电子邮件安全意识仍然很重要

email-security-awareness-at-locker

不少组织都对业务风险表示严重关注,与此同时,大部分IT人员仍然把电子邮件攻击当成一种常见的攻击,据邮码广播发布的全球研究报告称:有十分之一的组织在邮件安全培训上没有任何作为。

不可否认的是,在各式各样新奇的网络社交工具盛行的今天,电子邮件似乎落伍了。同样不可否认的是,电子邮件仍然有其顽强的生命力,尤其在经典的商业领域,它仍然是人们进行文书通信的第一选择。

IT经理们永远不要忘记:电子邮件安全对于关键业务成败至关重要,电子邮件内容可能包含着高度机密的信息,除了互联网,电子邮件也是信息泄密的一个重要途径。IT安全专家可能会说:我们部署了邮件安全加密和邮件防病毒,这些常见的安全威胁都已经不再是问题了。我要说的是:永远不要大意!你今天的大意,正是网络犯罪分子乐意看到的。

首先,即使是默认的邮件安全加密,也只能防范对同一邮件域内的网络通信窃听,跨域的特别是对外的敏感甚至涉密邮件,是不是都加密了呢?而那些跨越了互联网多个邮件中转站的明文邮件,有多少被窃听和监控的机会?

其次,即使部署了立体化多重的邮件服务器防病毒、邮件网关防病毒和终端防病毒,也只能过滤和防范部分已知的病毒,因为难免会有漏掉的可能,而且对于未知的新型的病毒,再多的防病毒软件也是无能为力。

最后,IT安全专家的疏忽大意的态度会传播甚至影响到大量终端使用者,他们的安全防范意识如果变得薄弱,那将是一个灾难。组织的整体安全保护缺口将由终端用户打开,网络犯罪分子从此长驱直入,在长期潜伏和强力渗透的攻击态势下,整个IT安全架构和组织战略可能都危如累卵。

那么,我们该如何保障邮件安全呢?昆明亭长朗然科技有限公司信息安全顾问董志军说:强化互联网安全保护,我们越来越依赖创新型的科技。与此同时,我们不能忽略人的因素,电子邮件攻击越来越利用人性的弱点,我们要有效强化邮件安全,必须从人员的安全意识抓起。

邮码广播发现,在严重的信息泄露事故之后,有些组织的IT安全经理们竟然将半数的预算用到了邮件安全防范措施上面。这正应了俗语“一朝被蛇咬,十年怕井绳”!亭长朗然公司董志军说:国际调查研究称:电子邮件安全的理想投入在信息安全总预算的10%左右,是比较科学和适当的。

在实际的操作中,除了邮件安全相关的系统软硬件维护、软件更新和授权等费用之外,应该特别考虑到电子邮件使用人员的安全意识。强化电子邮件安全意识教育,让每位电子邮件使用者都能认识到邮件所面临的安全威胁,能够对敏感以及涉密邮件进行必要的加密保护措施,能够不开启陌生的和可疑的附件,是保障邮件安全的一项重要工作。也唯有这项工作,方能补邮件安全技术之短板,让社会工程学攻击者的技俩落空。

昆明亭长朗然科技有限公司发布了多部邮件安全意识教育作品,欢迎重视邮件安全的IT安全从业人员联系我们洽谈业务合作,也欢迎预览我们的信息安全意识在线教程。

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898

正确认识数据“加密”及信息保密

加密是保障信息安全的基石,在遥远的古代,智慧的人们在传递信息时就知道如何使用暗语,在近代的战争史上,加解密设备更是得到了充分的应用。

我们不需要探讨“高深莫测”的加密算法和分享解密“达人”的高超技艺,更不需要争执多少位的密钥才足够安全。这个世界上顶尖技术大牛很多,我们尊重他们的伟大贡献,但并不需要烧香膜拜。术业有专攻,我们中的大多数人并不需要研究加解密技术,我们需要的只是更为普及的“信息加密”知识,是不是?

拜现代战争和信息技术的创新之赐,用于保障信息安全的加密技术得到了空前的发展,不过再如何厉害,也无非是为了保护机密数据信息免于泄露。数据怎么会泄露呢?有人中途截取,有人入侵偷窃,有人意外披露,有人刻意暴晒,有人搭线窃听,有人悄悄偷看,有人秘密嗅探,有人社交诈骗……

加密又能有什么保护呢?加密实际上是实施密码术的一种过程,密码术Cryptography源自于希腊语krytos“秘密”和graphos“记录”,即是把信息秘密地记录下来,也就是把信息弄乱,让那些截匪或盗贼收获一堆杂乱的东西,专业上称这些杂乱的东西为“密文”,与之相对的则是“明文”。

把信息弄乱不是也不方便自己人使用吗?这是当然,不过有将“密文”和“明文”进行转换的方法,也就是算法,通常程序可以快捷地利用这些算法,帮助完成转换。

我们需要关心算法吗?需要但是不太需要,为什么说需要,是因为有些算法被证明存在安全漏洞,而且随着时间的推移,有些过时的算法会被更强大的计算能力所轻易攻破。说不太需要关心,是因为算法是后台的东西,前端应用层面的用户,了解那多复杂的东西干嘛?

可是又不能一点点基础都不了解,比如一种网络服务,有提供明文的普通登录方式,有提供加密的安全登录方式,要选哪种?当然,明文的机密数据可能会被周边的黑客获得或被运营商中途截取。

那在加密方面,到底需要让最终用户了解到什么层面,了解到多么深入呢?昆明亭长朗然科技有限公司的信息安全意识培训顾问Bob Xue称:要让员工们了解到完成其工作所需的安全加密基础知识很必要,首先是加密本身的基础知识,其次是将加密知识贯穿于各类工作安全实践之中,比如互联网安全、网络通讯安全、数据存储备份、密码和权限等等。

举例讲,有公司会要求员工出差在外进行工作相关任务时,需连接VPN以保障通讯安全,但是有员工可能不理解这些繁琐的操作。如果向其演示搭线窃听或中途截取的案例,再展示加密通讯的效果,则会让公司的信息安全政策及操作流程换来员工的理解和支持。

再举例讲,有公司要求通过邮件传递机密信息时使用GPG加密措施,有员工可能认为邮件系统的基础架构本身就可以保障邮件是加密的,可是却无法理解到邮件接收端可能意外披露机密信息。如果有些相关的机密邮件外泄案例展示,则会换得员工对信息安全的正确认知和对邮件安全措施的赞同。

而移动计算设备的丢失或报修造成的大量机密数据外泄早成了媒体界和安全界炒作的话题,显然对敏感的数据进行存储加密已经成为信息安全的常识。

昆明亭长朗然科技有限公司提供各类安全意识培训课件和教程,包括针对全体员工进行的“信息加密基础”课程,并可根据客户的独特环境进行定制化修改,欢迎联系我们洽谈合作。

要让全体员工正确认识“加密”,并能将信息安全加密知识应用于实际工作实践之中,进行适当的安全保密意识培训是必需的。