如何在IT部門中建立安全文化

胡立

如果IT部門中不存在安全文化，那么在企業(yè)中建立安全文化是不可能的。IT部門應(yīng)該具有廣泛而顯著的安全文化，可以作為企業(yè)所有其他部門的示例。

大多數(shù)公司都認(rèn)為，企業(yè)IT部門或其他部門的內(nèi)部安全專家可以保護其99 %以上的員工，使其不被懷有惡意的攻擊者發(fā)現(xiàn)對業(yè)務(wù)敏感或?qū)I(yè)務(wù)至關(guān)重要的信息。不幸的是，許多IT部門都存在同樣的錯覺。95 %以上的IT員工認(rèn)為，其安全團隊（可能只占IT員工總數(shù)的5 %或更少）將使他們擺脫困境。事實證明，這些想法很多都是錯誤的，安全威脅仍然存在。

在當(dāng)前普遍存在安全意識的時代，幾乎每個企業(yè)都建立了安全計劃。安全計劃包括由企業(yè)的首席信息安全官或高級安全領(lǐng)導(dǎo)者制定的政策、實施政策的運營控制、實施控制的工作規(guī)則和程序、支持規(guī)則和程序的工具以及使用工具監(jiān)控的安全運營團隊規(guī)則和程序，并審查控制的一致性和有效性。這聽起來很復(fù)雜，但大多數(shù)IT部門都很好地理解了成功的安全計劃的關(guān)鍵部分，大多數(shù)企業(yè)已經(jīng)在某種程度上實現(xiàn)了。

安全計劃和安全文化是兩回事。在安全文化中，員工對其公司面臨的網(wǎng)絡(luò)安全威脅有充分的了解。他們了解在其行業(yè)或市場惡意行為者的動機和意圖。企業(yè)的網(wǎng)絡(luò)安全問題和關(guān)注點在業(yè)務(wù)會議中經(jīng)常討論，例如季度業(yè)務(wù)審查、業(yè)務(wù)戰(zhàn)略會議、預(yù)算規(guī)劃會議和并購評估等。不僅限于專門針對安全性的定期會議，因為企業(yè)領(lǐng)導(dǎo)者和工作人員了解安全性是日常業(yè)務(wù)運營的固有部分。在真正具有安全文化的企業(yè)中工作的員工，在實施安全保護措施方面可以發(fā)揮積極作用。

有些人可能會說，在多個地理位置運營的多元化大型公司中建立真正的安全文化是不可能的，但有大量證據(jù)證明是可以的。大多數(shù)金融服務(wù)公司都高度重視風(fēng)險管理，并發(fā)展了有效的安全文化。依賴于使用內(nèi)部開發(fā)的知識產(chǎn)權(quán)的公司，如制藥廠商，他們對網(wǎng)絡(luò)安全同樣謹(jǐn)慎。在許多大型跨國公司中同樣存在著廣泛而引人注目的安全文化。

IT部門應(yīng)該樹立榜樣

如果IT部門尚未存在這樣的文化，那么在企業(yè)內(nèi)部建立安全文化是不可能的。IT部門負(fù)責(zé)可能被惡意行為者操縱的路徑和流程的安全，在網(wǎng)絡(luò)安全防御中發(fā)揮核心作用。如果IT部門沒有認(rèn)真對待其網(wǎng)絡(luò)安全職責(zé)，那么在整個企業(yè)中建立這樣一種文化真的有希望嗎？

雖然IT部門無法獨立建立企業(yè)級的安全文化，但應(yīng)該提供其他職能部門可以模仿的這種文化示例，不過這種情況很少發(fā)生。有很多IT部門將安全職責(zé)委托給一小組安全專業(yè)人員，而其他工作人員在很大程度上忽略了這些安全職責(zé)。安全團隊以外的許多IT團隊經(jīng)常拒絕、忽視或辯論，將更嚴(yán)格的保護措施納入其現(xiàn)有技術(shù)堆棧或操作程序的指令。此外，當(dāng)被要求協(xié)助解決與安全有關(guān)的審計問題或?qū)μ囟ò踩录幕貞?yīng)時，個別工作人員表達(dá)沮喪或漠不關(guān)心的情況并不少見。安全培訓(xùn)通常被認(rèn)為是浪費時間以及占用個人其他更緊迫工作的行為。

建立安全文化

IT領(lǐng)導(dǎo)者在自己的組織內(nèi)建立安全文化，主要有以下有6個方面。

1.教育。教育工作人員識別威脅企業(yè)的惡意行為人的一般身份。討論在其他公司發(fā)生的類似產(chǎn)品、服務(wù)、運營模式或市場違規(guī)的案例。確保他們了解惡意行為者過去使用的主要途徑，例如滲透網(wǎng)絡(luò)或泄露敏感信息。

2.管理。建立優(yōu)先的網(wǎng)絡(luò)漏洞列表，通常稱為風(fēng)險登記。讓盡可能多的IT團隊成員加入到列表中，并確定已知漏洞的優(yōu)先級。為風(fēng)險登記冊上最多產(chǎn)或最有洞察力的貢獻(xiàn)者提供獎勵和表彰，以此作為鼓勵他人做出貢獻(xiàn)的一種手段。

3.談?wù)?。任何一個領(lǐng)導(dǎo)者如果每天自發(fā)地表現(xiàn)出對安全相關(guān)話題的興趣或關(guān)注，很快就會發(fā)現(xiàn)他的同事和下屬也在這樣做。工作人員從他們的領(lǐng)導(dǎo)那里得到暗示，無論是有意識的還是無意識的。

4.衡量。安全指標(biāo)設(shè)計起來很棘手。IT人員可以專注于企業(yè)范圍內(nèi)安全保障措施地實施或其有效性。出于可以理解的原因，許多公司不愿廣泛傳達(dá)其保障措施的有效性，如果不能與員工或管理團隊成員共享，其指標(biāo)不太可能影響員工行為。

5.個性化。利用每一個可能的機會，在員工作為互聯(lián)網(wǎng)消費者遇到的安全問題和他們在工作中遇到的安全問題之間建立類比。IT部門幫助團隊成員了解被破壞的憑證、勒索軟件、cookies和其他網(wǎng)絡(luò)威脅會如何影響他們的個人生活，并且會對他們在工作場所使用互聯(lián)網(wǎng)的方式變得更加敏感。

6.懲罰。在完美的世界中，只需要教育團隊成員關(guān)于網(wǎng)絡(luò)威脅和保護措施，他們的行為也會相應(yīng)改變。然而，在實際運營的世界中，當(dāng)政策、控制和操作程序有意或無意地受到損害時，需要對相關(guān)人員進行懲罰。當(dāng)業(yè)務(wù)結(jié)果受到損害時，員工通常會接受個人處罰。他們需要了解安全控制是出于商業(yè)原因而建立的，并且不遵守此類控制將會產(chǎn)生后果。懲罰顯然需要根據(jù)損害行為的嚴(yán)重程度進行分級，但如果沒有這樣的處罰，將會破壞企業(yè)試圖建立的文化。

引領(lǐng)安全文化

如果企業(yè)沒有一支由信息安全專業(yè)人士組成的團隊，那么無論他們是否技術(shù)精湛或資金充足，都很難保護企業(yè)免受各種黑客和網(wǎng)絡(luò)攻擊者的侵害。事實上，任何情況都無法實現(xiàn)絕對的安全保障，但如果企業(yè)能夠建立一種安全文化，每個員工都能理解他們面臨的風(fēng)險，并完全遵守保障措施的話，成功的可能性就會大大增加。雖然很少有人會反對這一說法，但大多數(shù)人對從哪里開始感到困惑。安全團隊必須有安全文化，因為這是他們的工作。安全團隊之外的IT專業(yè)人員需要全心全意地接受這種文化，并成為安全文化的傳播者。

當(dāng)安全文化支持者能夠?qū)⑴杂^者轉(zhuǎn)變?yōu)樾袆诱邥r，就會取得成功。如果IT領(lǐng)導(dǎo)者可以避免過度設(shè)計策略、控制和程序，并親自制定上述觸發(fā)因素實踐，他們可以在IT中創(chuàng)建成功的安全文化，為企業(yè)的其他部門提供指導(dǎo)。很多IT領(lǐng)導(dǎo)者表示，他們無法在公司內(nèi)部發(fā)揮更廣泛的領(lǐng)導(dǎo)作用，而建立安全文化是他們的機會。