三招建立安全意识文化

security-summit

不管是保障业务或生产的安全,还是保障信息或财产的安全,员工的生命安全永远是第一位,这已经成为全球大型组织机构的安全管理和应急响应常识。

但是在国内,特别是在不少高危行业里,安全事故仍然频频发生,在化工能源、基础建设和生产制造领域更是如此,血淋淋的人为安全事故堪比大型的自然灾害所造成的恶劣影响。

上述诸多行业的自动化程度越来越高,传统的体力劳动者需要掌握相关的技能才可胜任新的挑战,因此多数企业开始对员工进行岗位培训,以期来提升员工们的作业技能,社会培训机构也鼓励员工们通过继续学习等方式来获得一技之长。

在提升生产力和员工技能的同时,人们较多忽略的是安全。昆明亭长朗然科技有限公司的安全培训讲师Alice Wong说:安全事故不仅给业务的成功和员工们的幸福带来影响,甚至让生产力和竞争力受挫,更严重点会毁掉一份份事业。所以,在加强各类技能培训的同时,一定不能忽视安全,安全不应该只是某个部门或某些领导的职责,更应该让安全意识成为每位员工的基本功。

各类型组织的安全主管要充分认识到:大部分的安全事故的原因在于人为错误。为什么会有这些人为错误呢?显然是员工们没有得到足够的安全培训,他们不把安全当一回事儿,他们的安全行为并不受到鼓励或肯定,或者他们的不安全行为并没有受到惩罚或限制。

多项国际信息安全事故调查表明:拥有良好安全意识文化的公司发生安全事故的可能性要小得多,所以建立适当的安全意识文化是减少安全事故工作的重中之重。广泛开展的安全意识教育活动无疑是提升员工们安全认知的最好方式,唯有正确的安全认知,人们才会在实际工作情景之中做出正确的安全决定,人们一旦拥有了正确的安全认知并付诸于行动,安全意识文化便逐渐形成了。

要建立安全意识文化,无疑需要从信息安全意识教育培训开始,亭长朗然Alice向您分享有如下可供参考的三大招数:

1.开展安全意识推广活动,制定年度的安全意识推广活动计划,以便定期向员工传达不同的安全意识主题,比如每月或每半月发送关于密码安全、网络钓鱼、邮件安全、病毒防范、社交安全等等一个安全课题,可以通过告示栏或展板张贴安全宣传海报,通过邮件发送安全意识期刊,通过宣传单张彩页来派送安全提示贴等等。这些宣传品的设计不需要太死板,反而应该使用一些夸张的、有强烈吸引力的、能够引起人们思考的设计。不过这些安全意识活动往往是单向的,很难衡量效果如何,难以知晓员工样是否了解或认同要传达的安全理念。

2.发起安全意识讨论会,定期召开安全意识讲座或安全专家讲坛,甚至搞安全擂台赛,邀请员工们分享他们的安全认知和体验,这类方法更为有效,因为增强了与员工们的互动,并且集成使用了认知、注意力、态度、动机和行为。安全意识研讨会的不足之外是受制于时间和空间的限制,在大型的组织内难以覆盖到所有员工,而且比较耗费人力资源。

3.启动安全意识电子培训,电脑和智能终端的使用越来越普及,基于电脑的安全培训,以及移动学习使人们可以在任何时间、任何地点轻松学习到必要的安全知识和理念。精心设计的互动式安全意识课程更能激发员工们的注意力和动机,进而获得员工们对待安全的良好态度和正确行为。

不管使用上述哪种方法或组合使用,提升安全意识的关键是改变员工们对安全的态度,忽略和抵抗是最要不得的。要让员工们认识到安全方针政策并非只是死板的影响效率的规定或制度,而是来保障业务信息安全和生命财产安全的正能量。唯有积极正面的安全意识沟通和协调,才能消除员工们对安全制度、流程和控管措施的误解和抵抗,获得真心的理解和支持,进而建立健全合适的安全意识文化。

独立防病毒厂商的末日来临

在类似病毒的各种互联网安全威胁成几何倍数剧增的时候,说防病毒厂商的末日来临仿佛是一个伪命题,然而昆明亭长朗然科技有限公司的计算机网络信息安全分析师Bob Xue却坚持认为:独立防病毒软件厂商的好日子快到头了,不过,凤凰涅磐,防病毒产业的全新时代即将来临了。

首先,病毒通过终端设备如软盘、光盘、USB存储等进行感染的渠道和时代已经成为过去。新型的病毒多数会通过网络进行传播,而在技术上,防范网络新型病毒传播的最有效渠道仍然是安装补丁等终端设备加固措施;在管理上,最重要的则是强化终端设备用户的安全意识,比如不乱接收、开启或点击奇怪的不靠谱的附件或链接。即使有多层的防病毒体系保护,倘若没有实施这些关键的技术和管理方面的安全控管措施,终端安全也是一种奢望;反之,如果终端本身的安全控管到位,比如开启了必要的安全设置、保持了软件的更新,并且使用者的安全意识也得到了足够的提升,那防病毒显然是只会影响性能和误报误杀的麻烦东西。

然而,从多重防御的基础安全理念上看来,防病毒可能并不是“麻烦东西”,反而仍然有其作为一层安全“防护带”的价值。不过,了如同我们所讲,过多的低效安全防护反而会严重影响效率,打乱安全与效率之间的平衡。所以,将安全投入的99%给到防病毒,只实现1%的保护功力,完全不合算。

其次,防病毒软件与勒索软件不分家,很多独立的防病毒厂商让防毒软件免费只是个噱头,它们真正的罪恶目的是让免费的软件变成勒索软件Ransomware。勒索软件经常会弹窗,告知用户:如果不花钱升级、如果不点击广告,将会如何如何。个人、家庭及企业用户都深受其害,然而多都抱着“破财消灾”的心态,给恶人汇了款。显然,少数防病毒厂商的这些恶劣非法行径还将继续进行下去,然而,多行不义必自毙,多数受害者开始了信息安全意识方面的自我觉醒和救赎,加上有正气的安全力量比如正牌防病毒厂商开始揭露和阻止这些勒索行为,相信打着“免费防病毒”旗号的的勒索软件日子不会太久。

我们不可否认的是多数的防病毒厂商都是遵纪守法的企业公民,然而,常言道:一颗老鼠屎害一锅汤。市场上几家不良的防病毒厂商能轻松害死整个产业,更何况这个产业在走下坡路呢。

再次,则是在终端层面,独立防病毒软件被替代的时代已经来临,操作系统已经默认整合了防病毒软件,特别是Windows 8的开启时代。实际上,在过去的这些年,微软已经在防范恶意代码袭击操作系统上付出了很多的努力,也收回了不少的回报。防病毒,对微软这种大鳄来讲,投入一点点零花钱都会比其它独立防病毒厂商做得好,而且好的多,因为它更了解自己的操作系统,它的防病毒在兼容性、效能和性能上绝对排在前列。不过此前由于担心被扣上“垄断”的黑锅,而且要考虑独立的防病毒厂商的合作伙伴感情,微软并没有花大力气推动自家的防病毒产品。然而移动计算终端的革命,让微软少了很多顾虑,XP将寿终正寝,Win 7和Win 8时代,使用微软集成的自家防病毒,不花钱,又好用,无疑不再需要独立的第三方防病毒软件。

最后,对独立防病毒软件进行彻底革命的是更猛烈的云计算,主要的病毒感染渠道无疑是通过互联网络。一方面,各类互联网服务商会将恶意代码防范作为其增值或基本服务提供给终端用户,另一方面,企业级的互联网安全网关将强化Web安全、邮件安全和内容安全,这显然会很大程度上将恶意代码等互联网威胁拦在企业的网络大门之外。一年之内,防病毒软件没有报告出一条病毒,你还能指望用户会继续用下去吗?

不过,在结束之前,我们还要强调一下,如果最终用户的信息安全意识不足够,给再多的防病毒软件都帮不上忙。如果最终用户的信息安全意识足够强,不给防病毒软件,他(她)可能还会主动索要,尽管独立防病毒软件厂商的末日似乎不远了。所以,真正的帮助客户提升信息安全的防病毒厂商,是那些在信息安全意识上花功夫进行宣传的,而不是拿着“免费”诱饵的。

计算机病毒