分享几招安全意识宣教的战略战术

IT安全专员使用各种技术和工具来保护公司的重要以及敏感​​数据,但是其中最重要的安全方法,也就是安全意识培训,却经常被忽略。防病毒、防火墙和备份在IT安全领域中扮演着关键角色,但是最终,受过良好的安全教育和训练有素的员工才是帮助保护组织信息安全的核心要素。IT安全团队要避免花费无数艰苦的时间与病毒作战、填补安全性差距、正确恢复文件……对此,昆明亭长朗然科技有限公司信息安全管理体系专员董志军表示,各类型组织中的信息安全从业人员,都需要在组织范围内,对员工们进行必要的安全意识培训。当然,每年一度的PowerPoint展示仅能混混日子,是远远不足够的,如下,我们向您分享几条这方面的战略方法和战术技巧:

掌握知识是成功的一半。赋予员工们足够的安全知识永远不是坏事。信息安全团队可以开展简短的安全意识教育活动,例如通过电子邮件发送安全知识点滴,以告知员工有关勒索软件与恶意软件之类的公司安全概念,或借助餐厅的电视宣传屏,告知员工们如何识别社交工程企图的知识。员工通常会由于无知而导致违反安全的行为,因此,设置“信息安全基础入门”之类的学习课程,将大大减少由于员工人为错误而引起的安全性问题。

不要躲避阴暗的一面。确保员工重视安全的一种方法是威慑他们,尤其在不重视规则的文化圈。向员工们说明不遵守安全惯例的风险和后果,包括可能被解聘、甚至处以罚款和交由司法诉讼。在安全意识培训期间,与员工们分享公司、行业和全世界的安全案例故事,以传达不良安全实践的影响。如果不方便使用内部案例,请与您的团队分享知名机构最近发生的重大安全漏洞的故事。时刻跟踪业界安全事故,定期上网搜一搜安全违规案例,这样就可以不断积累和更新素材,在进行宣教时,就更易抓住受众的心,获得他们对安全要求的理解和认可。此外,在对团队进行安全意识教育时,可以使用可能会影响到他们个人的示例。例如员工认为自己的个人银行业务和信用卡信息可能受到威胁的话,则他们更有可能养成良好的安全习惯。

如果心存疑虑,便将其丢弃。信息安全意识培训的核心概念是告诉员工们不要打开可疑链接或下载奇怪的文件。无论您是定期发送安全意识电子邮件,还是进行线上培训课程,您都应始终重复并执行这一核心思想……不要打开奇怪的东西。告诫员工们切勿打开意外的附件或链接。这包括来源不明,甚至已经来源的奇怪附件或链接。另一个通常被忽视的安全意识培训项目是教育员工不要使用奇怪的U盘或USB存储驱动器。众所周知,USB设备价格低廉,数据窃贼会将USB设备留在公共场所,那里面装有旨在窃取信息的木马病毒。而且,U盘体积很小,容易丢失。

保持计算机设备的清洁。应用安装的越多,安全漏洞和可能导致的问题也就越多。您的组织可能对可以在计算机上安装和访问的内容有明确的规则,但是这些规则是否得到有效传达和遵守?确保员工们知道信息安全规则。在您的组织内部网站上清晰地发布相关规则,或频繁发送安全意识培训电子邮件,以尽可能清晰地转发重要的安全点。不能过于依赖上网行为管理,员工们并不傻,如果没有足够的安全合规意识,他们中的聪明人可能会找到很多突破上网行为管理的方法,这反倒很不利于信息安全与保密管控。保持清洁可以不仅限于计算机设备,还是包括桌面,因为桌面上还会有很多计算机之外的信息、设备和财物。定期的办公区安全检查是不错的安全意识宣教辅助手段。

坦诚沟通,而不要躲躲闪闪。一方面,信息安全专员要站在组织的立场上,向员工们强调安全要求的必要性,采取开放的姿态,讲述可接受的信息(系统)使用准则,员工行为安全监控等等。另一方面,要鼓励员工们及时报告安全违规情况和安全威胁事件。对网络造成危害的员工通常会感到尴尬,要避免这一点,需要鼓励其尽早发声,由于员工个人的不慎,将病毒引入组织甚或导致数据泄漏的情况很常见,这往往并非员工本身的恶意行为,因此员工们没有任何隐藏的理由。如果您认为自己可能已成为网络钓鱼诈骗的受害者或下载了病毒,请迅速采取行动。立即让信息安全团队了解情况,并收集尽可能多的信息以采取必要的应对和防范行动,以避免和挽回可能的损失。

综上所述,信息安全团队进行了大量的幕后工作,以确保组织的网络安全。然而,赋予员工们强大的安全习惯可以将安全带到一个新的高度。切记:“谨慎是安全之源,小心行得万年船。”多年来,昆明亭长朗然科技有限公司专注于信息安全意识宣教业务,我们帮助大量各种类型各种规模的客户对员工进行安全、保密与合规意识的宣传教育,获得了大量的好评,欢迎有兴趣和需求的客户及行业伙伴们联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 微信:18206751343
  • 邮件:info@securemymind.com
  • QQ: 1767022898

业务成功与信息安全意识

不闻不若闻之,闻之不若见之,见之不若知之,知之不若行之;学至于行之而止矣。——荀子

信息安全不是独立于业务目标的“学术孤岛”,谈到对组织成功的重要性,虽然信息安全不如加强产品研发和拓展新兴市场那么“经世致用”,但是也绝对不可或缺,在特殊的行业和关键的领域,甚至是决定成败的核心竞争力。

在这些特殊的行业和关键的领域里,信息安全不仅表现为业务成功的“保障”角色,更是取得持续胜利的“推进器”,甚至是创新战略的“使能者”。不过,每家公司都有自身独特的愿景、使命、目标和战略,公司治理成为保障成功的关键,信息安全的源头便源自于此。当然,信息安全在不同公司中的地位和价值可以从此窥见一斑,然而,担负公司治理重任的高管们可能并不是那么的“学究”,他们对信息安全与商业成功之间的必然关联和重要性认识可能并不足够,这就需要专业的信息安全专业人员来提供智囊支持。

尽管多数公司并没有明确的信息安全组织架构和信息安全总监职位,但是多少都有相关的团队和人员来担当必要的职责,只是有可能没有做那么清晰的部门设置和职位定义,这主要和高层领导的认知及意愿有关。

信息安全管理亦是采用至上而下的方法,如果公司高层领导对信息安全的认知不够,例如只认为信息安全是防范电脑病毒,让网络不受ARP攻击而罢工,那就很难指望公司的信息安全管理体系能够充分保障业务数据的安全。所以说,领导层首先要树立正确的信息安全观念,并且做好示范表率作用,这里面包含建立健全信息安全相关方针政策和工作流程,以及在公司范围内实施安全教育、培训和意识提升计划。

建立安全方针政策、规章制度和工作流程实际上并不像人们常讲的“拷贝些模板”的事儿,除非只是想做一些纸面的工作而不想让这些落到实处。设立安全方针政策和规章制度是为了确保员工们在工作中应用正确的信息安全理念,所以它们之间是紧密联系的。要结合工作实际情况制定规章制度和工作流程,就需要让中层领导仒和一线的员工充分参与,这当然少不了信息安全相关的沟通和协调工作。而要进行有效的信息安全沟通和协调,最重要的是进行信息安全意识相关的教育培训。

不仅仅诸如信息安全管理委员会之类的安全团队内部需要进行沟通和协调,与最终用户如全体员工及相关外来人员之间也需要沟通协调,就比如一个与访客接待相关的安全流程,就需要得到多方的理解和支持才能有效运作。

信息安全意识教育培训并非宣读一番相关的安全制度和流程,我们不仅需要让最终用户“理解”信息安全,更要让他们“认同”信息安全,要向最终用户展示正确的安全理念和行为,可以利用模拟的场景,可以分析实际的案例。

当最终用户充分“理解”了信息安全之后,便需要他们付诸实际行动来证明他们“认同”正确的信息安全理念,这就达到了我们的最终目标——获得最终用户的安全行为,通过适当的安全工作流程来保障信息安全方针政策的落实实施。

让最终用户“理解”信息安全不难,让最终用户“认同”信息安全不易,昆明亭长朗然科技有限公司的信息安全意识培训顾问Alice Wong说:想取得“知行合一”的良效,除了采用高质量的饱含模拟场景和真实案例的信息安全意识教程之外,也不能忽视安全行为激励机制。人性多是趋利避害的,Alice建议公司拿出少量信息安全资源当作激励员工们正确安全行为的“安全奖金”,同时对容易造成安全事故的不当行为进行适当处罚,并且不断地通过教育培训来刷新人们的安全认知。日积月累,信息安全意识便深入脑海,安全的行为便逐渐形成。

security-awareness-and-behavior