设计和实施管理系统的关键原因之一是使组织能够认识自己的现状，在能力成熟度模型方面，它被称为一个“混沌”的组织。“混沌”组织没有一个固定的程序，或流程，结果很大程度上取决于人们的表现，而人们却花了很多时间在“消防救火”上，比如不停地修复软件错误和解决突发事件。对此，昆明亭长朗然科技有限公司信息安全管理学院的院长董志军表示：如何走出“混沌”的困境呢？在缺乏“法治”文化环境的亚洲国家，尤其需要注意逐渐建立并完善可执行的工作流程。那些不具执行力的，或者只是为了走走过场或者秀一秀的，就最好不要浪费人力物力去弄了。如何是“可执行”呢？很简单，对比管理流程与执行结果（记录文件）。

ISO 9001:2000是一个众所周知的获得广泛实施的质量保证或业务流程管理系统。如果该组织没有和ISO 9001认证管理体系兼容的文件控制体系，组织则应当获得ISO 27001的4.3条中涵盖的关于文档控制和记录问题的指导手册。

文档控制要求
ISO27001明确要求管理制度要记录在案。控制A.10.1.1明确要求的安全程序要被记录、维护、并提供给所有需要它们的用户。
其他在附件A中有明确的文件要求的包括：
* A.7.1.3可接受的资产使用
* A.8.1.1记录在案的人力资源安全的角色和责任
* A.11.1.1访问控制策略
* A.15.1.1鉴别适用的法律法规

许多其他的控制需要“正式”程序或者“明确”的沟通，而这些可以在技术上不被记录而实现，期望是所有的流程和程序都被记录。

ISMS文件的内容
文件必须是完整的、全面的、符合标准的要求并且适应每个组织不同的需求。符合要求的ISMS将有充分的记录。ISO 27001描述了ISMS所需的最小的文档体系，表明该组织保持了足够的记录，用以证明其遵守规定与标准。这些文件包括：
* 信息安全政策，ISMS的适用范围声明，风险评估，各种控制目标和适用性声明。总之，这些构成了ISMS的政策手册。
* 组织和它的管理层在ISMS的指定范围内采取的行动的证据（包括董事会会议和指导委员会会议的记录，以及其它的特别报告）。该标准规定，应记录管理层的决定，这样所有的行动都应追溯到这些决定和政策，任何已记录的结果应可以重复记录。
* 一个管理架构说明（包括指导委员会等等）。这和组织结构图可能是有相关的，非常有用。
* 风险处置计划和实施每一个指定的控制措施的基础文件程序（其中应包括责任和需要采取的行动）。一个程序描述包括，谁必须做什么，在什么条件下，或什么时候 以及如何做。这些程序将是政策手册的一部分，本身可以是纸张或电子的。标准还规定，选择的控制之间的关系，风险评估的结果和风险处理过程，以及ISMS的 政策和目标，都应该得到展示。
* 有关ISMS的管理和审查的治理流程应包括责任和必要的行动。
并不是所有组织都要实现一个同样复杂的文件结构。标准指出“由于组织的不同，ISMS文档深度可以有所不同，这些不同包括组织规模和活动的类型；安全需求和被管理系统的范围和复杂度。

记录控制
标准关于记录控制的要求对那些已经实施ISO 9001的人们来讲非常相似。因为4.3.3条规定，记录的保留是为了提供证据表明ISMS的符合标准的要求。在正常的期限中，组织也有法律法规监管所要 求的其它记录需要保存。这些记录是为了展示ISMS的有效性，这些记录必需得到良好控制，记录的内容要真实、准确、清晰和易于识别和检索；这就意味着，特 别是对电子记录，即使硬件和软件已经升级，对它们的访问必须得到保留。

附件A文件控制
附件A中有进一步的ISMS文档相关的控制要求。它们也是很重要的，这些控制包括：
* A.7.2.1分类指导原则，它处理保密分级
* A.7.2.2处理信息的标签，其中涉及不同保密级别的信息和信息媒介如何被标记
* A.15.1.3保护记录，其中涉及保存组织文件
* A.15.1.4数据保护和个人隐私信息。

文件层级
按照一般管理体系的惯例，通常是由四个层次构成的，不过也有小型组织将第二层和第三层综合一起以简化文档管理的：

第一级–安全政策手册
它是管理架构的摘要，其中包括了信息安全方针政策和控制措施目标，以及适用性声明中所提及已实施的控制措施。

第二级–各类程序文件
程序用来实施所要求的控制措施，描述由谁，做什么，在什么条件下或什么时候，以及如何做等的安全流程。

第三级–具体的作业指导书、检查清单等
解释特殊工作和活动的细节，以及如何完成特定的工作。包括详细的工作指导书、表单、流程图、服务标准和系统手册等。

第四级–记录文件
实施各项流程的执行记录成果，以符合上述1、2和3等级文件要求的客观证据。

补充与剖析

在实际工作中，我们可以看到：有很多专业人员不喜欢弄文档，也不喜欢受流程的“束缚”。他们觉得制作PPT、工作报告和作业记录是文职人员干的，其实这种想法非常错误。程序文件用来指导工作，文件记录是工作的输出内容之一，也是关键的证明物。因此，记录文件应该是信息安全管理工作的重要组成部分，不仅专业人员应该注意调整自己的认识，管理人员也应该特别注意文档体系和记录控制，不能仅仅交由熟练Office办公软件的下属去弄。

“混沌”的组织缺乏制度化的管理文件，也缺乏制度化管理的输出记录。“成熟”的组织也没有多么高强，只是在不断地创建和更新制度文件，并严格地执行。人是容易忘记很多事情的，也容易流失或扯皮。如果组织在信息安全管理方面有了文档记录，就相当于人类在漫长的进化过程中有了文字片的历史记录，因此可以不断促进文明向前发展。

昆明亭长朗然科技有限公司认识到制度化、流程化对于信息安全管理的重要性，因此，我们在针对全员的信息安全意识培训课程内容中特别强调安全政策标准、规范流程等的重要性，也会讲解各种安全控管措施的精要内涵，以便受众可以理解并认可相关的管控精神。我们深信，只有用户认可了信息安全要求，他们才会认真遵守。我们有大量的安全意识宣教素材内容，并不断进行开发创作中，欢迎有兴趣的客户联系我们，预览作品或进行业务合作洽谈。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

越来越多的证据表明，组织网络安全面临的最大威胁来自内部人员。这种威胁可能包括员工、合作伙伴或供应商利用其内部位置和特权，故意或无意地泄露机密信息、滥用系统访问权限，或者进行其他恶意行为。典型的情况如：员工经常因共享密码、使用公共无线网络发送敏感信息或不保护社交媒体帐户的隐私而使组织面临黑客攻击的风险。内部威胁对组织的影响可能非常严重，导致数据泄露、财务损失、声誉受损等后果。

因此，了解内部威胁并采取相应的防范措施是保护组织安全的重要步骤。这些措施可以包括建立强大的身份验证和访问控制机制、监控和审计系统活动、提供适当的培训和教育以提高员工的安全意识、实施安全策略和程序等。简言之，内部威胁是一个需要组织和员工共同解决的问题，从而确保信息和资产的安全。

此外，还有另一种内部威胁，乍一看似乎无害，但是我们每位员工都可能深陷其中，研究人员将其称为“网络游手好闲”。昆明亭长朗然科技有限公司网络安全研究团队的一项新研究表明，使用工作计算机进行个人互联网浏览的做法如果太过分，则可能会对组织造成严重的安全威胁。

大多数组织里，员工们偶尔会查看社交媒体或从工作计算机发送私人邮件。尽管移动计算设备功能很强大，但是在某些情况下，员工们并不敢嚣张地在工作场所长时间刷手机，不管是玩手游、购物、闲逛还是刷短视频。不过，不要被表面所迷惑，事情的真相可能是，员工们在工作电脑上花费大量时间更新自己的网站、观看视频甚至色情内容。据世界网络生产力调查评估，出于私人目的而在工作中上网是工作中第一大干扰因素。这会对生产力产生重大影响，研究表明，每位员工平均每天在网上闲逛时浪费两个小时。

生产力影响总体的产出价值，即使网络安全专家对此无甚兴趣，也不能反对，但是事情绝没有这么简单。深入的调查显示，参与严重网络闲逛的员工越多，他们遵守旨在信息安全政策、规则和协议的可能性就越小，对网络安全的威胁就越大。从心理学和社会行为学方面来讲，“网络游手好闲”的员工们有很多网络成瘾的行为，这一点印证了调查的部分结果——越多网上闲逛的人群对信息安全的了解越少。在这其中，那些网络闲逛较为严重的人群（例如更新个人页面、访问交友网站或下载非法文件），其网络安全意识明显更差。

通常，进行更严重的网络闲逛的人群不太了解如何保持在线安全以及如何保护敏感信息。原因之一可能是他们上网的决心如此之大，以至于不想关注有关在线安全的信息并忽视风险。另一方面，他们盲目相信他们所在的组织机构可以保护自己免受因冒险行为而可能导致的危害后果。在我们的调查中，那些在网络成瘾行为方面得分较高的人也更有可能对安全协议的认识和遵守程度较差。那些严重的网络闲散者和潜在的网络成瘾者是最大的风险。

对此，教育专家称：网络成瘾是一种上网的冲动，有时是为了助长对在线赌博或购物等数字活动的其他成瘾。上网的动力可能与其他任何身体成瘾一样，因此互联网对某些人来说就像毒品。这意味着表现出网络成瘾症状的人可能会更坚定地不惜一切代价上网，并且更有可能尝试绕过安全控管或忽视有关在线安全的建议。他们可能盲目自大，因为他们花了很多时间上网。或者他们可能无法完全理解风险，因为他们太沉迷于网络世界。

对于员工们来讲，网络成瘾是指对互联网使用过程产生过度依赖和不可自拔的心理现象。如何应对网络成瘾呢？首先了解自己的网络使用情况，设定合理的上网时间和目标。其次则是建立健康的生活方式，包括锻炼身体、拓展社交圈子和培养兴趣爱好。当然，更重要的是要学会克制网络使用方面的冲动，不要时刻保持在线状态。

对于组织机构来讲，所有这一切并不意味着应该切断员工们的所有互联网访问。能够上网是某些工作的必要组成部分，尽管过度使用互联网服务和工作信息系统可能会让组织面临风险，但是也不能因噎废食地开倒车。相反，组织应该建立网络使用帮助系统，不要简单认为员工们是成人，只要给其足够的工作任务，就可以压缩网络闲逛的时间，那样做可能会适得其反，令士气下降甚至逼走员工。

信息安全的重要性自不用多言，而达到保障业务安全的目标，并非仅仅IT管理员或专职安全人员的职责，保障业务信息安全和业务持续运作是组织中所有人的职责，要让每位员工了解和切实履行自己的安全职责，需要信息安全管理层和员工之间进行有效的沟通，而且这种沟通还需要持续不断地进行，这可不是一项轻松的工作。

对于员工们来讲，配合组织的网络安全工作，遵守工作中的网络安全纪律，也是职业道德的一部分。要理解网络是工作和生活的一部分，要学会合理运用网络，避免陷入网络成瘾的困扰。对于个人信息和隐私，要保持警觉，保护好自己的网络安全。如果已经沉迷于工作之外的网络使用，则应该逐渐减少使用社交媒体和游戏等应用的时间，转而去尝试其他有意义的事情。

组织可以采取多种措施来帮助减轻过度网络闲逛带来的风险，包括对严重违规行为实施非常严厉的处罚。但是话说回来，通过提供有效的网络使用规则及安全意识培训，使员工能够识别互联网滥用的各个方面并寻求帮助可能是一种更有效的管理工具。简单说，帮助员工们了解哪些网络行为是可接受的、哪些是不可接受的、哪些行为存在严重的风险等等可能会更有益，特别是通过案例和对话来传达这些风险的情况之下。

提醒一下，组织应该避免的简单地发送电子邮件提醒。研究表明，通过电子邮件发送有关信息安全潜在风险的信息效果最差。由于员工闲逛导致不断出现的安全事故、客户的安全顾虑、法律法规遵循的压力，让信息安全专家和管理团队疲于奔命、甚至痛苦难耐。不过这种局面即将过去，因为有了信息安全意识和培训服务将为我们的组织带来源源不断的信息安全文化甘泉，将正确的网络安全理念传导给员工们，网络闲逛和重度滥用等行为等会越来越少。

实际上，大部分的安全管理人员都已经认识到信息安全意识的重要性，只是在落实到具体工作，如设定安全意识培训的目标、进行安全意识教育的规划时往往无从下手，不知道如何完成这项光荣而艰巨的任务；另外，也由于缺乏足够的最佳实践参照标准和方法而不知如何着手开始工作，这让信息安全意识培训落入到一个尴尬的境地。现在，网络闲逛导致生产力损失的问题，各部门的主管经理总监们肯定不会忽视，网络安全团队应借机借力，打击网络闲散行为、强化网络防御体系、关注员工身心健康、提升组织赢利目标，一举多得。

防止内部威胁和网络闲逛导致安全违规的最佳方法是制定一个信息安全意识沟通计划，以便可以有条不紊地执行。昆明亭长朗然科技有限公司创作了大量的网络安全宣教素材资源，其中包括防网络沉迷、应对内部威胁、保护敏感数据等主题，欢迎有兴趣的客户及行业合作伙伴联系我们，预览作品及洽谈合作事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com