组织应该教育员工小心防范身份窃贼

昆明亭长朗然科技有限公司的一项在线安全调查表明:在移动应用和云计算越来越普及的时代,普通消费用户最担心的是个人网络身份被窃贼盗用。

亭长朗然公司的安全培训顾问James Dong说:“每天,人们都会使用在线银行、网购、电子邮件和社交网络服务等等,这些网络应用使用到私人信息如帐户和密码,我们会需要像对待个人重要财产一样来对待私人信息,因为它们面临着失窃和被滥用的安全风险。”

而互联网的传播速度让大型组织机构花费大量人力物力进行网络舆情监测及响应,相对于力量薄弱的个人用户来讲,私人信息一旦失窃,几乎无挽回的可能。

针对各类型的组织而言,和商业信誉密切相关的互联网舆情的确需要得到监测和响应。同时,也需注意监测和响应通常比较被动,不如主动防范、控制敏感信息出现在互联网的源头更为有效。

而组织敏感信息得以出现在互联网的主要源头无非是员工有意或无意间泄漏、或受到外界渗透攻击。典型的利用社交工程进行信息套取的方式最为流行,冒充权威机关、潜在客户或媒体打电话询问敏感信息是常用的伎俩,这些都需要组织加强对员工进行安全意识教育来进行有效的识别和防范。

其中需要加强注意的是网络犯罪分子窃取员工身份的事件越来越多,大型的互联网站点不断爆出用户密码外泄案件,技艺高明的黑客往往会利用它们来尝试登录其它在线系统,而且成功率往往不低。

所以组织应该加强防身份盗窃的第一招便是:在不同的网站使用不同的密码,至少将工作用系统的密码和私人事务的互联网应用密码设置为不同。这样即使某一个系统的密码被窃取,窃贼不会轻易进入到其它的系统。

其次,组织应该教育员工注意和识别不安全的互联网应用,简单讲,多数未使用https通讯协议的网站对登录名和密码都未进行必要的通讯加密,通过这些网络应用进行登录时很容易被攻击者冒充成“中间人”窃取帐户和密码。

再次,要讲的是密码的强度,简单的密码很容易被不怀好意的犯罪分子猜测到,而多数员工又不容易记住无规律的高复杂度的密码,记录下来这些密码到小本子或电脑文件中可能更危险,所以组织应该教育员工如何创建和使用不易被猜测和暴力破解的,但又足够长且容易记忆的密码。

还有,切记要告知员工保护身份和密码的安全,通常组织的领导和IT部门不会向员工索要密码,员工也不能向他人分享个人的密码或其它可以证明个人虚拟身份或权限的设备,这些设备包括但并不限于门禁卡、钥匙、安全证书、登录令牌等等。

最后,是教育员工在遇到怀疑帐户失窃、怀疑遭遇社交工程攻击之时,应该如何快速采取正确的行动来降低可能带来的损失,通常包含立即报告安全事件给组织的安全响应部门,如果涉及组织外部比如信用卡信息失窃,需及时联系相关服务商以及立马报警等等。

云计算和移动互联网时代,各类组织机构的重要信息数据的分布越来越分散,有效防范身份窃贼,除了对员工进行必要的身份保护相关的安全意识教育培训之外,也需要提醒员工注意基本的安全最佳实践,比如应对黑客发布的击键记录器、内部不良员工的密码偷窥行为和电脑盗用行为等等,需要提醒员工保持防病毒软件、个人防火墙、防垃圾系统等等的更新,并且注意基本的桌面安全保护如输入密码时注意周边环境、在离开位置时锁定电脑屏幕等等。

冰冻三尺,非一日之功,良好的安全习惯也不能速速养成,除了定期的安全意识培训之外,组织还应该定期进行检查和监控,才能使员工对安全的认识变成正确的安全行为,日久天长便会逐渐成为组织的企业安全文化不可分割的关键组成部分。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

积极策划开展“安全意识进企业”系列活动

今天的多数组织机构特别是信赖互联网系统和信息数据进行商业交易的公司企业,无疑得花费大功夫来保障信息资产的安全,进而确保客户及合作伙伴的信任,以及保护组织的品牌信誉。

近日发生的一起事件颇值得玩味,国航网站系统短时故障,造成部分旅客以零元票价购得国际航线机票,随后被告知出票失败,实际上多数国内的电商都会有相关的法律声明,为自己的过错找“耍赖”的机会。可悲的是多数电商就停留在“耍赖”的层面,甚至反诬消费者故意钻空子,最终让顾客感觉没占到便宜,反倒很受伤,消费者浪费了宝贵的感情和时间,换来的自然是对电商服务的不满和唾弃。而垄断行业之外的激烈竞争让部分电商开始反思客户忠诚度、客户满意度与客户回头率之间的关联,他们开始真正关心顾客。

好的消息是国航在几天之后重发微博,称其注重诚信,将承担相应损失,即零元机票有效。我们不得不赞叹国航不仅是策划和营销高手,更是安全管理方面的专家。虽说在短期之内,就此事件本身结局而言,国航可能亏了,不过将重重危机转变为成功营销无疑将为其带来长远的客源。

说到安全管理方面,尽管网站可能有法律声明,比如有权判定由于系统的故障造成的恶意购票无效,可是仍然会面临部分旅客和媒体的声讨,被骂不守信甚至被诉诸法律。先不管被诉诸法律之后输赢,商业公司不守契约则将给带来的是比法规遵循更严重的商业运营风险。

而在信息安全管理方面,出现这种事故,显然是信息系统缺乏数据校验的结果,信息安全从业人员通常都知道安全三要素之一是Integrity,即“真实性”、“完整性”,如果数据的真实性出现问题,或受到严重的挑战,则表明信息安全方面的改进空间很大。

为保障信息安全,我们会部署各类安全系统、比如安全控管技术以及作业流程,同时,一些业务部门、安全和信息技术的经理们也会想到要保证每位员工了解到他们在保护组织信息资产方面的安全职责。归根结底,以国航为代表的多数大型企业目前最缺乏的是让员工们了解到自己的安全职责,只有当他们接受了足够的安全意识培训之后,才可能认识到安全的基本原理和重要性,才可能在工作中注意保证数据的“真实性”和“完整性”。

如果您觉得我们上述关于国航零元机票事件和信息安全管理的关联比较牵强,那就说明您的确需要加强信息安全意识方面的学习,我们不仅为您着想,更为您所服务的企业。请想想,如果负责国航在线票务信息系统的IT经理、管理员或客服人员稍有些保障数据安全“真实性”或“完整性”的常识,肯定会对员工进行适当的安全技术和流程培训,对零元这种异常的不合理的机票报价进行结果校验、过滤筛选以及报错处理。在银行业,对巨额的交易往往会有专职的交易控制人员来进行人工审核,审核通过之后才会进入下一步流程,当然,银行业的部分安全管理方法和手段虽然值得学习,但是从最近的“中国黄金第一案”事件处理结果看,银行的部分客户服务姿态和做法很令大众所不齿,加之巨额的垄断利润,容易让人们质疑银行的社会责任感,银行自身的安全漏洞却让客户负责,更是让银行界的信息系统安全管理团队和信息安全服务公司为此白白蒙羞。

关于系统安全漏洞方面,我们得理解国内企业的信息安全团队和管理人员,毕竟大的环境是客户的安全意识不足,法律法规对安全的要求也比较低,所以多数系统设计和开发人员并不会在保障安全方面追求极致,加之项目进度的追赶,通常整合以及实施一些安全技术措施便拿来上线,以期能抵御多数安全攻击和意外事故。然而在消费者开始觉醒,越来越精明甚至刁蛮的时候,他们中的技术黑客对安全漏洞越来越着迷的时候,企业无疑应该打破常规走出新路,及时更新员工们的安全意识,至少要让员工们的安全意识认知走在消费者的前面。

好的消息是昆明亭长朗然科技有限公司所接触的几乎所有银行业信息安全负责人都表示:如果遭遇此类由于系统安全漏洞而造成的巨额损失事故,愿意承担责任。从这些简单的安全承诺中,我们看到了信息安全领袖们的专业敬业精神和职业化魄力,这让我们很感动,也让我们更加坚信信息安全产业必将拥有光明的未来。不过我们更坚信科学,安全事故的发生不可能百分百杜绝,除非人人都能重视信息安全,都能了解到自己的安全职责,以及基本的和完成工作所必要的安全常识。

信息系统的漏洞可以找专业的漏洞检测和挖掘人员帮忙,业务流程中的漏洞可以通过加强权限管理等方式来处理,但是人们脆弱的安全意识才是信息安全管理中最大的漏洞,这无疑需要通过加强安全意识教育来弥补。

“对员工进行培训是取得安全成功的最好投资,安全培训不是对员工进行恐吓、警告或告警,而是帮助和成就员工,通过必要的沟通管道,向员工输送安全知识、理念、责任和信心。只有在安全方面帮助和成就了员工的企业,才能获得员工在安全工作方面的回馈。”亭长朗然公司的培训讲师Alice Wong如是说。

据悉,昆明亭长朗然科技有限公司将在未来数年,携手全球多家合作伙伴,攻城略地,上山下乡,广泛开展“安全意识进企业”系列活动,欢迎各有意向的最终企业或合作伙伴与我们联系