从安全事件谈无国界的网络与有差异的文化

每天都有着大量不为人知的网络安全及信息泄露事故发生,其中不少都和我们有着切身的关系。这些安全事件或许就发生在拥有我们个人信息的互联网服务商,或许就在我们工作、学习或生活的单位以及与之有千丝万缕关联的组织机构。

通过媒体,我们经常看到美国的大公司如Google、Apple、Microsoft、Facebook、Amazon等时不时便会遭遇数据泄露的报道,还有那些跨国公司、外国政府机构、医院和大学等等也经常被黑客入侵。但反观国内的机构如阿里、腾讯、京东、新浪、网易遭遇数据泄露的情况就少得多,国内政府机构和企业、医院及大学似乎就是“无坚不摧”的。这种情况明显是值得怀疑的,因为美国发明了互联网,也是全球的领导,其在互联网安全防范技术和制度管理等方面都要领先于我国。

值得怀疑的东西就有其可深究的原因,对此,昆明亭长朗然科技有限公司网络安全分析员董志军表示:虽然说被网络黑客等不法分子入侵或者内部人员有意无意泄露数据的“丑事儿”当然不易公开,这在中西方都不例外,但是这里面也还有很多地缘政治文化引起的差异。我们相信不管在美国还是在中国,被公开的黑客入侵事件或数据泄露事故都只是冰山一角,绝大部分都被私下悄悄地解决了,媒体和大众甚至用户永远都不知晓。

那么差异在哪儿呢?引起差异的根本原因是什么?我认为在安全事件发生后的应对措施方面,并不是说扑救的方式有什么异同,而是对受事件影响的人员的告知和安抚,西方人会觉得有必要及时通知到用户,一是对其知情权利的尊重,另一方面需要用户的配合动作,以减轻进一步的损失。中国人,甚至东亚人则想的是一方面该如何避免给用户造成困扰和不便,最好还是不要让用户知晓,另一方面也想帮助用户处理后续的麻烦,不愿被用户误解进而导致恐慌行动和混乱局面,最好的方式就是悄悄处理。

相比起来,您会发现西方人的处理方式比较“开放”,而东方人则比较“保守”,这就是文化差异的根源。说到中国,有人喜欢扯到苏维埃共产主义极权统治的一个传统做法是控制新闻舆论,故意不要民众开化。我不知道苏俄的情况,但在中国,这明明是跨越时空进行附会和瞎扯,国家相关网络安全法规明明规定了网络安全事故的紧急应对措施,一要报送监督管理机构,二要通知受影响人员。

尽管政令法规的出发点都是好的,尽管网络服务商也是为用户着想,但用户可能并不满意,为什么呢?用户不放心呀!服务商是用户数据的管家,管家在主人(用户)的数据泄露后捂着不告知,尽管管家您是不想主人(用户)操心和担惊受怕,但是主人我自此得担负起数据泄露的后续未知风险,比如收到莫名其妙地广告骚扰,甚至受到各种有针对性的网络钓鱼诈骗攻击。主人(用户)们咒骂着网络不法分子,却不知道始作俑者竟然是自己信任的网络服务商,甚至自己工作、学习或生活的单位。主人(用户)们能做些什么呢?告知(外部)服务商和单位内部IT部门,请让我们及时知道事实真相,也请让我们参与进来,即使短时担惊受怕吧!

为什么国家法令那么好,而网络服务商甚至自己工作、学习或生活的单位就不遵守呢?这就是法律落地的问题,西方的法律精神是从下至上的,我国的是从上至下的,说到底我们的民众不具备法治精神,我们的网络服务商,我们各组织机构的网络安全响应团队,都是被动的守法,也就是“安全事件发生了,捂下去就解决了,相当于没发生安全事件,没发生就没通报”。这就造成我国网络安全事件表面上看起来风平浪静,实则暗流涌动的现状。

看了看垃圾邮箱,发现95%以上都是来自海外的,就知道中国互联网的安全治理的很好。再细看那些海外的垃圾邮件,其中有大量安全威胁,比如涉及色情、暴力和诈骗的不良内容,分析一下来源域名、语言和地址,仿佛都来自前苏联共产国家,他们真是国际互联网安全的死敌呀。不过也值得同情,后冷战时代,原苏联国家的人民生活不易,很多人精通网络技术却仍然没有什么好的出路,只有靠网络不法行为来骗取他国人民的钱财,进而养家糊口。如果这些人生在美国,或许会生活的很富足很舒适。

抛出问题不解决不是什么有责任心的企业和人员,对此,董志军称:文化的差异和鸿沟很难填充,其实我并不完全否认中国甚至东亚的这种“保守”文化,也不觉得“保守”文化就一定落后于“开放”文化,举例讲,“保守”文化似乎更利于信息数据的安全保密。近些年流行“文明趋同,文化求异”之说,我们了解一下西方信息安全文化,知己知彼,不多余。在此基础上,如果能取其之长,补己之短,倒不失为信息安全管理的一项策略。当然,能发扬光大我们自己的安全管理文化,使其融入世界,为全球网络安全空间的文明建设贡献积极的力量,则善莫大焉。

为了沟通中西方网络安全意识文化,帮助各国加强彼此了解,昆明亭长朗然科技有限公司与欧、美、印、日等多国建立了业务合作关系,我们引进了大量的海外信息安全意识教程素材资源、软件以及方法,同时,我们也根据中国特色,创作了大量的网络安全、信息保密及合规意识相关的动画视频、电子漫画、海报图片及网络课件。欢迎全球全国各类型的组织机构联系我们,洽谈安全宣教内容的选购与合作,以及安全意识宣传活动的策划与实施。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898

组织应该教育员工小心防范身份窃贼

昆明亭长朗然科技有限公司的一项在线安全调查表明:在移动应用和云计算越来越普及的时代,普通消费用户最担心的是个人网络身份被窃贼盗用。

亭长朗然公司的安全培训顾问James Dong说:“每天,人们都会使用在线银行、网购、电子邮件和社交网络服务等等,这些网络应用使用到私人信息如帐户和密码,我们会需要像对待个人重要财产一样来对待私人信息,因为它们面临着失窃和被滥用的安全风险。”

而互联网的传播速度让大型组织机构花费大量人力物力进行网络舆情监测及响应,相对于力量薄弱的个人用户来讲,私人信息一旦失窃,几乎无挽回的可能。

针对各类型的组织而言,和商业信誉密切相关的互联网舆情的确需要得到监测和响应。同时,也需注意监测和响应通常比较被动,不如主动防范、控制敏感信息出现在互联网的源头更为有效。

而组织敏感信息得以出现在互联网的主要源头无非是员工有意或无意间泄漏、或受到外界渗透攻击。典型的利用社交工程进行信息套取的方式最为流行,冒充权威机关、潜在客户或媒体打电话询问敏感信息是常用的伎俩,这些都需要组织加强对员工进行安全意识教育来进行有效的识别和防范。

其中需要加强注意的是网络犯罪分子窃取员工身份的事件越来越多,大型的互联网站点不断爆出用户密码外泄案件,技艺高明的黑客往往会利用它们来尝试登录其它在线系统,而且成功率往往不低。

所以组织应该加强防身份盗窃的第一招便是:在不同的网站使用不同的密码,至少将工作用系统的密码和私人事务的互联网应用密码设置为不同。这样即使某一个系统的密码被窃取,窃贼不会轻易进入到其它的系统。

其次,组织应该教育员工注意和识别不安全的互联网应用,简单讲,多数未使用https通讯协议的网站对登录名和密码都未进行必要的通讯加密,通过这些网络应用进行登录时很容易被攻击者冒充成“中间人”窃取帐户和密码。

再次,要讲的是密码的强度,简单的密码很容易被不怀好意的犯罪分子猜测到,而多数员工又不容易记住无规律的高复杂度的密码,记录下来这些密码到小本子或电脑文件中可能更危险,所以组织应该教育员工如何创建和使用不易被猜测和暴力破解的,但又足够长且容易记忆的密码。

还有,切记要告知员工保护身份和密码的安全,通常组织的领导和IT部门不会向员工索要密码,员工也不能向他人分享个人的密码或其它可以证明个人虚拟身份或权限的设备,这些设备包括但并不限于门禁卡、钥匙、安全证书、登录令牌等等。

最后,是教育员工在遇到怀疑帐户失窃、怀疑遭遇社交工程攻击之时,应该如何快速采取正确的行动来降低可能带来的损失,通常包含立即报告安全事件给组织的安全响应部门,如果涉及组织外部比如信用卡信息失窃,需及时联系相关服务商以及立马报警等等。

云计算和移动互联网时代,各类组织机构的重要信息数据的分布越来越分散,有效防范身份窃贼,除了对员工进行必要的身份保护相关的安全意识教育培训之外,也需要提醒员工注意基本的安全最佳实践,比如应对黑客发布的击键记录器、内部不良员工的密码偷窥行为和电脑盗用行为等等,需要提醒员工保持防病毒软件、个人防火墙、防垃圾系统等等的更新,并且注意基本的桌面安全保护如输入密码时注意周边环境、在离开位置时锁定电脑屏幕等等。

冰冻三尺,非一日之功,良好的安全习惯也不能速速养成,除了定期的安全意识培训之外,组织还应该定期进行检查和监控,才能使员工对安全的认识变成正确的安全行为,日久天长便会逐渐成为组织的企业安全文化不可分割的关键组成部分。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898