搜索

[13480] 2018-11-30_网络安全文化建设的六大方法论，解读《2018网络安全文化报告》

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-11-30_网络安全文化建设的六大方法论，解读《2018网络安全文化报告》 网 络 安 全 文 化 建 设 的 六 大 方 法 论 ， 解 读 《 2 0 1 8 网 络 安 全 文 化 报 告 》 原 创   F r e d d y   F r e e B u f   2 0 1 8 - 1 1 - 3 0 前 言 前 言 在 当 今 严 峻 的 网 络 安 全 形 势 下 ， 相 信 各 类 企 事 业 机 关 对 与 网 络 安 全 重 要 性 的 认 识 已 经 不 用 多 说 了 ， 但 是 网 络 安 全 文 化 构 建 还 极 度 缺 失 。 来 自 来 自 I S A C A 研 究 所 的 研 究 所 的 《 《 2 0 1 8 年 网 络 安 全 文 化 报 告 》 年 网 络 安 全 文 化 报 告 》 指 出 ， 指 出 ， 9 5 ％ 的 全 球 受 访 者 认 为 他 们 当 前 的 网 络 安 全 文 化 建 设 ％ 的 全 球 受 访 者 认 为 他 们 当 前 的 网 络 安 全 文 化 建 设 与 期 望 的 最 终 状 态 存 在 巨 大 差 距 ， 在 网 络 安 全 领 域 的 资 源 投 入 需 要 优 先 考 虑 网 络 安 全 文 化 的 培 训 和 体 系 构 建 ， 与 期 望 的 最 终 状 态 存 在 巨 大 差 距 ， 在 网 络 安 全 领 域 的 资 源 投 入 需 要 优 先 考 虑 网 络 安 全 文 化 的 培 训 和 体 系 构 建 ， 同 时 还 要 建 立 年 度 网 络 安 全 文 化 评 估 以 提 高 员 工 意 识 。 同 时 还 要 建 立 年 度 网 络 安 全 文 化 评 估 以 提 高 员 工 意 识 。 本 文 就 来 对 《 2 0 1 8 年 网 络 安 全 文 化 报 告 》 进 行 一 个 解 读 ， 权 当 为 相 关 人 士 抛 砖 引 玉 ~
概 述 概 述 对 于 一 个 组 织 而 言 ， 每 一 个 活 生 生 的 人 才 是 网 络 安 全 态 势 战 略 管 理 的 核 心 。 然 而 ， 大 多 数 网 络 安 全 防 御 体 系 的 构 建 还 是 基 于 传 统 的 战 争 模 式 ， 核 心 理 念 是 确 保 所 有 边 界 的 安 全 ， 御 敌 于 外 。 I S A C A 研 究 所 的 安 全 专 家 指 出 ， 传 统 理 念 在 迅 速 变 异 的 网 络 犯 罪 形 式 和 手 段 面 前 早 已 不 堪 一 击 ， 传 统 的 网 络 安 全 长 城 已 经 千 疮 百 孔 。 来 自 世 界 经 济 论 坛 的 分 析 师 表 示 ， 想 要 成 功 应 对 激 增 的 网 络 攻 击 ， 协 调 一 致 的 团 队 努 力 是 必 要 条 件 。 在 商 业 环 境 中 ， 高 绩 效 团 队 的 特 征 是 公 开 交 流 、 信 任 、 合 作 和 清 晰 的 责 任 划 分 。 对 于 网 络 安 全 这 一 块 也 是 一 样 的 ， 企 业 从 上 至 下 能 够 拿 出 积 极 的 态 度 和 持 之 以 恒 的 行 动 ， 效 果 远 远 比 国 家 层 面 通 过 技 术 打 击 或 通 过 警 方 介 入 好 得 多 。 但 是 并 非 每 个 组 织 、 每 家 企 业 都 能 建 立 这 样 的 工 作 文 化 ， 让 安 全 意 识 和 行 为 无 缝 融 入 到 到 每 个 人 的 日 常 工 作 中 。 I S A C A 研 究 所 就 是 在 这 样 的 背 景 下 进 行 了 一 次 全 球 范 围 内 的 网 络 安 全 文 化 调 查 ， 力 求 探 明 能 够 做 到 这 一 点 的 组 织 有 哪 些 文 化 特 征 和 做 法 ， 如 何 管 理 和 维 护 数 字 资 产 、 网 络 、 知 识 产 权 、 雇 员 的 行 为 。 网 络 安 全 文 化 的 特 征 网 络 安 全 文 化 的 特 征 在 企 业 的 数 字 化 转 型 中 ， 员 工 对 于 数 据 的 获 取 、 流 转 、 处 理 等 日 常 操 作 构 成 了 一 个 组 织 的 “ 网 络 文 化 ” 的 一 部 分 。 要 审 视 企 业 的 网 络 安 全 文 化 ， 需 要 深 入 研 究 个 人 信 仰 、 刻 板 印 象 和 习 惯 等 因 素 ， 这 些 内 容 可 为 分 析 整 个 企 业 的 安 全 相 关 行 为 提 供 信 息 基 础 。 除 了 与 信 息 技 术 有 关 的 安 全 措 施 外 , 这 些 数 据 还 能 体 现 出 一 个 组 织 的 风 险 框 架 。 什 么 是 有 效 的 网 络 安 全 文 化 ？ 什 么 是 有 效 的 网 络 安 全 文 化 ？ 研 究 显 示 ， 成 功 的 网 络 安 全 文 化 需 要 员 工 具 备 以 下 特 质 ： 清 楚 了 解 保 障 终 端 安 全 需 要 做 什 么 ； 能 够 参 与 常 规 的 安 全 培 训 ； 积 极 尝 试 网 络 安 全 项 目 规 定 的 操 作 方 法 和 习 惯 。 如 果 全 体 员 工 都 能 具 备 以 上 特 质 ， 企 业 能 够 获 得 以 下 好 处 ： 能 够 看 到 潜 在 的 风 险 点 ； 减 少 网 络 安 全 事 件 的 发 生 ； 在 遭 到 网 络 攻 击 后 能 够 快 速 恢 复 业 务 ； 开 展 全 新 业 务 的 能 力 大 大 增 强 ； 客 户 对 于 其 品 牌 的 信 任 度 不 断 上 升 。 本 次 调 查 得 到 的 数 据 显 示 ， 只 有 5 % 的 受 访 者 认 为 ， 他 们 当 前 的 网 络 安 全 文 化 建 设 符 合 预 期 ， 也 就 是 ， 高 达 9 5 % 的 受 访 者 认 为 ， 员 工 不 具 备 或 者 仅 具 备 以 上 特 质 中 的 几 项 ， 网 络 安 全 文 化 建 设 的 现 实 和 理 想 状 态 间 存 在 严 重 的 脱 节 ， 企 业 运 营 、 品 牌 忠 诚 度 和 竞 争 优 势 等 方 面 均 已 看 到 负 面 影 响 。 虽 然 受 访 者 或 多 或 少 都 认 识 到 了 这 一 差 距 ， 但 他 们 不 知 道 该 怎 么 做 ， 最 关 键 的 问 题 是 缺 乏 一 个 有 凝 聚 力 的 管 理 计 划 ， 一 个 全 员 投 入 的 抓 手 。 《 2 0 1 8 年 网 络 安 全 文 化 报 告 》 为 网 络 安 全 管 理 和 转 型 能 力 比 较 薄 弱 的 企 业 提 供 一 个 可 以 操 作 的 路 线 图 ， 均 是 从 成 功 实 践 的 企 业 身 上 得 出 的 共 性 。 方 法 一 ： 健 康 的 网 络 安 全 文 化 的 标 志 方 法 一 ： 健 康 的 网 络 安 全 文 化 的 标 志
参 与 这 项 全 球 研 究 的 4 8 1 5 名 受 访 者 中 ， 近 9 0 % 的 认 为 建 立 一 种 更 强 大 的 网 络 安 全 文 化 可 提 高 企 业 的 业 务 拓 展 能 力 和 生 存 能 力 ： 网 络 安 全 不 再 仅 仅 是 成 本 中 心 该 管 的 事 了 ， 而 是 一 个 企 业 业 务 的 推 动 力 。 标 志 一 、 良 性 循 环 标 志 一 、 良 性 循 环 在 企 业 内 部 ， 雇 员 明 确 了 解 自 己 的 角 色 和 责 任 后 可 形 成 一 种 良 性 循 环 。 当 网 络 攻 击 发 生 时 ， 企 业 能 够 以 非 常 灵 活 的 方 式 进 行 响 应 ， 通 过 动 态 的 防 御 手 段 加 快 业 务 恢 复 。 清 晰 的 架 构 能 够 加 强 各 部 门 之 间 的 交 互 和 理 解 ， 实 现 网 络 安 全 保 障 方 案 的 全 面 协 调 ， 在 法 律 法 规 不 断 变 化 的 情 况 下 快 速 合 规 ， 或 者 在 新 技 术 、 新 战 略 推 出 时 能 够 更 快 地 落 地 。 标 志 二 、 明 确 标 志 二 、 明 确 K P I 在 尚 未 建 立 有 效 网 络 安 全 文 化 的 组 织 中 ， 缺 乏 明 确 的 管 理 计 划 或 关 键 绩 效 指 标 是 一 个 共 同 的 特 点 。 员 工 并 不 觉 得 维 护 网 络 安 全 与 自 己 的 利 益 存 在 多 大 关 联 ， 导 致 企 业 更 容 易 暴 露 在 数 据 泄 露 、 商 业 机 会 流 失 、 客 户 忠 诚 度 下 降 、 监 管 机 构 处 罚 等 风 险 之 中 。 组 织 需 要 建 立 K P I 以 实 现 用 于 行 为 追 踪 和 改 进 的 衡 量 基 准 和 手 段 ， 然 后 根 据 K P I 制 定 政 策 ， 将 风 险 意 识 转 化 为 员 工 的 日 常 行 为 ， 构 建 有 意 识 的 安 全 文 化 。 方 法 二 ： 全 民 参 与 方 法 二 ： 全 民 参 与 高 层 管 理 者 从 各 个 角 度 的 推 动 非 常 关 键 ， 受 访 者 中 只 有 5 8 ％ 表 示 有 全 盘 的 网 络 安 全 文 化 管 理 计 划 和 政 策 ， 绝 大 多 认 为 是 C I S O （ 6 0 ％ ） 或 C I O （ 4 7 ％ ） 责 任 ， 只 有 6 ％ 的 受 访 者 邀 请 人 力 资 源 部 门 介 入 以 全 面 推 动 计 划 的 实 现 。 成 功 的 沟 通 往 往 是 双 向 的 ， 通 常 从 倾 听 员 工 的 想 法 开 始 。   大 约 4 6 ％ 的 组 织 在 过 去 一 年 内 采 取 过 措 施 来 评 估 员 工 对 组 织 的 网 络 安 全 文 化 或 指 导 方 针 的 看 法 或 理 解 。 专 家 表 示 ， 员 工 对 网 络 安 全 的 假 设 或 印 象 对 于 形 成 对 个 人 责 任 的 理 解 至 关 重 要 。 如 何 构 建 有 组 织 、 有 纪 律 的 网 络 安 全 文 化 如 何 构 建 有 组 织 、 有 纪 律 的 网 络 安 全 文 化 构 建 一 个 跨 团 队 的 核 心 网 络 安 全 文 化 团 队 可 唤 起 全 民 参 与 的 热 情 ， 可 以 这 么 做 ： 1 .   高 级 管 理 层 将 网 络 安 全 添 加 到 董 事 会 的 常 设 议 题 中 ， 确 保 始 终 有 充 足 的 资 源 支 持 计 划 推 进 ， 并 在 安 全 问 题 和 业 务 目 标 不 一 致 时 解 决 冲 突 。 2 .   信 息 安 全 教 育 业 务 部 门 研 究 和 推 广 最 有 效 的 安 全 流 程 。 3 .   I T 部 门 负 责 维 护 基 础 设 施 和 最 新 技 术 的 部 署 ， 并 收 集 网 络 安 全 分 析 数 据 。 4 .   人 力 资 源 部 分 通 过 培 训 、 研 讨 会 等 形 式 了 解 员 工 对 于 自 身 责 任 、 安 全 流 程 和 操 作 规 范 的 理 解 。 5 .   法 务 部 提 供 有 关 国 际 和 国 家 法 规 的 快 速 反 馈 ， 推 进 公 司 上 下 行 为 准 测 的 合 规 。 6 .   市 场 / 内 部 协 调 部 门 提 供 技 能 支 持 ， 通 过 内 部 渠 道 、 电 子 邮 件 、 提 示 列 表 、 海 报 、 网 络 研 讨 会 和 公 司 内 部 网 络 来 教 育 员 工 和 推 动 政 策 落 地 。 跨 部 门 的 网 络 安 全 团 队 可 以 快 速 推 进 网 络 安 全 试 点 计 划 和 培 训 ， 有 助 于 信 息 共 享 、 分 析 以 及 调 整 未 来 的 计 划 。 方 法 三 ： 赢 得 员 工 和 管 理 层 的 支 持 方 法 三 ： 赢 得 员 工 和 管 理 层 的 支 持 在 企 业 内 部 成 功 营 造 网 络 安 全 文 化 ， 与 全 体 员 工 和 管 理 层 的 支 持 密 不 可 分 。 根 据 I S A C A 研 究 所 的 调 查 ， 近 半 数 成 绩 斐
然 的 组 织 采 取 的 一 项 关 键 做 法 就 是 每 年 衡 量 和 评 估 员 工 的 意 见 。 结 果 表 明 ， 在 这 方 面 企 业 还 存 在 很 多 提 到 的 空 间 ： 3 4 ％ 的 受 访 者 认 为 他 们 的 员 工 清 楚 了 解 在 贯 彻 组 织 所 需 的 网 络 安 全 文 化 方 面 的 作 用 ;   4 7 ％ 的 受 访 者 表 示 他 们 的 员 工 只 是 “ 有 点 ” 了 解 它 ;   1 9 ％ 的 受 访 者 认 为 他 们 的 员 工 根 本 没 有 概 念 或 不 理 解 。 那 么 该 如 何 获 得 自 上 而 下 的 全 面 支 持 ？ 那 么 该 如 何 获 得 自 上 而 下 的 全 面 支 持 ？ 网 络 安 全 专 家 R o s s 提 出 了 一 些 沟 通 机 制 的 建 议 ： 1 .   在 新 员 工 的 入 职 流 程 中 加 入 安 全 协 议 内 容 。 2 .   在 部 署 新 硬 件 或 进 行 软 件 升 级 后 ， 每 哥 季 度 为 员 工 提 供 额 外 培 训 。 3 .   根 据 个 人 认 识 、 技 术 难 度 或 部 门 风 险 态 势 制 定 安 全 培 训 。 举 个 例 子 ， 财 务 部 门 在 面 对 个 人 数 据 时 该 怎 么 做 。 4 .   通 过 小 组 活 动 和 个 别 指 导 深 入 推 进 安 全 培 训 。 5 .   选 择 积 极 提 问 并 提 供 反 馈 的 监 察 员 。 6 .   选 取 网 络 攻 击 相 关 新 闻 来 来 讨 论 当 前 的 网 络 安 全 态 势 。 7 .   建 立 联 络 点 并 进 行 模 拟 演 练 ， 让 员 工 在 实 际 的 网 络 攻 击 中 掌 握 方 法 和 技 能 。 方 法 四 ： 制 定 相 应 的 基 准 测 试 方 法 四 ： 制 定 相 应 的 基 准 测 试 业 务 目 标 和 相 应 的 基 准 测 试 是 任 何 战 略 计 划 的 基 本 要 素 。 对 于 网 络 安 全 文 化 计 划 而 言 ， 组 织 应 考 虑 先 行 记 录 员 工 的 行 为 、 合 规 性 和 参 与 网 络 安 全 风 险 预 防 的 态 度 来 构 建 一 个 基 准 ， 然 后 努 力 帮 助 改 进 。 根 据 调 查 结 果 ， 有 近 三 分 之 一 的 企 业 虽 然 制 定 了 目 标 或 K P I ， 但 是 没 有 制 定 员 工 针 对 网 络 安 全 文 化 的 理 解 程 度 的 基 准 测 试 。 通 过 基 准 测 试 ， 组 织 还 可 以 衡 量 员 工 在 日 常 运 营 中 是 否 能 够 遵 循 指 南 或 主 动 报 告 可 疑 电 子 邮 件 、 行 为 或 事 件 。 这 些 信 息 可 以 作 为 相 关 培 训 的 出 发 点 或 者 是 针 对 性 的 干 预 措 施 。 将 将 I T 转 型 作 为 制 定 测 试 的 抓 手 转 型 作 为 制 定 测 试 的 抓 手 网 络 安 全 专 家 G r i n d s t a f f 建 议 将 网 络 安 全 规 则 融 入 到 员 工 的 设 备 申 请 和 软 件 更 新 流 程 中 。   网 络 安 全 团 队 可 以 借 助 后 续 电 子 邮 件 来 推 进 网 络 安 全 文 化 ， 比 如 员 工 在 进 行 如 下 操 作 时 ： 1 .   更 新 密 码 或 使 用 新 的 加 密 方 式 。 2 .   在 工 作 场 所 携 带 或 要 求 使 用 个 人 设 备 ， 如 笔 记 本 电 脑 、 平 板 电 脑 、 手 机 和 U S B 驱 动 器 。 3 .   开 始 涉 及 到 共 享 、 存 储 、 下 载 或 传 输 数 据 的 新 工 作 职 责 时 。 4 .   登 录 V P N 或 未 知 网 络 时 。 方 法 五 ： 组 织 培 训 ， 提 供 实 践 渠 道 方 法 五 ： 组 织 培 训 ， 提 供 实 践 渠 道 网 络 犯 罪 的 形 态 正 在 迅 速 变 异 ， 主 要 原 因 是 社 会 生 活 方 式 的 变 化 。 比 如 喜 欢 在 社 交 媒 体 上 公 开 个 人 信 息 或 使 用 不 安 全 设 备 （ B Y O D ） 的 员 工 ， 往 往 会 被 作 为 网 络 攻 击 的 切 入 点 ， 通 过 他 们 的 渠 道 安 装 未 经 批 准 的 软 件 或 者 提 供 凭 证 盗 窃 的 新 途 径 等 。 企 业 网 络 安 全 团 队 必 须 将 培 养 员 工 意 识 作 为 重 点 方 向 。 调 查 显 示 ， 近 四 成 的 组 织 已 经 加 强 了 以 风 险 意 识 、 隐 私 政 策 和 数 据 保 护 为 主 的 培 训 。   但 是 ， 依 然 有 半 数 组 织 处 于 网 络 社 区 或 社 交 媒 体 互 动 带 来 的 潜 在 威 胁 之 中 。 实 际 上 ， 上 述 培 训 还 远 远 不 够 。 例 如 ， 调 查 结 果 中 8 3 ％ 的 员 工 培 训 计 划 是 在 线 （ 基 于 计 算 机 的 培 训 ） 而 不 是 通 过 实 践 或 面 对 面 培 训 进 行 的 。
使 用 一 些 被 动 约 束 制 度 是 有 用 的 。   例 如 ， 通 过 人 工 方 式 提 示 员 工 进 行 密 码 更 新 ， 将 合 规 性 要 求 嵌 入 到 工 作 流 程 中 ， 或 者 强 制 设 置 系 统 更 新 周 期 以 求 通 过 软 件 和 技 术 获 得 保 护 。 受 访 的 部 分 组 织 做 得 更 好 。 它 们 积 极 开 展 试 点 计 划 ， 根 据 不 同 部 门 的 特 定 流 程 或 数 据 访 问 需 求 量 身 定 制 。 此 外 ， 当 员 工 收 到 可 能 包 含 恶 意 代 码 的 网 络 钓 鱼 电 子 邮 件 或 附 件 时 ， 安 全 团 队 能 够 通 过 主 动 防 御 系 统 及 时 监 测 并 进 行 干 预 。 将 游 戏 纳 入 培 训 研 讨 会 还 可 增 加 接 受 度 、 加 深 印 象 、 提 高 学 习 效 率 ， 比 如 员 工 可 扮 演 不 同 的 角 色 来 展 示 网 络 犯 罪 时 如 何 发 生 的 并 应 该 怎 么 预 防 ， 建 立 共 同 的 目 标 和 社 区 意 识 。 个 性 化 的 培 训 研 讨 会 包 括 Q ＆ A 等 互 动 元 素 ， 可 通 过 专 属 T 恤 、 帽 子 或 礼 品 证 书 等 方 式 激 励 安 全 意 识 得 到 提 升 的 员 工 。 方 法 六 ： 加 强 董 事 会 的 参 与 度 方 法 六 ： 加 强 董 事 会 的 参 与 度 网 络 安 全 威 胁 将 带 给 企 业 看 得 到 的 财 务 、 运 营 、 法 律 和 市 场 风 险 。 处 理 任 何 威 胁 （ 无 论 是 与 技 术 有 关 还 是 其 他 方 面 ） 都 是 董 事 会 的 责 任 范 畴 。 在 认 识 到 网 络 安 全 文 化 的 现 实 状 态 和 理 想 目 标 存 在 显 着 差 距 的 组 织 中 ， 三 分 之 一 的 受 访 者 认 为 缺 乏 高 管 支 持 是 主 要 的 绊 脚 石 。 将 网 络 安 全 文 化 充 分 融 入 到 内 部 时 遇 到 的 障 碍 还 包 括 资 金 不 足 、 组 织 目 标 冲 突 以 及 员 工 / 团 队 风 格 、 文 化 或 地 理 分 割 造 成 的 影 响 。 这 些 受 访 者 都 遇 到 过 业 务 问 题 和 竞 争 劣 势 ， 例 如 数 据 泄 露 、 法 律 / 监 管 处 罚 、 品 牌 信 任 度 下 降 、 员 工 敬 业 度 变 低 以 及 客 户 流 失 率 高 等 。 成 功 构 建 网 络 安 全 文 化 的 组 织 在 高 层 推 动 上 有 着 共 同 点 ， 比 如 高 层 管 理 人 员 以 身 作 则 加 强 自 身 行 为 规 范 ， 亲 自 担 任 网 络 安 全 团 队 领 导 ， 参 加 在 各 类 网 络 安 全 讨 论 活 动 ， 优 先 分 配 预 算 支 持 ， 聘 请 顾 问 ， 并 进 行 研 究 以 评 估 企 业 风 险 和 能 力 等 。 为 了 获 得 这 种 支 持 ， 专 家 建 议 C I S O 和 C I O 通 过 抛 出 一 些 引 人 注 目 的 商 业 案 例 来 阐 述 对 网 络 安 全 问 题 的 理 解 和 担 忧 。 他 们 应 该 详 细 说 明 安 全 问 题 将 如 何 影 响 企 业 资 产 、 新 产 品 开 发 、 市 场 战 略 以 及 企 业 使 命 等 方 面 。 * 本 文 作 者 ： 本 文 作 者 ： F r e d d y ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理