信息安全职业发展的顶级职位与职责

information-security-career-development

大多数组织并没有制定明确的整体信息安全战略。数十年来,他们将主要精力用于保护网络边界,比如部署防火墙和入侵检测与防御系统。现在,他们发觉网络安全的保护已经收到不少成效,当下更紧要的目标是保护有价值的核心数据和关键业务流程。

越来越多的组织建立了首席信息安全官(CISO)职位,不管这个职位是向CIO,CFO,或向CEO或董事会报告,表明信息安全越来越受到组织高层的重视。

创新的科技如云计算、社交媒体和移动互联网等将会带来业务流程的革命性变化,同时也可能会给信息安全风险管理带来新的挑战。

要使业务获得更好的安全保护,并不是多花钱就可轻松实现的,安全是在寻求平衡,保障安全所需的花费不能超过业务所能带来的收益,所以我们不能花过多的钱,也不能乱花钱。

信息安全管理也需使用科学的方法,如果大型组织暂时没有CISO,则需考虑提拔相应的安全总监或经理主管,给他们这个新的头衔,或者从外界聘请。调查表明,有CISO的组织所受的数据安全损失,要远低于没有的组织。比给头衔更重要的是要赋予这个职位相应的职责——保护组织的关键数据和核心业务的安全。

有了CISO,能将所有的安全保卫工作都交给他(她)一个人吗?当然不行,组织的成功依赖于每个员工的努力,安全保护也是如此。信息安全应该被视为业务流程中应对风险的不可分割的一个新的部分,而不是独立的来限制业务顺利进展的单元。

所以,有必要让组织中的每个员工知晓信息安全对于业务成功的重要性,让经理和员工们知道自己和部门所担当的信息安全职责,让他们接受必要的信息安全意识教育培训,这就是CISO工作的重中之重。

企业的重要数据在员工们之间生成、存储、传输和使用,如果员工没有受到足够的培训,没能意识到安全的重要性,就很容易由于无知或无意地通过社交网络泄露机密数据、陷入商业竞争对手所雇佣的黑客事先布置好的钓鱼网络。

公司的业务信息安全的真正的安全边界不再是您的防火墙,而是员工,网络犯罪份子已深知这一点,想要在较量中胜过这些犯罪份子,我们需要与时俱进,肩负重任的(准)CISO们,该行动起来了。

如何让非信息安全专业的经理们和员工们能够有效识别出各类安全威胁,能够胜过犯罪份子呢?其实人人都能成为独具慧眼的信息安全审核员。我们非常乐意分享一些信息安全和内部审核人员成长初级教程,当然,更可以用来对普通员工进行信息安全意识的教育培训之用。如果您有这方面的兴趣或需求,请联系我们洽谈业务合作。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

信息安全关高管们什么事

IT客户支持人员或一心钻研技术的软件开发人员或网络系统管理员何时都不会认为高管们的电脑操作技术如何了得,这是正常的。同样您可以认为在信息安全方面,高管们也是技术菜鸟,他们甚至搞不定一个病毒,更不会配置复杂的防火墙系统。

但是如果认为高管们在信息安全方面不需要有什么作为,那就大错特错了。IT面临着变化,IT管理员不再是仅仅负责安装电脑和办公软件以及维护网络那些简单的事情了,他们要了解业务流程,要知道如何通过信息系统来推进业务创新和提升生产力。安全专家们同样也面临角色的变化,业务经理们不期望太多的安全规章来限制工作效率,C-Level的大头儿们更是在这经济不景气的时候想着如何能从IT及安全领域省些开支,以帮助顺利渡过冬天。

C-Level高管们可能在经济观察报或华尔街日报上看到一些恶性的安全事件,比如与隔壁竞争者之间的商业机密窃取案,黑客入侵行业内某家跨国大公司,某公司员工在微博上晒了内部敏感文档引发社会关注等等。直到有一天,CEO接连收到几个骗子的忽悠电话和短信之后实在无法忍受,便问首席信息安全官CISO或首席安全官CSO,公司在应对网络诈骗方面有什么良策?员工们是否准备好了?

CISO可能并非安全技术方面的高人,不过他(她)更理解业务、IT与安全,他知晓如何使用商业语言同CEO来沟通这些信息安全问题。无非是商业风险、内部控制、供应链安全、业务持续性计划之类的。当然,更懂安全技术架构和体系的是首席技术安全官CTSO,CTSO当然知道不能完全靠安全技术还实现安全控管的目标,特别是和人密切相关的。

在一个新的项目比如设置一个新的大型分支站点或业务单元时,当CTSO还在想如何架构防火墙、入侵防御系统、漏洞扫描及安全监管平台时,CISO则站在更高的位置思考业务可能面临着的威胁、漏洞和风险,并且开始列举出有效控制这些商业风险所需的众多安全控管措施,当然还有一个问题便是预算和紧要性排序。

这关CEO什么事呢?再回到CEO向CISO或CSO的提问,CISO或CSO的简要而正确的回答无非是:我正好要找您谈论这些,您和其他高管们需要更多参与到信息安全战略和员工安全意识培训活动之中。

的确,信息安全不应该只是安全官员、安全总监和经理主管们的职责,所有人都应该担负起一定的安全职责。让IT负责基础架构和应用程序的安全,安全部更多关注的是物理环境的安全,业务流程和业务信息数据的安全更应该由各业务部门来保障,所以,要让每位员工了解自己的安全职责。而要达到这点,只有进行必要的安全意识教育。而要发动安全意识培训教育活动,仍然要从高层做起,无论CISO或CSO都难以独自担当宣传培训活动的重任,无疑,要协作起来,成立安全意识培训委员会,当然谈到对人员进行培训,不能少掉培训部门的参与,甚至人力资源总监CHO也得进来。

至于信息安全战略的制定,无非也是高层的工作。昆明亭长朗然科技有限公司安全培训顾问Alice Wong说:高层在这方面则应成立信息安全委员会,一来彰显“谁管理,谁负责”,二来由最高层制定的战略文件才能在全公司或集团范围内顺利开展。在安全意识培训活动中,高管们无疑应该做出表率,谈一谈信息安全对公司成功的重要性,向员工们分享一些与工作密切相关的安全经验,比如如何识别和防范社交工程攻击等等。

信息安全会变得越来越难,不过我们可以看到高管们在积极地参与到安全建设之中,不仅仅是出于业务流程、信息系统及数据的安全保障,更是站在公司治理、法规遵循和风险管理的高处,同样,也是保障客户、供应链、销售链等等的信息安全需求。

security-matters