让员工成为安全解决方案,而非安全隐患

2017-06-07 09:19:00 作者:曹衡康 分类 : 比特网

  尽管全球有数十亿美元的资金投入到了安全解决方案上,但所有企业用户都仍然觉得安全是个大问题。技术在增进人类福祉的同时,也给人们带来了全新的安全困扰和挑战。防范企业安全风险看起来是一项“技术活”,但其实无论是安全攻防还是技术对抗,网络安全领域的自然法则其实与“人“息息相关。

  过去这几年,越来越多的企业利用移动办公解决方案打造了更加敏捷、高效的办公环境,却也同时带来新的风险,如安全漏洞增多、网络攻击加剧等。数据显示,中国企业用户面临的安全状况日益严峻,他们更容易受到网络攻击,其脆弱性是其他亚洲经济体的9倍(详情点击这里)。

  在网络安全危机的推动下,国内企业不断更新部署前沿、加固的IT基础设施,以保护数据、资产安全和企业品牌。从热门的机器学习、人工智能,到基于的监控和分析技术,中国企业用户采用了很多最新的解决方案,以抵御网络犯罪。然而,这类方案实施的有效性却取决于一项容易被忽视的因素,即企业组织的重要部分——员工。

  随着BYOD灵活办公的普及,在保护企业的数据、应用、知识产权等安全时,员工常常成为最大的安全威胁。

  员工对IT安全政策的疏忽,以及对网络威胁的漠不关心是云安全最大的障碍之一。员工,显然对安全问题缺乏充分的了解,调查显示,几乎2/3的企业将“员工缺乏网络安全知识”归结为最大的内部威胁,公司内仅有1/10员工的完全了解网络攻击实施的全过程。

  近期思杰和波耐蒙研究所(Ponemon Institute)针对IT安全基础设施所展开的一项题为《全球调查:需要一种新的IT安全架构》的全球调查显示,超过一半(66%)的被访者表示,由于操作太过复杂,员工和第三方会选择绕过安全策略和技术。事实上,这种复杂性更会加剧“影子IT设备或软件”的增多,它们不受IT管理员监管。

  缺乏安全培训和安全意识不足常常导致两种截然不同的结果——知道自己遭遇了黑客入侵,以及完全不知道自己的网络被入侵。如果企业员工没有充分了解到攻击是如何发生的,既没有采取措施保护数据安全,也不会对网络风险进行监控并向IT管理人员求助,那么遭受网络攻击的隐患就会一直存在。

  企业怎样才能既让员工享有移动、高效、便捷的工作方式,又确保数据、应用和具备竞争优势的知识产权的储存安全?企业该如何提倡灵活、积极的IT安全管理文化,又该如何通过增加培训来提升员工的安全意识?

  让员工成为安全解决方案,而非安全隐患

  首先,企业确保把安全问题放在第一位,并使安全性要求牢牢植根于业务流程之中。安全要求需要嵌入到企业的日常运作中,让“人体防火墙”发挥作用,让员工成为安全解决方案,而不成为是安全隐患的组成部分。

  严格说来,应该在公司制定从上到下的安全策略,让尽可能多的部门员工、利益相关方提出意见和建议,网络安全问题人人有责。集中开展安全讲座,每年应该组织至少一次以上的常规培训。

  开展有趣的网络安全教育活动,数据泄露事件与社会工程学事件和鱼叉式网络钓鱼攻击有关。网络钓鱼攻击通常是电子邮件钓鱼,骗取受害者点击恶意链接,有些企业据此“定制”了假的钓鱼邮件,将邮件发送给员工,使IT团队能够了解哪些员工更容易受到攻击,从而为这些员工提供额外的培训,帮助他们了解如何发现更复杂的欺诈和骗局。

  我们提倡企业有责任为所有员工提供必要的工具、指导和培训,以提升员工保护企业安全的主观能动性。通过提供认证、全面的课程培训以及免费的学习机会,提高员工识别潜在攻击并及时做出响应的能力。

  激励员工守护企业网络安全

  进一步说,企业还应该让员工更加积极地参与到抵御安全攻击、维护网络安全的日常工作中去。明智的企业应该让员工树立安全观——安全是发展的前提,也是发展的保障,员工必须帮助企业保护知识产权等数据安全,与企业共筑网络安全防线。

  与此同时,建立持久的安全保护意识,提倡员工学习安全知识,让员工感到网络安全防护能力对个人成长至关重要。比如,此前提到的用“伪造”钓鱼邮件“模拟”安全攻击,就是帮助员工做好安全意识教育的一种方式,旨在培养员工识别潜在攻击的能力。

  这种模拟安全攻击是行之有效的培训工具,既可以测试企业员工遇到威胁、受到攻击时的反应,也可以作为一种互动式的员工培训活动,向员工介绍最佳实践和安全做法,激励员工创造一种自然抵制安全威胁的公司文化,减少大规模安全事件的发生几率。

  这种方法同时能够赋予企业员工更大的预防攻击的责任,每个人都可以培养出相应的安全习惯和意识,共同推进和保护企业网络安全。

  自下而上保护数据安全

  员工的安全意识很重要,但采取协作和移动办公的新员工们,不仅需要培养安全防护知识,更应该获得具有保障的技术基础设施,以确保应用、数据等安全。没有这样的IT安全基础设施,任何“有安全意识的”企业文化本质上都是脆弱的。

  为了应对网络威胁格局的日新月异,安全的核心技术支柱应该包括:身份和访问安全、网络安全、应用安全、数据安全以及监控和响应。企业历经数十年已经学会了一些基本措施、应急响应机制以及更为规范的安全流程,满足企业安全需求的解决方案,可以为企业用户全盘提供企业、网络、应用、数据直至员工的相关安全培训。最终让员工能够在任何地方安全、高效工作的同时,还能兼顾满足隐私、合规和安全风险管理的要求。

  网络威胁的不断演变推进了安全技术的发展,在媒体和公众对网络安全持续关注、移动办公方式越来越流行的今天,企业只有积极主动开展培训并充分提升员工的安全意识,同时加固IT基础设施,才能真正增强网络安全信心。

  这对所有企业而言,都是切实可行并能够实现的,随着数字化转型的加剧、互联网+的盛行、监管环境的变化,网络安全不仅对我们的工作、企业安全非常重要,而且对国家安全、国际事务的影响也不断增大,这些因素都将促使企业更加积极主动地升级保护措施,从“人“和技术两个方面增强安全性和可持续性。

  思杰 (Citrix) 公司大中华区总裁 曹衡康

芥末视频

最近更新
科普

科普图集
带着朋友和机器人上月亮散步

带着朋友和机器人上月亮散步>>详情

邮件订阅

软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯,最新的软件技巧,最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中,与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊!
网络周刊
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧,帮助网管答疑解惑,成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一,主要关注x86服务器,RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析,让您第一时间了解服务器行业的趋势。
存储周刊
比特存储周刊长期以来,为读者提供企业存储领域高质量的原创内容,及时、全面的资讯、技术、方案以及案例文章,力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
安全周刊
比特安全周刊通过专业的信息安全内容建设,为企业级用户打造最具商业价值的信息沟通平台,并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比,比特安全周刊运作模式更加独立,对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事,为企业级用户打造重点突出,可读性强,商业价值高的信息共享平台;同时为互联网、IT业界及通信厂商提供一条精准快捷,渗透力强,覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展,全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托,汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台,并持续提供丰富的资讯和服务,探讨信息化建设,推动中国信息化发展引领CIO未来职业发展。
IT专家网
IT专家新闻邮件长期以来,以定向、分众、整合的商业模式,为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容,包括IT新闻、评论、专家答疑、技巧和白皮书。此外,IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊
X周刊是一份IT人的技术娱乐周刊,给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍,同时用户还能参与我们推荐的互动游戏,给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。