批趁着好势头急剧成长的安全公司,更有抓住机会成功上市的安全行业领头羊,拜改革开放和科技创新之赐,现在多数用户的在安全控管方面的任何一项现实问题,几乎都有大量的技术解决方案来应对。

然而,针对各种各样安全问题的大多数解决方案都停留在技术层面,厂商多数很清楚并不能完全信赖技术措施,技术措施的生效需要适合客户的使用环境、也需要客户相关人员对技术产品的完美配合。

在当今的社会,这简直就是无法实现的,因为世界不可能再回返到一个稳定的时代,组织所面对的将永远是不确定和无法控制的环境,即使科技创新不断追赶,也永远会落后几拍。

在大环境的变化上,即便是我们谅解安全厂商,也面临客户相关人员对技术产品的操作和使用之上,即使我们暂不讨论厂商在安全控管产品的价值和成效上是否有太夸张的溢美之词,要让相关人员理解和接受安全技术产品的控管并不容易,所以结果是,多数组织部署了大量的安全控制措施,却并没能让这些控制措施发挥效力,进而让很多控管系统形同摆设或束之高阁,举例接合防病毒和防火墙来讲,便是防病毒系统被停用或没得到更新,防火墙策略配置不当或存有漏洞。

那么,担负重任的信息安全经理总监们该如何呢?国际环境和区域形势复杂多变,我们在政治上讲科学发展观,在安全管理上讲科技安全观,科技是一项工具,安全观念的转变才是致胜之道。

毋庸置疑,现在即使科技仍在不断发展,并不够成熟和完美,但是已经且会继续吸引我们的注意力,我们以往忽视,而现在亟须加强的是如何能让科技这项工具发挥积极正面的效力,无疑要达到这点儿,需要我们以及安全技术的操作者和使用者们转变安全观念。

千万不要以为通过产品的使用培训便可使安全产品发挥效力,几乎没有实施了安全项目之后没有对用户进行培训的例子,这足以证明厂商的产品操作和使用培训是不够的,深层次的原因是信息安全的成功更多信赖全员的意识认知,而不仅仅是操作技能。

这一点儿,在中国、在信息科技和安全领域更是如此,我国在IT高科技领域的基础研究很落后,本地的成功企业多数是借助本土优势,占领了高端的应用层面,这就造成一个问题是整个社会大部分人们对科技产品的原理和概念不清楚,却在一天天照葫芦画瓢般使用它们,通常按步就搬的使用不会出现大的问题,可是稍微环境一变,就可能引发笑话甚至灾难。

在信息安全领域,也是如此,如果不让用户了解基本的安全观念,企图通过简单的安全防护产品的操作使用培训来保护用户,肯定是不够的,用户不能深入理解,肯定就不会从内心支持,更不可能在环境变化时与时俱进的改变。

转变观念不是一会儿两会儿可以达成的,不过,重在坚持,昆明亭长朗然科技有限公司推出了多个系列化的安全意识教育方案,能够帮助客户全方位、立体化、持续不断地对员工进行信息安全意识教育培训,如果您有任何关于信息安全管理中人员的认知培训问题或需求,欢迎联系亭长朗然公司的安全意识培训专员。