小议企业级信息安全管理

回顾历史,展望未来,通过以往安全事故的经验教训,获得充分的安全管理智慧,结合不断演进的商业环境和安全态势,方能做到未雨绸缪,防患于未然。在过去的数年里,黑客们肆无忌惮地入侵大型跨国公司,信息安全界齐力应对。昆明亭长朗然科技有限公司安全顾问董志军说:随着时间的推移,我们相信:在任何时候这些坏家伙们不会轻易罢休,只会变本加厉地疯狂反扑。正义的人们当然需要采用更为领先的战略方法来应对窃贼和坏蛋黑客们的恶行。

每年都会曝光几起恶性系统安全漏洞,这些漏洞存在之久,分布之广,不仅让漏洞挖掘和补丁修复人员大为吃惊。未被人们发现的、被发现了却未被公布和修复的安全漏洞到底还有多少?说到这个老话题,企业信息安全管理人员简单两眼一抹黑啊。

的确,知己知彼,方能百战不殆。谈到未知的安全威胁,似乎只能徒增恐惧。但是信息安全管理人员不能简单地束手无策或乖乖就犯。其实,我们只要想一想,在漏洞被发现并公布,但是补丁尚未发布或补丁不够稳定时的临时补救措施,便能从中获取应对未知安全漏洞的智慧灵感和管理方法。

信息安全管理,在信息时代,其实从深层次来讲,就是企业经营风险管理的关键部分,积极向上的管理者们会认为做好企业信息安全管理是一件好事情。通常,信息安全工作难以有效开展,关键原因在于对它的投入是一项无形开支,这种投入能够带来的成绩难以有效测定。说到底,投资信息安全,就像买意外保险,即使侥幸不投入,时常也能平安无险。在这种心态下,在追求效益最大化的目标及压力之下,高管们可能就会觉得花这些钱不值得。

直到严重的企业安全事故来临,造成巨额损失时,人们才会开始反思如何在经营效益与安全投入之间寻求合适的平衡点,人们才会开始痛批那些因临时的业绩而忽视长远安全风险控管的目光短浅行为。昆明亭长朗然公司董志军说:我们应该吸取教训,因为在大型的安全事故面前,所有的企业都伤不起啊。

说到平衡点,做系统安全,要有一个基线;做企业安全,需要一个底线,不断提升业绩并不为错,但是扩张太快速,将信息安全视为前进的阻碍力量而避开,无疑会衍生出大量不必要的商业风险。当不再有信息安全底线的时候,积聚的安全弱点越来越多,终究会像火药桶一样爆发——辛苦多年的扩张努力,旦夕之间换来的是血淋淋的剧痛教训。只有信息安全嵌入业务流程,风险管理并进扩张轨道,风险意识形成常规文化,企业才有资格谈论业务持续、基业永青等话题。

现在国家层面在调整经济经济,对每家企业来讲,要适应新形势的变化。一方面,企业将不能再依靠资源消耗和人力红利来保持增长,而要积极通过自主科技创新来提升核心竞争力,这就需要要保护好知识产权、商业秘密和信息安全;另一方面,在新形式下,互联网对企业的经营管理影响越来越大,信息的流动速度会越来越快,信息的分布面也越来越广,信息的渗透力度也越来越强。在这种大背景下,信息安全管理无疑也要紧紧跟随,进行必要的理念和方法的创新。

在拼命扩充产能的年代,信息系统的边界很明显,通过强化企业网络边界的安全管理,可以将大量外部安全威胁加以屏蔽和过滤。在结构调整,服务业比重不断提升的年代,信息系统的边界变得越来越模糊,信息安全管理工作重点要由边界安全转向在线应用的安全,以及终端用户的安全。

在经历几十年的国内业务高速增长之后,很多企业将眼光投身海外,可是在面对复杂的海外政治经济地缘环境时,忽视风险心存侥幸,生搬硬套国内经验,缺乏应急响应机制,一旦风向变幻,便束手无策,让到口的肥肉白白丢掉,甚至让长年的投入打了水漂。在海外投资做企业,信息安全管理方面无疑也要入乡随俗,要考量的差异主要有两点:一、监管法规的不同,别想当然地以为海外发展中国家在信息安全法规建设方面就要落后于中国,国内重关系,海外重合约,满足了中国的“严格”要求也不一定能满足当地的要求。二、行业实践的不同,即使行业变化不大,当身份变成了外企之后,商业实践也随之变化,了解并积极学习当地同行业者在安全管理方面的最佳实践作法,在安全管理方面也用好“后发优势”,是防范海外安全风险的最便捷最有效之路。

对进行全球扩张的大型企业来说,在新兴国家投资时,要建立完备的网络信息系统,在成本和时间上往往都耗不起,关键设备的进口和调试都可能耗费数月,无疑会让企业错失竞争良机,而使用云端服务,在成本得到降低的同时,大幅提升效率。而试水海外的创新型中小企业,无疑最重要的是控制风险,租用云计算来测试市场,可以降低初期投入成本,不管未来的市场反应好坏,都可以随时弹性地进行撤退或扩充的调节。这种“云计算”的转变将带动安全管理思维方式的转变,从国内采购安全系统再出口到新兴国家的想法显然是落后了很多。

如同勤劳智慧的中国人民一样,中国的企业不缺乏奋进拼搏的精神,也不缺乏超级销售、策划高手和经营人才,我们缺乏的是踏实精准做事的原则,我们缺乏的是建立行之有效的制度体系,我们缺乏的是有激情、不随从、敢直谏的企业信息安全管理人员。

各位企业高管们、各位企业安全管理者代表,各位安全管理负责人,要善待企业信息安全管理人员啊!他们可能不懂如何取悦上司和同事,他们的言辞可能有些生硬和夸张,他们的话语可能有些尖锐和呱噪,但是,切记:忠言逆耳利于行。他们为了专业精神,尚能保持一份尊严,就请多满足他们的预算需求,多让他们参与到业务扩张决策以及风险控管实践中吧!

如果贵司内部存在有激情、不随从、敢直谏的企业信息安全管理人员,那无疑是企业之福,是董事会之福,是老板之福,请珍惜这份缘分吧!

同时,对于企业信息安全专业人员,不管在组织内的头衔是什么,大到安全总监小到安全专员,都应该加强对业务知识的学习和理解。因为只有从业务安全和商业风险控制的角度出发,才是真正的信息安全管理,也才能让安全专业知识发挥出更大的企业价值,否则只能停留在较低的技术层面,没有了“经世济用”,个人专业的安全知识和才华充其量只能算是兴趣爱好。

不过,要让企业认同和接受安全专业人员的建议并不容易。安全人员要学会使用业务的语言来阐述信息安全风险以及防范之道,多问一问自己:“我该如何讲,才能让为些业务管理人员们理解和认同呢?”故弄玄虚的专业词汇和高深莫测的新概念,可能只会换来学究气浓和华而不实的印象。在风险应对的策略探讨方面,安全人员切记不要急于在建议中展示某种安全控管措施如特定厂商的技术或产品,因为业务管理层虽然不懂安全技术,但是却更清楚业务安全风险的根源所在,也知道同一个问题会有多种不同的解决方案。

安全专业人员在与各业务单元的管理层建立了初步的关系并学会使用业务听得懂的语言之后,最重要的就是使用科学的方法来探讨业务安全风险控管之道,不管是转移、降低还是消除风险。很多企业的信息资源,比如设备和软件都没个资产清单和准确数目,在面临一些安全事件后,即使实施了准入控制、上网行为管理或数据防泄漏系统,那也是本末倒置,治标不治本。

企业安全管理工作的内涵和外延都在不断演变,远不止是防范病毒和蠕虫的技术范畴,而变成一种效率与安全、投入与风险之间的平衡。拨乱致治,天地交泰,要想基业常青,做好企业安全管理,最重要的是破除沟通障碍,建立良性交互管道。

昆明亭长朗然科技有限公司推出了多个信息安全教程,包括针对海外风险与差旅安全的国内领先课件,以及针对企业信息安全管理者的快速课程,欢迎联系我们在线体验。

enterprise-it-safety-management

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

信息安全保护措施一览

不管是从信息技术还是财务审计的角度看,各种资产都需要受到保护,不管是实体的和数字的,以免受到内部和外部的威胁。有趣的是,无论组织尝试保护哪种资产,保护它们的方法都非常相似。因为我们生活在一个物理世界之中,所以所有的东西,甚至连上数据,都将在物理层面以其最基本的形式存在。对此,昆明亭长朗然科技有限公司信息安全培训专员董志军补充说:人力资源记录、工程设计图、客户服务说明、生产方法和制程等等也都存在于物理领域。因此,要保护好组织的关键资产,重要的是要实施必要的安全保护措施,这些措施包括:技术防护措施、物理防护措施和人员防护措施。

安全保护措施的类型

  • 技术措施是指旨在为组织网络中包含的数据提供数字保护的硬件或软件措施。如防火墙、黑客入侵侦测、加密算法、防病毒程序等均被视为技术保护措施。
  • 物理措施是指设计和实施的屏障和监视设备,它们可以用来可防止对保存组织数据的物理网络设备造成直接的物理伤害。如栅栏、门禁、安全摄像机、备用系统、安全警卫等均被视为物理保护措施。
  • 人员措施是指旨在指导组织中所有人员的政策和程序,人员包括从高级管理人员到最终用户的员工。如输入、管理和保护所有关键数据的信息的正确的计算机和网络操作。

技术保护措施

保护网络和数据的手段首先是技术保护措施。让我们看看常见的技术保护措施,包括直接处理数字数据传输的措施,例如数字防火墙、网络入侵检测系统、防病毒程序、网络流量嗅探器、渗透测试、备份媒体、加密措施、电子取证软件以及无线加密等等,这些都是组织可以实施的一些措施。这些都是必要的,不过如果没有相应的物理保护措施和人员保护措施,也是不够的。

一些信息技术专业人员非常擅长确保其网络具有最新的技术保护措施。这些技术人员以很少有病毒成功入侵网络而感到自豪,并且是网络安全方面的专家。这些信息技术专业人员定期安装安全补丁,并不断监视网络,网络上的任何活动都逃不出他们的掌握。

尽管这些信息技术专业人员擅长保护数字数据不受潜在网络犯罪分子的侵害,但有时缺乏实际的物理安全性。缺乏物理和人员安全性的问题不容忽视,甚至有时由信息技术人员完成的数字式堡垒只能起到提供安全性的幻象作用,而实际上网络很容易受到内部威胁的攻击。

物理防护措施

当我们突破仅仅是1和0的存储数据限制之时,很快就会认识到所有数据都是以物理形式存在的。这些1和0都存储在物理硬盘驱动器上,需要对其进行物理保护,以免受外部和内部攻击。组织的敏感记录必须保存在数据库中,该数据库通常位于物理服务器机房中。安全的机房、通风、灭火系统、结实的门锁是正确保护组织服务器的一些基本要求。如果没有适当的物理安全措施来阻止未经授权的人员访问服务器机房,那么服务器硬盘驱动器上包含的数据库就会轻易曝光于大庭广众之下。其它物理设备如计算机、路由器、显示器和网络基础架构的部分也是如此。不管在网络网关处安装的防火墙有多好,如果计算机的磁盘驱动器没有受到物理保护,则未经授权的用户可以轻松地从网关内部将恶意软件直接上传到其他计算机上,其中的所有数据都会受到威胁。

人员保护措施

人员保护措施可以应对组织网络、最终用户和计算机所面临的最大风险。无论是由于能力不足、培训不足、意外的错误还是故意的作恶,最终用户都在他们工作的网络上施加着惊人的力量。通过设计和实施良好的策略,可以减轻、管理、转移最终用户所构成的许多威胁,并且在某些情况下可以完全消除这些威胁。

雇用人员并允许其访问组织的网络始终存在一定程度的风险。接受这种风险是开展业务的一部分,但是,管理人员可以通过要求雇员完成全面的岗前流程来减轻这种风险。此过程应包括几个项目,以提高成功缓解与人员相关的风险的机会。首先,面试应包括一项技能评估测试,以确保新聘员工至少掌握了就业所需的最低技能。此外,如果员工已达到最低技能要求,则可以放心地假设自己将能够学习更多知识,并且按照工作要求进行的进一步培训也不会白费。

除了进行技能测试外,对于可能接触计算机的所有人员,进行背景检查都是一项不错的措施。对于所有将来会处理资金、健康记录或客户信用卡信息的员工,应将背景调查视为绝对必要。有许多公司专门提供低成本的背景检查并可提供即时的结果,因此在决定实施招聘过程的步骤时,可以考虑外包给他们。

招聘中经常被遗忘和忽视的另一个方面是对相关资料的检查。如果新员工列出了推荐人,请给他们打电话。如果未提供推荐人,请至少提供三个参考,然后联系他们进行检查。如果在被要求时不提供推荐人,请不要雇用该人员。不要后悔没有雇用到一名“感觉良好”的人,相反,当雇用某人之后才发现他严重危害了组织的安全,那才是真的悔之莫及。通过彻底审核新进员工可以避免许多安全问题,因此,无论在组织中做出安全选择之前,请必须确保严格认真地遵守这些要求。

管理与人员相关的风险还包括适当的安全培训、对流程进行持续审查以及对安全系统进行定期的审核。一旦对新进员工进行了适当的审查,作为组织的新手,下一步就是对其进行培训。培训不仅应包括如何执行工作要求,还应包括对组织的安全策略的全面普及。在适当的地方,应该讨论安全性并将其融入员工工作的各个方面。

转移与人员相关的风险管理风险的一种选择是转移到另一个实体。这种风险转移通常有两种方式:要么将对关键流程的授权和责任交给另一个实体,要么购买了保险。例如,专门从事客户服务的第三方公司可以处理来自客户的来电和问题。可以聘请人力资源顾问来处理公司的许多人力资源问题,例如会计公司可以为公司财务提供财务上负责且符合安全要求的处理方式。制造公司雇用第三方供应商来构建产品的组件和子组件,以降低管理费用,同时还能少雇佣一些员工,避免人员直接与公司网络系统进行交互带来的安全风险。

开除对组织及其资产安全构成特定威胁的员工是消除单一威胁的一种方法。但是,由于人员是动态的,因此应对与人员相关风险的要求时刻都在变化,切记我们永远无法完全消除人员风险。

在建立信息安全政策和程序时,请仔细考虑所概述的措施在日常实践中是否可行。因为人们总是会找到规避规则的方法,他们认识那些规则影响了有效地完成工作。对此,董志军说:组织需要改善信息安全意识教育,使员工们不仅知道他们应该做什么,而且知道他们为什么要这样做以及不遵守规则的后果。

通过与众不同的信息安全意识计划与活动,让员工们不会陷入安全政策和程序根本不适用于他们的困境,进而让员工们更容易记住并遵守适用于其工作职能的安全规则。那些安全规则建立了预期的和可接受的组织资产使用和保护行为。此外,由于书面的指导难以涵盖所有的偶然性,因此用户还必须在日常工作中进行安全决策时,使用合理的判断和最高的道德标准。昆明亭长朗然科技有限公司专注于信息安全管理体系中人员保护措施的研究,我们通过帮助客户向员工们提供安全意识培训,来降低人为因素带来的信息安全风险。欢迎就这一话题联系我们,也欢迎有员工信息安全意识相关教育培训的机构联系我们,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898