信息安全治理中人的要素

相对于治理体系比较完善的跨国公司,多数国内公司在安全治理和管理方面比较混沌和混乱。俗话说:治乱世用重典。

负责公司信息安全的高管要想有所作为,必须严肃安全纪律,但是员工们又不是机器,管制太严可能引发消极对抗,管制太松又改变不了安全问题严重的现状。

说到底,多数信息安全问题不是技术控管措施所能有效解决的,要保障公司的信息安全最重要的是解决和人员相关的问题。

如同完善的公司治理一样,信息安全治理也需要“有法可依”,大的社会环境正从“人治”不断转向“法治”,公司要长治久安,保持业务持续性,也需从信息安全制度体系建设上入手。

而要依赖制度体系进行有效的信息安全运作,则需开发各级安全文档,高手高层的安全方针政策、相关的安全标准要求和以及最终用户可以参照的安全流程和操作指南。

为了让信息安全规章制度能够真正落实,防止“有法不依”的现象,需要在制定安全规章制度时认真考虑“人员”的因素,毕竟,实施或应用安全流程的是“人员”,安全流程也只有经过“人员”的参与操作之后才能达到其特定的安全控管目标。

不要让信息安全相关规章流程成为审计检查之后的一纸废纸,则需要强化流程与人员之间的互动,为安全策略和流程找一个负责人,或称所有者,通常是部门的主管或经理,负责维护流程的更新。而部门成员则可能是该安全策略或安全流程的遵循者,只需照章办事。信息安全管理部门可能也需要创建和维护整个公司范围内通用的,以及部门内部所有的信息安全相关策略和流程,并且需要协调监管其它各业务单元和部门的安全作业流程和安全操作指南。

理顺了信息安全部门人员及各部门安全工作流程负责人之间的关系之后,则需强化人员之间的沟通协调,这其中重要的是安全观念的推广。安全管理负责人要制定详细的安全意识沟通计划,包括对全体员工定期提供通用的信息安全意识培训,以及协助重点部门和人员进行的基于角色类的安全培训,比如对于管理层,可能需要了解更多信息安全相关的职责,就需要特别的管理层安全意识培训,毕竟各部门的经理主管们除了保障自身的信息安全之外,还要担当整个所辖部门的安全管理责任。而特别的部门,如保安部和IT部等等,则会根据工作实际需要,获得与职位和工作相关的必须安全培训。

可以通过必要的安全考试来测量员工们对信息安全基础知识和相关作业流程的掌握情况,昆明亭长朗然科技有限公司的信息安全顾问Bob Xue称:唯有员工们掌握了必要的安全知识和技能之后,安全策略和流程方可被有真正理解,安全规章制度才能行之有效,安全治理工作也会随之顺利开启。

有了好的开端要再接再励,要让员工们接受这些安全方针管理和标准化操作要求,一方面,要强化审核,通过查看工作记录、审计系统日志、以及随机抽查检测,等等方法可以了解实施情况;另一方面,也需要进行必要的激励措施,人是追逐利益的,给为信息安全建设工作有杰出贡献的员工以必要的奖励,适当惩罚违反安全规章制度的行为,会让员工们在面临安全选择之时趋向正确的决定。

最后,信息安全治理也需要充分利用“人员”,创建员工们互相监督,互相提醒的安全气氛,让坏人无处藏身,让不安全念头灭在萌芽,让安全风气得到端正,进而让不安全行为不得发生。

security-governance-and-staff

如何改变员工的信息安全行为

越来越多的法律和行业监管制度要求组织加强员工进行安全意识培训,特别强调全员对信息安全的法规遵循。

各类型的组织于是开始从上至下传达新的安全要求,着手部署更严格的安全技术控制措施和建立苛刻的惩罚制度体系来确保这些新规能得到贯彻执行,不被违反。

“哪里有压迫,哪里就有反抗。”

极端的做法造成员工对组织的失望和不满,特别是那些因为因为对规则的无知或大意而违规却受到严厉惩罚的员工,会认为组织安全实施人员的做法太过死板、不够理智且不讲人情,进而害怕、躲避甚至抵制与信息安全相关的具体工作。

实际上,并没有多少员工主观意愿上希望违反组织制定的相关信息安全规则,也不愿意组织的利益由于安全事故而受到损失,更不愿意由于自己的原因而受到处罚。相反,员工们更愿意获得信息安全方面的嘉奖,更愿意遵守最佳的安全行为规范和指南,更愿意组织获得更大的成功。

究其原因,多数组织文化都鼓励开放诚信和积极进取的价值观,员工们讨厌强加于他们头上的各类限制性规章制度,这其中的差距和矛盾主要是由于对信息安全基本规则的沟通不足。

良好的沟通是促进法规遵循的关键,制定法规和相关的细则并不难,困难的是让员工理解这些规则的精神,而要克服困难,重点在于向员工展示法规的遵循能为其带来的价值和好处。

如果使用不同层面的员工能听得懂的语言进行沟通,让员工们明白信息安全最佳操作实践对他们自己及家人的工作和生活带来的好处,他们会兴致勃勃地认真学习、接受这些安全理念甚至积极地对信息安全工作进行反馈和支持。

一旦员工们明白了这些基础的信息安全理念和最佳的操作实践,组织甚至不需要花太多的技术控制措施就能获得员工在安全行为方面的积极变化。同时,记住安全沟通和行为改变绝非一朝一夕可以彻底达成,这是一个持续不断进行的过程。

组织的成功中有很多事情要安全专家来做,但是组织的安全却信赖所有员工,仅仅告诉员工:“组织给了你们安全需要遵守的规则,如果你们违反了,那就是你们的问题,你们要为自己的行为负责。”并不恰当。

员工有不当的安全行为,原因在于人们天生下来并没有适合组织需要的信息安全价值观,这些需要有效的沟通和灌输,一旦人们有了合适的观念认知,他们的行为会随之改变。

security-the-behavior

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898