建立強大安全文化的4個技巧

Dan Swinhoe

為了更好地保護數(shù)據(jù)，安全團隊需要創(chuàng)建一種個人責(zé)任文化，而不是責(zé)備和恐嚇。以下是兩位安全主管的做法。

安全團隊無法保護他們看不到的東西。雖然監(jiān)控工具做得越來越好，但是最終用戶和業(yè)務(wù)經(jīng)理需要告訴IT和安全團隊他們在不同應(yīng)用程序上所使用的數(shù)據(jù)，尤其是在出現(xiàn)問題時。

安全方面中的責(zé)備和恐嚇等企業(yè)文化意味著最終用戶不會告訴你他們是否使用了未經(jīng)批準(zhǔn)的應(yīng)用程序，點擊了惡意鏈接或看到了異常活動。直到問題出現(xiàn)之時已經(jīng)為時已晚。安全團隊?wèi)?yīng)該建立一種用戶個人責(zé)任文化，以便他們能夠像對待健康和安全等企業(yè)政策一樣對待數(shù)據(jù)安全。

責(zé)備文化只會讓安全性越來越差

將人視為一個薄弱環(huán)節(jié)，并創(chuàng)造一種員工擔(dān)心因安全故障而遭到報復(fù)的環(huán)境，這不是經(jīng)營企業(yè)的好方法。然而，一些企業(yè)往往會采取一些極端措施來懲罰騙局的受害者。一家蘇格蘭媒體公司在遭遇網(wǎng)絡(luò)釣魚騙局后解雇并起訴了一名員工，原因是騙子冒充該公司總經(jīng)理從這名員工手中騙走了約20萬英鎊（25萬美元）。Brian Krebs最近公布了多起員工因未通過模擬網(wǎng)絡(luò)釣魚測試而遭到解雇的案例。

這種責(zé)備文化只會讓員工在出現(xiàn)問題時不敢站出來……從而使數(shù)據(jù)面臨風(fēng)險?！斑@些處理信息的人不能成為薄弱環(huán)節(jié)，”畢馬威英國首席信息安全官Mark Parr說?！拔蚁Ｍ寙T工感到平易近人，如果他們犯了錯誤，他們能夠告訴我。這一切都是為了建立信任，讓我的同事們覺得我實際上是在支持他們而不是在事情出錯后就要處罰他們。”

為了幫助建立安全團隊與員工之間的信任，畢馬威啟動了一項計劃，旨在表揚那些在企業(yè)內(nèi)部發(fā)現(xiàn)了安全問題的員工。Parr稱：“我希望發(fā)展這種文化，讓人們樂于告訴我，或者是在發(fā)生問題或事情后，他們能夠向服務(wù)臺報告。我們有一個內(nèi)部系統(tǒng)，我們會表揚員工，其他員工也都可以看到。如果有人來找我說‘我注意到了這個問題'，那么我會讓他們的直接主管知道是這個人主動站出來報告了問題?！?/p>

英國電子商務(wù)零售商The Hut Group（THG）全球安全運營主管Graeme Park警告稱，無論員工是使用BYOD（自帶設(shè)備），還是從工作計算機訪問個人電子郵件，亦或是通過個人計算機訪問工作郵件，還是出于商業(yè)目的使用個人SaaS（軟件即服務(wù)）賬戶，鑒于業(yè)務(wù)與個人系統(tǒng)、應(yīng)用程序與設(shè)備之間的關(guān)系，糟糕的個人安全是企業(yè)遭到攻擊的一個因素。企業(yè)可以將控制與培訓(xùn)相結(jié)合，而不需要采取恐嚇的手段。Park稱：“這是一個重新培訓(xùn)的問題，目的是讓安全部門變得平易近人，而不是將員工打倒讓他們永遠無法翻身。”

例如，Park在網(wǎng)絡(luò)代理方面經(jīng)常“小題大做”，同時記錄所有內(nèi)容，包括對用戶訪問違規(guī)網(wǎng)站的行為進行警告并應(yīng)要求用戶提供理由，說明為什么需要使用訪問該頁面。他說：“你在履行控制權(quán)的同時應(yīng)給他們灌輸安全知識，讓他們思考并讓他們自己證明。如果員工們這樣做，那么他們會有意識地決定自己的所做所為是否正確，是否安全，是否符合規(guī)定?！?/p>

“他們也知道會在這個階段被審核，這實際上會讓他們再多考慮考慮。同時這也賦予了他們更多的權(quán)力，”Park補充道。

優(yōu)秀安全文化應(yīng)具備的特征

如果責(zé)備文化不好，那么優(yōu)秀的安全文化應(yīng)該是什么樣子呢？畢馬威的Parr認為：“人們下意識地知道與日常活動相關(guān)的風(fēng)險，并且有信心降低風(fēng)險或處理風(fēng)險。我們必須擯棄‘一切都很好，首席信息安全官會為我們處理好的這種想法?！?/p>

Parr和Park認為首席信息安全官應(yīng)該專注于在以下四個關(guān)鍵領(lǐng)域提供強大的安全文化。

1.讓安全性變得淺顯易懂

自從Parr在一年多前擔(dān)任首席信息安全官以來，畢馬威英國公司一直在改變其在公司內(nèi)部的安全文化和教育方法，以確保該公司在27個辦公地點的16000名英國員工在安全意識方面都處于同一水平。Parr稱：“良好的文化可讓人們對信息安全充滿自信和感到貼心，而不是覺得它們是一門科學(xué)或玄學(xué)?！?/p>

創(chuàng)建具有安全意識的文化的一個關(guān)鍵方面是讓受眾喜聞樂見，為此畢馬威的安全教育內(nèi)容盡可能以簡單易懂的語言編寫，并且適用于員工。Parr稱：“我希望員工在家中對信息安全的看法與他們在工作中的看法一致。通過設(shè)定現(xiàn)實生活場景，為員工指出明確的方向非常關(guān)鍵?！?/p>

“無論是幫助客戶進入我們的客戶演示套件的前臺工作人員，還是正在進行審計的人員，或者是幫助客戶解決技術(shù)問題的技術(shù)團隊人員，只要語言是一樣的，那么就都可以聽懂?！?/p>

這些基礎(chǔ)知識會讓最終用戶更容易理解，反過來也意味著他們會更加認真地對待企業(yè)信息的安全性，因為他們可以想象出錯的后果。Parr說：“對我來說，成功的關(guān)鍵是責(zé)任。如果員工認為他們理解了為什么自己對這些數(shù)據(jù)的處理和管理負有責(zé)任，那么我就做對了?！?/p>

2.提供持續(xù)的意識培訓(xùn)

作為這種文化變革的一部分，畢馬威已經(jīng)從演示、評估進行到了Parr所稱的“持續(xù)不斷地灌輸意識”階段，即通過活動、培訓(xùn)、視頻和播客培養(yǎng)意識。“觀看幻燈片、盡可能快地點擊、最后回答20個問題并希望你及格，然而這些并沒有真正向我展示任何東西，只表示你能夠記住幻燈片中的一些信息。我想要的是讓人們了解一些規(guī)則和指導(dǎo)，知道自己可以做什么和不能做什么，以及自己的角色?！?/p>

Parr稱：“首先要使用非常簡單的語言、易于閱讀的政策文件，將這些文件壓縮成像篇幅不大的新聞熱點一樣，以吸引人們抽時間閱讀它們。然后再配上三分鐘時長的小視頻，方便人們乘車上班途中觀看這些視頻。這樣做的目的是為了保持意識灌輸活動持續(xù)不斷，讓員工始終處于被提醒中?！?/p>

雖然對文化進行測評非常困難，但是Parr還與公司的學(xué)習(xí)和開發(fā)團隊合作，圍繞公司有多少員工正在收聽播客、觀看視頻以及與團隊正在制作的其他安全內(nèi)容進行互動等情況制定了參與度指標(biāo)。這樣有助于獲得培訓(xùn)材料是否與工作人員產(chǎn)生共鳴的指標(biāo)。

他補充道，“我還需要不斷考慮與員工進行互動的新方法，不僅要在安全性方面提醒他們，還要讓他們更多地參與到我正在嘗試的事情當(dāng)中。”

為了提升員工學(xué)習(xí)的積極性，公司高層會定期鼓勵員工觀看、閱讀和收聽這些安全材料。業(yè)務(wù)信息安全官們要作為信息安全主題專家深入到業(yè)務(wù)領(lǐng)域，鼓勵員工更直接地參與其中。

3.與使用影子IT的員工合作

以安全為由解雇員工，從而制止員工使用未經(jīng)批準(zhǔn)的應(yīng)用程序（稱為影子IT）是不明智的。Park認為“影子IT長期以來一直是一個問題，其背后的推動因素實際上是IT系統(tǒng)無處不在，無論是軟件還是硬件，無論是在家里還是其他地方?！?/p>

Park稱：“這些人并不壞，他們也并沒有試圖利用影子IT故意規(guī)避公司政策或公司安全策略。通常情況下，他們只是想更好更快更容易地完成工作。這是IT和安全部門的失敗，我們可以從阻止者變?yōu)橥苿诱?，確保員工們擁有完成工作所需的工具?！?/p>

Park表示影子IT的范圍涉及SaaS服務(wù)、未經(jīng)批準(zhǔn)的桌面應(yīng)用程序以及一些“規(guī)模很小但是影響力很大的東西”，如與Slack或JIRA、瀏覽器擴展、甚至是與企業(yè)網(wǎng)絡(luò)上類似亞馬遜Alexa等設(shè)備的整合。無論影子IT采取何種形式，IT和安全都應(yīng)以更加開放的態(tài)度接受它們。如果因擔(dān)心違反公司政策而遭到處罰，那么將導(dǎo)致用戶永遠都不會告訴IT部門他們在做什么。

Park稱：“在這一點上，我們要更加聰明靈活。無論怎么說這些事情都在切切實實地發(fā)生。如果使用這些外部工具的風(fēng)險有限——假設(shè)有人想要在工作中使用某款設(shè)計工具，而這些工作又不涉秘——那么這種情況的風(fēng)險可能有限。你需要能夠為人們提供一定程度的靈活性?！?/p>

4.積極展示優(yōu)秀安全文化

改變企業(yè)內(nèi)部的安全文化也意味著改變安全團隊的思維方式。員工們希望首席安全官成為一名優(yōu)秀的溝通者和領(lǐng)導(dǎo)者，和首席安全官一樣，安全團隊也要追求這種效果。

Park稱：“過去十年來，安全團隊在平易近人方面做得并不是很好。我們很少用簡單的語言進行表述，我們也沒有在闡明真正的基本技術(shù)問題的基礎(chǔ)上闡明風(fēng)險。”

Park認為，安全需要以類似健康和安全警告的方式傳達信息。“向人們解釋為什么不應(yīng)在沒有個人防護裝備（PPE）的情況下進行攀巖，因為這種后果是顯而易見的。但是向人們解釋為什么他們在使用SharePoint時不能使用Dropbox卻非常困難，因為它們的后果并不像在沒防護的情況下攀巖的后果那么明顯。”

“我們需要真正的參與和教育，從而確保員工了解他們正在做什么，知道如果自己失去了某些文件或知識產(chǎn)權(quán)會發(fā)生什么。將問題框在每個人應(yīng)承擔(dān)的責(zé)任當(dāng)中具有巨大價值，”Park說。

Parr也一直與安全團隊合作，嘗試著改變他們的思維方式，讓他們成為自己向公司其他部門灌輸安全文化的大使和擁護者。他說：“這些人正在展示優(yōu)秀的安全文化應(yīng)該是什么樣子，同時也讓他們的同事不斷看到這些優(yōu)秀的安全文化。很長一段時間以來，信息安全被視為一種商業(yè)行為，這扼殺了許多好的想法。現(xiàn)在不能再這樣下去了，我們應(yīng)當(dāng)讓企業(yè)清楚我們的工作和推動方式，讓他們知道這么做是安全且可靠的。”

本文作者Dan Swinhoe為CSO Online網(wǎng)站記者，曾擔(dān)任IDG Connect網(wǎng)站高級編輯。

原文網(wǎng)址

https：//www.csoonline.com/article/3404518/4-ways-to-build-a-strong-security-culture.html