社交网络的广泛应用引发强烈安全顾虑

社交网络越来越红火,门户社交网站、行业社交网站、职场社交网站等等导出不穷,不少组织和个人都有在积极利用各类社交网站加强信息沟通,同时也有大量的组织机密信息、个人敏感资料通过这个渠道源源不断地外泄。

不管有心还是无意间之披露的信息,都可能会成为“朋友圈”,“追随者”,竞争对手甚至网络犯罪分子的至宝。

多数社交网站都有要求或鼓励网民实名登记,注册时,网站有要求姓名、性别、出生日期、邮件地址等等,以保证个人信息的真实性,实名制对于互联网的安全有着积极的意义,通常在实名制下,个体的言论会更加的负责任,组织发布的内容也更有可信度。

大型社交网站的默认设置也都有考虑这些数据的安全保护,在默认情况下网民并不容易得到这些敏感信息,但是仍有技术高超的攻击者可以利用各类手段获得它们。

中小型的社交网站在安全控制措施上参差不齐,甚至还有不少仿冒的钓鱼网站、网络诈骗等等,它们可能会对个人信息的泄露大开方便之门。

网站大多都有“免责声明”,“使用条款”,“用户需知”等等,来保护自己的权益,同时简单教育用户社交网络的礼仪和规范。

除了网站方面的因素,交友不慎,博客泄密,微博骂战等等事件的起因,往往源于网友对社交网络上言论和行为的尺度把握不当。

分析其中的动机,网友希望扩大人际关系网络,组织也希望增加影响力,更好地服务网民,所以愿意发布他人希望或者喜欢看到的内容。当然,偶尔,这些个人和组织也可能会担心这些发布的内容被坏人利用。

如果有必要,组织可以像总参总政发文禁止军人网上交友防范泄密一样,但这种做法对大多数组织和个人并不现实。

毕竟,不可能因噎废食,因为社交网络存在安全隐患就粗暴禁止使用社交网络可能对组织和个人并不利。

针对网友个体,毕竟谁都不想被“人肉搜索”,所以要保护个人隐私,在登记注册时要尽量防止输入太多的个人信息,开启社交网络的安全保密设置功能和选项,尽量不要选择公开它们,慎重填写各类经历和经验,并且不要在各种发文中留下私人信息,对于过期不用的联系信息及时删除。

同时,网友个体大都也有组织,网友和其所属的组织一样,都不希望因为社交网络使用不慎而造成损失。但是仅有好的希望并不见得会有好的行动,所以在组织层面,有必要加强组织成员的社交网络使用规范和管理。

相关的内容当然应该包括上述针对网友个体的一些安全招数,除此之外,还有一些建议:

1.强化员工的认识,使其明白社交网络安全对组织以及个人的影响。

2.制定社交网络使用的安全政策及建议并培训员工遵守,有对信息进行分级的组织需设定可公开内容的安全级别,比如禁止在社交网站发布机密级别的信息等等。

3.使用技术控制,对于可能危害到国家安全的内容,社交网站会进行审核,组织也应考虑实施监控和审核技术以及控制流程,比如在提交发布消息之前进行审批,定期搜索和监控与攸关组织的关键词以便及时响应等等。

4. 加强员工的社交网络安全使用技巧培训,毕竟,对于大部分组织,能难设立严格的内容分级标准,进行审核及监控也需要大量人力物力,而简单的技巧则可令员工轻松接受社交网络安全政策,学会把握适当的尺度,进而在享受社交网络乐趣和沟通便利性的同时,保护组织的智慧财产、机密信息及商业信誉。这些技巧比如:不要在心情不好的时候发布内容,发布内容之前想想如果这些内容公开的话会不会违反组织政策,会给组织和自己带来什么影响等等。

social-networking-security

昆明亭长朗然科技有限公司制作了几部社交媒体安全使用指南在线教程,以及动画视频,它们更适用于企业级的组织机构用来对员工进行社交网络安全意识培训。

我们也开发制作了数百部安全、保密与合规相关教程及动画视频,员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验,便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

培育安全意识文化的九个步骤

自从人们将计算机连接到互联网,便面临着黑客入侵、病毒感染和数据泄露等等的网络危险。众所周知,将计算机连接到互联网的简单行为立即将其所有的数字内容置于危险之中。随着时间的流逝,互联网逐渐演变成物联网,我们的世界将越来越互相连接。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:所有连接到互联网的计算机、智能家电、移动设备、无人驾驶设备、智慧城市设备等等都已经或即将处于人类网络防御的前沿。由于网络攻击,绝大多数企业最终将遭受不同程度的财务损失。受到网络犯罪分子攻击的现实是当今所有联网设备都必须面临的非常残酷的威胁。

致力于数据保护的全新安全产业的诞生证明了对这类威胁的认识。实际上,人类世界每年花费数万亿元用于保护网络和网络中包含的专有信息。从政府机关到公司企业,多个部门致力于保护数据、建立专注于计算机保护的安全计划。我们帮助过各种类型的组织机构加强对其最终用户、程序员以及大众网民的安全意识教育,以期人们能够尽早接受保护信息资产的安全理念,并担负起相关的角色和责任。对此,董志军补充说:要保护好互联世界中的数字资产安全,我们必须深刻理解信息安全掌握在我们全体人类的手中、是我们共同的责任的事实。只有这样,当我们与互联网互动时、当我们面对各种各样的网络威胁时,我们就越能保护我们的信息安全。如下,我们将逐一讨论保护信息安全,培训安全文化的九个步骤。

一、培养安全责任感

要让人类共同承担起保护网络安全的责任,需要我们培育普适的信息安全意识文化,这种安全意识文化将与传统上的各种文化交融,并促进人类文明向新的更高、更安全的方向发展。保护我们自己计算机上的数据确实并且应该属于我们自己的责任范围,这当然是不言而喻的。尽管有些人可能会认为承担这项责任是拥有计算机的必然结论,但是在看不见的数字世界里,人类可以在物理世界中感到相对安全的同一社会结构根本不存在。这主要是因为数字世界本质上是看不见的。攻击者可以匿名进行匿名攻击。用于攻击的技术是一种相当新的技术,并且总是在不断变化,因此,甚至有可能在捕获犯罪分子时也没有法律起诉数字犯罪分子。此外,网络罪犯分子也可能与受害者不在同一个国家,并且可以完全避免起诉。这是一个难以捉摸、匿名且令人沮丧的数字犯罪世界。因此,各类型的组织和个人不能依靠传统的社会结构、法律或其他现有障碍来保护其数据。相反,数据所有者必须承担保护数据的责任。如同教育青少年儿童人类的基本价值观一样,安全责任感的培育是保护数字世界安全的首要任务。

二、分析和评估信息风险

风险管理方法是人类的一项重要文明成果。为了对不同类型的信息数据提供适当和合理的保护,数据所有者必须首先准确确定要保护的内容。归档文件、人员信息、客户信息和专有过程等等各种信息都需要受到保护,但是它们的安全级别可能不同。当然,根据您所在组织的类型,您可能需要保护不同类型的资产。确定确切的保护内容和保护方式涉及创建信息资产清单、识别这些信息资产面临的风险以及决定如何最好地应对这些风险。风险文化是很多组织得以长远发展和基业长青的关键,有很多关于风险管理的方法介绍,我们在此不做赘述。

三、制定信息安全政策

一旦资产和风险得到记录,就必须制定旨在保护组织资产的政策并将其付诸实施。成功的政策不可能迅速而随意地得到制定。这些政策必须是周密的,但也不能太过细致,繁琐的细节使组织无法进行实际的工作。因此在设计安全政策时,请确保尽一切合理的努力使这些政策易于落地和实施。应当强调的是,安全政策应该促进工作的开展,而不是以安全的名义使其停顿下来。同时,请确保安全政策弥补了现有业务流程的安全不足。如果将政策告知于员工,但员工们却感觉不到安全是他们日常工作的自然组成部分,那么他们将不太可能将安全落实于正常运营。切记:只有将安全政策嵌入了日常的业务流程,安全行为被人们不断重复并养成习惯,安全意识文化才能慢慢深入人心。

四、建立信息安全团队

有了风险应对的计划方案和旨在保护信息资产的安全政策,就需要我们在组织范围内建立信息安全团队。信息安全团队可以有专门的组织架构,在由高管组成的信息安全管理委员会的领导之下,接受管理委员会的工作指派,为管理委员会而负责。因此,信息安全团队应由公司各个部门或业务单元的代表组成,这些代表一般都接受过信息技术和信息安全方面的适当培训。需知,这些人员不能仅仅是信息技术或安全方面的专业人员,还应包括组织中各部门或业务单元中对确保数据安全充满热情和才华的人员。

五、实施多级安全培训

安全不仅仅是安全团队的职责,更是全员的职责,管理层、不同岗位的员工们必须认为到自己的安全职责。同时,要保障风险应对措施的执行、确保安全政策的落实,必须要依赖受影响的员工们。因此,必须对组织各个级别的员工们进行安全意识方面的培训。全面的培训计划将教育员工实施某些安全控制措施、制定某些安全政策的原因。通过全面信任、赋能并关爱员工们的安全心理和思想,他们不仅会感到自己扮演着重要的信息安全角色、很有价值,而且会对在日常运营中如何最好地保护自己负责的资产有更深入的了解。

重要的是不要忘记,组织中的每个人都必须接受部门政策和组织中个人角色的培训。从首席执行官到客户服务代表的每个人都必须接受有关其所在岗位如何影响安全的适当培训。如果某人未能执行保护其工作资产所需的安全步骤,则组织的安全性将面临漏洞,并且组织的数据被成功攻击的可能性将更大。因此,绝不允许组织中某些人员以资历和职位凌驾于已采取的安全措施之上。一项好的安全意识培训计划将为整个组织提供牢固的安全人力资源基础,进而让人力资源在安全方面更加“开化”,即促进安全文化的培育和养成。

六、创建安全工作基线

没有衡量就没有成果。在组织可以确定安全工作是否确实有效之前,必须制定衡量基准。这些度量标准和基线可以在以后的审核过程中使用,以确定成功的计划和政策以及需要进一步关注和改进的问题领域。对于组织而言,以准确而有意义的方式量化成功至关重要。否则,信息安全团队所做的努力可能不会在最需要的地方产生影响。

七、定期实施安全审核

像水往低处流一样,人们喜欢沿着阻力最小的道路前进。随着时间的流逝,某些安全政策就可能会得不到很好的遵循和执行,具体取决于安全政策在日常工作中的适应程度和自然程??度。使用在上一步我们创建的安全衡量基准,对比实际情况,便可以执行安全审核,将为组织内部的安全状态提供良好的参照。形成参照图之后,可以清楚地看到需要改进的地方,并且可以采取适当的整改措施来纠正影响安全的所有问题。人类就是在不断的自我审视过程中前进的,良好的安全文化是一种可以不断自我修复的文化。

八、制定灾难应对规划

一怕一万,就怕万一。不管安全政策有多么的周密,无论采取了什么措施来减轻风险和培训员工,组织都应该为灾难来临做好准备。灾难的例子可能是软件病毒感染了主服务器,或者是自然灾害袭击了组织的办公园区。我们可以将各种意外的重要影响事件都视为灾难,因此应采取所有合理的步骤和计划来应对此类“黑天鹅”事件。制定灾难应对计划是高级人类文明特有的特征,只有让时时准备应对灾难的安全文化深入人心,在灾难来临之时,人们才能自信坦然且井然有序地面对,才能保障最快的速度恢复正常业务持续化运作。

九、奖励安全贡献和行为

培训安全文化的重要举措是要营造一个让员工感到被鼓励实施安全行为的环境。人们会对获得成功的奖励和认可做出更好的反应。信息安全管理委员会应奖励那些有卓越贡献的安全团队成员以及员工中的安全积极分子和优秀行为人员,高层的表彰将对信息安全文化培育起来促进作用。当然,奖励成功实施安全政策和建立安全措施来保护组织安全并节省资金、提升效率的员工,这其实也是在为表彰绩效优秀的员工和创造积极向上的工作氛围。

补充与总结

与建立成功的安全意识文化有关的主要因素之一是组织面对不断变化的行业和技术而保持活力的能力。组织不应该简单地制定政策并解决安全问题。相反,应建立对政策及其有效性的持续审查。如果某项政策无效,或者某项技术无法达到组织的安全控管目标,请进行及时的更改!

如果为了安全而禁止员工执行其工作职能,则这种极端的安全毫无价值。一个经典的例子便是锁在保险柜中的没有网络访问权限的关了电源的计算机。该计算机虽然能够免受来自互联网的攻击,但是用户没有办法以任何有意义的方式实际使用它。因此,为了保持最佳安全性的同时提高生产率,请务必在工作一线倾听员工的声音。最终用户或实际使用计算机的员工们都知道安全政策会对生产力产生什么影响。对此,董志军再次补充说:无论是与服务相关的非营利组织还是营利性企业,请确保制定的所有安全政策和应对风险的控制措施都不会损害组织的底线。

昆明亭长朗然科技有限公司多年来专注于信息安全意识培训服务和产品的设计与开发,我们创作了海量的安全知识素材内容,涵盖了所有的信息安全意识培训课题,并且提供针对大型客户的信息安全意识咨询服务及信息安全文化建设服务,欢迎联系我们洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898