各类组织机构如公司为了保护信息资产的安全，需要设计开发适当的信息安全策略（也称方针或政策），更重要的是需要将信息安全策略发布给所有员工，甚至客户以及合作伙伴。

设计开发信息安全策略仿佛很简单，国际上有成熟的标准体系、行业里也有相关的安全法规，也有些模板可以供参考和拿来进行修改，说到底，信息安全策略常常被各类组织信息中心负责人看作是繁杂的文书工作，便简单委派给文秘相关的人员。

实际上，信息安全策略远不是能交给部门秘书或文笔较好的职员能充分胜任的，最重要的原因是安全策略的制定不能脱离公司的业务环境。昆明亭长朗然科技有限公司的安全管理顾问Bob Xue说：多数国内组织机构的信息安全管理仍然很依赖“人治”的混沌水平，主要原因是领导和下属们的文档意识并不够，这和跨国公司依赖规章流程来进行信息安全管理有很大的差距。

为了应付各类信息安全管理相关的检查和审计，多数组织不得不炮制出许多临时的“信息安全手册”，包括诸如安全策略、标准、流程等等，甚至有制作出相关的“记录”和“证据”，更有下大力气召开信息安全动员会，领导挂帅发动信息安全突击项目……

多数的结果是：运动战式的信息安全突击项目往往都是短视行为，一阵风过后，领导又要忙于其它项目，似乎并也不那么在意信息安全了，下属员工们在安全自律方面也松懈了……

问题在哪里呢？亭长朗然公司的Bob说：大量的安全管理文件都是公司内部的少数人员依据标准体系或法规遵循而“闭门造车”出来的，这显然脱离实际的工作环境，容易造成“曲高和寡”，不能被多数员工们所理解。目前只有极少数的公司信息安全负责人拥有安全管理方面的智慧，他们往往会将信息安全相关的文件体系分级委派给各个不同层级的部门和岗位，由这些部门的领导主管和信息安全协调人员们根据部门和岗位的实际情况撰写适合自身的“信息安全作业流程”。

当然，信息安全负责人可能需要出台在整个公司范围内所通用的安全方针政策和标准流程，但是更多的工作却是培训和指导各部门的领导主管和信息安全协调员，要让他们了解信息安全管理的基础智能和理念，以及提供必要的安全技能培训，让他们有能力撰写出合格的“信息安全作业流程”。

在撰写“信息安全作业流程”时也有一个误区，有公司信息安全流程负责人可能会拿出固定的模板，让各部门协调人员照样子搬抄，这是偷懒、不专业也不负责的做法。的确，整个公司范围内的“信息安全作业流程”应该遵循一些标准，比如至少要有作业流程的目标、流程中人员的职责、相关的信息输入和输出、必要的流程控制点和流程本身的所有者和维护信息等等。这些都是必要的，然而，这些并不是沟通和培训的关键。

那么关键的问题何在呢？亭长朗然公司Bob说：至关重要的是要让各部门领导和信息安全协调人员了解如何真正让信息安全作业流程发挥必要的安全控管目标，比如要让真正需要得到保护和控制的信息资产被识别出来，要知晓人员如何与信息及系统进行互动。

要了解人员与信息及系统之间的互动至关重要，因为工作流程要这些信息及系统的使用者们来执行，安全作业流程同样也要让他们来遵循。

在完成了适当的信息安全管理文件体系“信息安全手册”的建设之后，重要的不是搜集执行的结果——“记录”或“证据”，因为执行信息安全作业流程的主体是人员，而不是系统，所以重要的是加强与信息安全作业流程的使用者之间的沟通。

沟通的目的当然不仅仅是让信息安全作业流程得以顺利遵照执行，还有一个目标是强化信息安全策略的效力。沟通是双向的，但受众主要是信息安全作业流程的使用者，这里面可能并不限于公司内部员工。沟通的手段无非是培训和再培训，普遍性的安全方针政策和标准流程培训可以在全公司范围内实施，由信息安全管理领导负责人来牵头进行全员信息安全意识教育比较好；关于各特定部门和岗位的独特性培训，则需由信息安全负责人与各部门领导及安全协调人员进行磋商，以便合理分配和有效利用安全培训资源。

借助对信息安全管理的深刻理解和认识，信息安全意识教育业界领导厂商昆明亭长朗然科技有限公司不仅提供普遍性的信息安全意识培训课程，更能针对每家客户的独特性而量身定制安全意识沟通课程，这些无疑能够帮助客户强化信息安全方针政策和作业流程的有效执行。

如果您有兴趣了解更多内容，欢迎联系我们获取更多详情。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

网络安全事件带来的痛苦何时才能结束呀？当您一次一次从网络环境中赶走黑客或清除掉内部威胁时，您会发现，这是一件永远没有终点的战斗。原因其实很简单，网络攻击永远不会结束，黑客和内部威胁可能会随时重新开始。不过也正是因为如此，网络安全组织和人员才有其长期存在的客观必要。

很多数组织都认为，当黑客入侵您的网络时，就会开始有数据泄露事件。但是实际上很久以前数据泄露就已经开始了，其中包括糟糕的安全行为习惯、错误的安全配置、对安全隐患的轻视、少得可怜的安全预算、以及对旧设备的依赖或没及时安装安全补丁等等。

网络安全事件发发生不见得是一件坏事，因为它会唤醒人们对安全的重视，并且是实实在在的安全意识学习。当发生安全事故后，相关人员都对信息安全感兴趣一段时间，这有助于人们吸取教训，找出安全弱点并采取补救行动。

不过，并非所有机构能真的获救，很多组织遭遇安全事故后，虽然能够及时恢复，但是经常不知道问题是如何发生的，邀请的网络安全渗透测试专家团队也给不出使人信服的答案。对此，昆明亭长朗然科技有限公司网络安全顾问董志军表示：技术人员喜欢孤立、片面地看安全事件本身，而不进行综合、全面的考虑，这固然是受职位的限制，更多的情况是对安全事件起因的不了解。网络安全攻击事件有一个完整的生命周期，虽然并非偶然的，但是也需要多种必要条件，比如该修复的安全补丁没有及时安装、该强化的安全配置却没有进行、错误的将配置文件放置于公开地点、通过网络或社交媒体发布了本该保密的信息……

在遭受例如品牌损毁、信誉丧失，以及销售放缓、客户流失的恶果之后，现在，安全团队知道必须将时间花在安全更新和部署新技术上，可能会要求资金不足的团队在六个月内执行一项为期三年的安全计划，当然欲速则不达，这通常是不可能的任务。

有效的网络安全植根于强大的组织文化，它重视一致且专注的安全实践和行动能力，治其表不难，难在治其本。要使网络安全战略发挥作用，需要制定全面的安全计划，包括技术上的安全控制措施，更需要管理安全以及人员安全。

当来自外部的黑客、病毒等无法利用网络层面的技术漏洞入侵时，便会开始利用管理与人员的漏洞。因此，安全预算不能仅仅花在购买新设备上，更需要考虑提升管理层以及全员的信息安全与保密意识。这不是技术问题，却是很严重的问题。不是花钱请技术高超的人员就能轻易解决的，需要时间来让人们在安全方面不再自大自满、充满警惕，更需要时间让人们摈弃不良的不安全的旧习惯，逐渐适应新的安全要求和提升对安全威胁的敏感度。

我总是和网络安全负责人员说，处理掉一起安全事故，不是结束，而是另一个新的开始。我们应该考虑，如何防止另一起安全事件再发呢？借机建立和提升信息安全管理体系，将信息安全纳为优先事项，投入必要的资金和资源，不仅仅是直接用于安全和保密的资源，不仅仅是为了满足合规的要求，更需要实际行动，比如强化网络安全管理组织，设立信息安全工作改进计划，制定网络安全可量化的指标，设置人员安全绩效考核，定期进行安全管理沟通等等。

建立信息安全意识计划往往是第一步行动，即如果没有完好科学的安全认知，就无法拥有良好的信息安全。如果没有良好的安全决策，就无法保护自己的组织。安全意识计划包括管理层和员工层。

管理层可以不懂具体的技术实现，但是如果没有基本的安全管理理念，不晓得安全原理，那可能迷失方向，瞎指挥的同时又怪下属们能力不足、工作不力，同时对如何管理风险的信念也是如此。

员工们如果没有基本的计算设备安全、信息数据安全保护理念，他们会随便使用计算机设备，主动引入病毒并成为黑客的带路人，甚至还会主动向外界泄露机密信息。

使安全成为整个组织的习惯和心态，从高管到组织的每个层面。这需要时间培育，需要资源配置，需要制度配合，需要管理加强，更需要意识培训。

最后，即使您今天没有安全预算，也要将所有这些内容纳入为期三年的安全计划。包括制定好信息安全管理策略、必要的安全规章制度，有效的安全沟通计划等等。在保护组织的品牌、销售和客户忠诚度方面，信息安全扮演着越来越重要的角色，这些都源于组织上下对信息安全的重视态度和认知能力。

网络安全是一起永无止境的战争，网络犯罪分子越来越狡猾，他们转向组织的脆弱点——缺乏安全意识的高管和员工，利用他们，搞一搞社工诈骗和网络钓鱼，比苦心研究网络系统的技术弱点要容易的多。因此，要想赢，就得做好打长期战争的准备，更要认识到这并非军人对入侵者的战争，而是一场发动全员的人民战争，并非信息安全团队对黑客和病毒的技术战争，而是全体职员对各类安全威胁的全线网络安全战争。

要记得未来的网络安全战争，我们必须要建立全面的网络安全防线，昆明亭长朗然科技有限公司推出了安全前线，旨在帮助各类型的组织机构构建强大的人员安全防线。我们的方法是强化对全员的安全意识教育，包括在线学习、安全测试等等，我们提供大量的课程素材资源，包括动画视频、互动游戏、电子课件、宣传图片等等，欢迎有兴趣和需要的客户联系我们，洽谈业务合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898