信息安全意识

data-security-internal-threat

美国联邦调查局FBI及国土安全部DHS发言人称：许多员工正在利用云存储服务或其他互联网软件，远程接入公司网络，窃取商业机密和其他数据。在某些事件中，一些员工使用他们的权限去销毁或窃取数据，获得客户信息，以及使用客户帐户来进行欺诈。

FBI官员提醒人们：尽管企业投入了大量资源去应对外部威胁，但企业经理必须知道，对公司不满的内部员工有可能破坏网络系统，从而带来可能的损失。

实际上，我们可以看到，近年来，有不少文档安全和数据防泄露系统，会将公司内部的敏感文件进行加密存储，以防止员工人为外发或复制后带出。不少企业的IT经理们应该知晓这个系统，但是会什么仍然有大量的信息失窃呢？昆明亭长朗然科技有限公司信息安全管理顾问董志军表示：这要具体问题具体分析，不过大致可以分为两类：实施了数据安全防护系统的，和未实施数据安全防护系统的。

通常来讲，多数企业并没有足够的资源来实施复杂的数据安全保护系统，这里面不仅仅只是购买数据安全软硬件并进行安装配置的花费。亭长朗然公司董志军说：更多的资源消耗是将数据安全系统、重要信息数据、以及数据的用户们有机结合并且互动起来，否则，即使数据安全系统成功地安装了，可是关键数据就是进不去，用户不是说系统不好，就是消极抵抗。所以呢，对多数公司来讲，有没有安装配置数据防泄露系统，都面临同样的数据被窃取的问题。

如何把数据安全保护系统配置起来并真正用起来呢？工作重点并不在软件控制功能层面，毕竟这只是个辅助工具，问题的核心在人员，因为信息数据是死的，但操控信息数据的人却是活的。所以，很多数据安全保护系统的失败，根源在人，而非系统的功能特性。人的问题是最复杂的，到底有哪些人会抗拒数据安全保护系统呢？如何打消这些抗拒呢？其实，几乎所有的用户都可能出自私心，而抗拒数据安全保护系统。销售人员可能想自己留一份客户清单，技术人员可能想私自存储一些技术资料。这都是很自然很天性的，我们不能幻想员工们都是大公无私的雷锋。然而企业是支付了员工薪水的，这些重要信息数据又是企业的核心竞争力组成部分，企业必须保护好这些数据，防止员工私自取走，用于员工在新公司的工作，甚至拿来对付企业。

那要如何做呢？实际上，很多知名的跨国企业并没有部署和实施复杂的员工上网行为管理和文档安全管理系统，员工也能接触到大量的公司重要信息数据，但是他们并没有拿来进行非法利用，比如卖给竞争者、另起炉灶甚至来勒索公司进而获得经济利益。您可能觉得跨国公司的员工都很有钱，没有必要冒险。其实，钱多少只是一方面，但是并不起决定性的作用，最重要的是职业道德准则、信息安全意识和守法合规观念在起作用。

国内不少公司缺乏员工职业道德建设，让商业贿赂和潜规则成为常态，这不仅增加了交易的成本，也在危害我们的市场公平竞争环境。为什么有员工会参与这些不法活动呢？并不是简单的利益问题，而是从内心深处，他们的邪恶观念占了上风。中央已经认识到这个严重的问题，在党政机关发起了“正风运动”，做企业的，更应该像华为公司那样，向商业贪腐宣战！

要保障“人心正”，职业道德建设是起点，法律惩戒手段是保障，而信息安全意识沟通是促进剂。在保障数据安全防泄露方面，可围绕信息安全意识开始，因为信息安全意识的提升，不仅可以帮助企业员工树正气，更能防范恶意威胁的入侵。当员工们知晓了并且认同了不应该拿公司的信息数据来谋私利时、当员工们拥有了防范外来网络安全威胁如商业间谍、信息侦探、网络黑客、来意软件和不良竞争者诱惑的基本能力时，数据安全保护工具自然而然会被理解和接受。

即使员工可能会对公司的某方面心怀不满，即使有离职的员工想获得公司的信息，他们应该知道分寸，知道哪些行为是可接受的，哪些行为的后果是很严重的。如果他们不知道，那就是公司在信息安全意识教育方面的不足，当公司在信息安全管理方面的魅力、影响力和威慑力不足之时，内部人员肯定会窃取信息资料来获取私利。

说到底，不要怪员工们的本性好坏，通过信息安全意识培养，把“坏人”变成“好人”才是成功的公司应该做的。昆明亭长朗然科技有限公司，帮助客户解决信息安全管理中“人员”的安全问题，欢迎和我们联系洽谈业务合作，在线体验我们的信息安全意识教程，以及公开的信息安全意识资源库。

昆明亭长朗然科技有限公司

电话：0871-67122372

手机：18206751343

微信：18206751343

邮箱：[email protected]

QQ：1767022898

在信息时代，数据如同企业的生命线，数字化转型更是将数据安全置于至关重要的位置。我们享受着大数据带来的便利，却也面临着前所未有的安全挑战。数据泄露、 ransomware 攻击、内部威胁……这些威胁无时无刻不在伺机而动。而数据安全，绝不仅仅是技术层面的防护，更需要全社会、各行各业的意识提升和行动践行。今天，我们就来深入探讨数据备份的安全性和保护，以及如何构建坚固的信息安全意识防线。

备份数据：安全性的基石

备份数据，是应对数据丢失、损坏和恶意攻击的终极保障。它就像一把双刃剑，既能帮助我们从灾难中恢复，也可能因为操作不当而导致更大的损失。因此，备份数据的安全性至关重要，它与备份数据的有效性同样不可或缺。

常见的保护备份数据的方法包括密码保护、加密和标签管理。这三者相互配合，形成一个多层次的安全防护体系。

密码保护： 备份文件如同珍宝，需要用密码守护。设置强密码，避免使用生日、电话号码等容易被猜到的密码。数据恢复时，必须提供相同的密码，否则将无法访问备份数据。
加密： 加密是将数据转换为无法阅读的格式，只有拥有密钥的人才能解密。即使备份介质被盗，未经授权的人也无法读取备份数据。常见的加密算法包括 AES、RSA 等。
标签管理： 为备份文件添加清晰的标签，方便快速查找和管理。例如，可以根据备份时间、数据类型、业务部门等进行标签分类。

如果您的备份软件支持，务必设置密码。数据恢复时，您需要提供相同的密码。这看似简单的操作，却能有效防止未经授权的访问，保障数据安全。

信息安全事件案例分析：意识缺失的代价

下面，我们将通过三个案例，深入剖析信息安全事件中由于缺乏安全意识而导致的悲剧。这些案例并非虚构，而是真实发生过的事件，它们警示我们，安全意识的缺失，往往是安全漏洞的温床。

案例一：财务数据的意外泄露

某中型制造企业，财务部门负责人李明，对数据备份和安全防护的重视程度不够。他认为，备份数据只是一个“技术问题”，与自己的工作无关。在一次系统维护中，维护人员误将财务备份文件放置在未经加密的共享文件夹中。结果，该文件夹被一名技术人员无意中发现，并下载到个人电脑上。随后，该技术人员在社交媒体上分享了部分财务数据，导致企业面临巨额经济损失和声誉损害。

分析： 李明缺乏对数据备份安全性的认识，没有意识到备份数据也需要进行加密保护。他将数据备份视为技术人员的责任，忽视了自身在数据安全管理中的重要角色。这种“不负责任”的安全意识，最终导致了严重的后果。

案例二：员工的恶意软件传播

某机关单位的张华，对网络安全知识知之甚少。他经常随意点击不明链接，下载来源不明的文件。一次，他下载了一个看似“免费软件”的压缩包，并将其解压到工作电脑上。该压缩包中包含恶意软件，该软件迅速感染了工作电脑，并通过网络传播到单位内部的其他电脑。最终，单位内部的多个电脑都感染了恶意软件，导致大量数据丢失和系统瘫痪。

分析： 张华缺乏安全意识，没有意识到随意点击不明链接和下载来源不明的文件可能带来的风险。他认为，只要安装杀毒软件就可以解决所有安全问题，忽视了防患于未然的重要性。这种“侥幸心理”的安全意识，最终导致了严重的系统安全问题。

案例三：远程办公的漏洞利用

某事业单位的王芳，在远程办公期间，经常使用公共 Wi-Fi 网络。她认为，只要使用 VPN 就可以保证网络安全，无需担心其他风险。然而，由于她没有及时更新 VPN 软件，导致 VPN 存在安全漏洞。一名黑客利用该漏洞，成功入侵了王芳的电脑，并窃取了单位内部的敏感数据。

分析： 王芳缺乏对远程办公安全风险的认识，没有意识到公共 Wi-Fi 网络存在安全隐患，以及 VPN 软件需要及时更新的重要性。她认为，只要使用 VPN 就可以解决所有安全问题，忽视了其他安全防护措施的必要性。这种“一成不变”的安全意识，最终导致了严重的隐私泄露事件。

这些案例都表明，安全意识的缺失，往往是安全事件的根本原因。只有提高安全意识，才能有效防范各种安全风险。

信息化、数字化、智能化时代的挑战与机遇

我们正处在一个快速发展的信息化、数字化、智能化时代。大数据、云计算、物联网等新兴技术，为我们带来了前所未有的机遇，同时也带来了前所未有的安全挑战。

数据爆炸： 数据量呈指数级增长，数据存储、管理和保护面临巨大的压力。
攻击面扩大： 越来越多的设备接入网络，攻击面不断扩大，安全风险日益复杂。
攻击手段智能化： 黑客利用人工智能、机器学习等技术，开发出更加智能化、隐蔽性的攻击手段。
内部威胁： 员工的疏忽、恶意行为，以及供应链的安全风险，都可能导致数据泄露和安全事件。

面对这些挑战，我们必须积极提升信息安全意识、知识和技能，构建全方位的安全防护体系。这不仅是企业和机关单位的责任，也是全社会共同的使命。

全社会共同努力：构建坚固的安全防线

提升信息安全意识，需要全社会各界共同努力。

企业和机关单位：

加强安全培训： 定期组织员工进行安全培训，提高安全意识。
完善安全制度： 建立健全安全制度，明确安全责任。
投入安全资源： 增加安全投入，购买安全产品和服务。

定期安全评估： 定期进行安全评估，发现和修复安全漏洞。
建立应急响应机制： 建立完善的应急响应机制，应对安全事件。

个人：

保护个人信息： 不随意泄露个人信息，谨慎点击不明链接。
使用强密码： 设置强密码，定期更换密码。
安装杀毒软件： 安装杀毒软件，并及时更新病毒库。
保护设备安全： 保护电脑、手机等设备的物理安全，防止设备被盗。
学习安全知识： 学习安全知识，提高安全意识。

政府和监管部门：

制定安全法律法规： 制定完善的安全法律法规，规范数据安全行为。
加强安全监管： 加强对数据安全领域的监管，严厉打击网络犯罪。
推动安全技术创新： 推动安全技术创新，提升国家安全防护能力。
开展安全宣传教育： 开展安全宣传教育，提高全社会安全意识。