论文部分内容阅读
防范企业安全风险看起来是一项“技术活”，但其实无论是安全攻防还是技术对抗，网络安全领域的自然法则其实与“人”息息相关。
随着BYOD灵活办公的普及，在保护企业的数据、应用、知识产权等方面，员工常常成为最大的安全威胁。
员工对IT安全政策的疏忽，以及对网络威胁的漠不关心是云安全最大的障碍之一。员工显然对安全问题缺乏充分的了解。调查显示，几乎2/3的企业将“员工缺乏网络安全知识”归结为最大的内部威胁，公司内仅有1/10的员工完全了解网络攻击实施的全过程。
近期思杰和波耐蒙研究所（Ponemon Institute）针对IT安全基础设施所展开的一项题为《全球调查：需要一种新的IT安全架构》的全球调查显示，超过一半（66%）的被访者表示，由于操作太过复杂，员工和第三方會选择绕过安全策略和技术。事实上，这种复杂性更会加剧“影子IT设备或软件”的增多，它们不受IT管理员监管。
缺乏安全培训和安全意识不足常常导致两种截然不同的结果——知道自己遭遇了黑客入侵，以及完全不知道自己的网络被入侵。如果企业员工没有充分了解攻击是如何发生的，既没有采取措施保护数据安全，也不会对网络风险进行监控并向IT管理人员求助，那么遭受网络攻击的隐患就会一直存在。
企业怎样才能既让员工享有移动、高效、便捷的工作方式，又确保数据、应用和具备竞争优势的知识产权的存储安全？企业该如何提倡灵活、积极的IT安全管理文化，又该如何通过增加培训来提升员工的安全意识？
首先，要让员工成为安全卫士，而非安全隐患。
企业要确保把安全问题放在第一位，并使安全性要求牢牢植根于业务流程之中。安全要求需要嵌入到企业的日常运作中，让“人体防火墙”发挥作用，让员工成为安全解决方案，而不是安全隐患的组成部分。
严格说来，应该在公司制定从上到下的安全策略，让尽可能多的部门员工、利益相关方提出意见和建议，网络安全问题人人有责。集中开展安全讲座，每年应该组织一次以上的常规培训。
开展有趣的网络安全教育活动，数据泄露事件与社会工程学事件和鱼叉式网络钓鱼攻击有关。网络钓鱼攻击通常是电子邮件钓鱼，骗取受害者点击恶意链接。有些企业据此“定制”了假的钓鱼邮件，将邮件发送给员工，使IT团队能够了解哪些员工更容易受到攻击，从而为这些员工提供额外的培训，帮助他们了解如何发现更复杂的欺诈和骗局。思杰 （Citrix） 公司大中华区总裁曹衡康表示：“我们提倡企业有责任为所有员工提供必要的工具、指导和培训，以提升员工保护企业安全的主观能动性。通过提供认证、全面的课程培训，以及免费的学习机会，提高员工识别潜在攻击并及时做出响应的能力。”
其次，要激励员工守护企业网络安全。
进一步说，企业还应该让员工更加积极地参与到抵御安全攻击、维护网络安全的日常工作中去。明智的企业应该让员工树立安全观——安全是发展的前提，也是发展的保障，员工必须帮助企业保护知识产权等数据安全，与企业共筑网络安全防线。
与此同时，树立持久的安全保护意识，提倡员工学习安全知识，让员工感到网络安全防护能力对个人成长至关重要。比如，此前提到的用“伪造”钓鱼邮件“模拟”安全攻击，就是帮助员工提升安全意识的一种方式，旨在培养员工识别潜在攻击的能力。
这种模拟安全攻击是行之有效的培训工具，既可以测试企业员工遇到威胁、受到攻击时的反应，也可以作为一种互动式的员工培训活动。向员工介绍最佳实践和安全做法，激励员工创造一种自然抵制安全威胁的公司文化，减少大规模安全事件的发生几率。
这种方法同时能够赋予企业员工更大的预防攻击的责任，每个人都可以养成相应的安全习惯和意识，共同推进和保护企业网络安全。
最后，要自下而上保护数据安全。
员工的安全意识很重要，但采取协作和移动办公的新员工们，不仅需要培养安全防护知识，更应该获得具有保障的技术基础设施，以确保应用、数据等安全。没有这样的IT安全基础设施，任何“有安全意识的”企业文化本质上都是脆弱的。
为了应对网络威胁格局的日新月异，安全的核心技术支柱应该包括：身份和访问安全、网络安全、应用安全、数据安全，以及监控和响应。企业历经数十年已经学会了一些基本措施、应急响应机制，以及更为规范的安全流程、满足企业安全需求的解决方案，可以为企业用户全盘提供企业、网络、应用、数据直至员工的相关安全培训。最终，让员工能够在任何地方安全、高效工作的同时，还能兼顾满足隐私、合规和安全风险管理的要求。
网络攻击的不断演变推进了安全技术的发展。在媒体和公众对网络安全持续关注、移动办公方式越来越流行的今天，企业只有积极主动开展培训，并充分提升员工的安全意识，同时加固IT基础设施，才能真正增强网络安全信心。这对所有企业而言，都是切实可行并能够实现的。
随着数字化转型的加速、“互联网 ”模式的流行、监管环境的变化，网络安全不仅对我们的工作、企业安全非常重要，而且对国家安全、国际事务的影响也不断增大，这些因素都将促使企业更加积极主动地升级保护措施，从“人”和“技术”两个方面增强安全性和可持续性。
随着BYOD灵活办公的普及，在保护企业的数据、应用、知识产权等方面，员工常常成为最大的安全威胁。
员工对IT安全政策的疏忽，以及对网络威胁的漠不关心是云安全最大的障碍之一。员工显然对安全问题缺乏充分的了解。调查显示，几乎2/3的企业将“员工缺乏网络安全知识”归结为最大的内部威胁，公司内仅有1/10的员工完全了解网络攻击实施的全过程。
近期思杰和波耐蒙研究所（Ponemon Institute）针对IT安全基础设施所展开的一项题为《全球调查：需要一种新的IT安全架构》的全球调查显示，超过一半（66%）的被访者表示，由于操作太过复杂，员工和第三方會选择绕过安全策略和技术。事实上，这种复杂性更会加剧“影子IT设备或软件”的增多，它们不受IT管理员监管。
缺乏安全培训和安全意识不足常常导致两种截然不同的结果——知道自己遭遇了黑客入侵，以及完全不知道自己的网络被入侵。如果企业员工没有充分了解攻击是如何发生的，既没有采取措施保护数据安全，也不会对网络风险进行监控并向IT管理人员求助，那么遭受网络攻击的隐患就会一直存在。
企业怎样才能既让员工享有移动、高效、便捷的工作方式，又确保数据、应用和具备竞争优势的知识产权的存储安全？企业该如何提倡灵活、积极的IT安全管理文化，又该如何通过增加培训来提升员工的安全意识？
首先，要让员工成为安全卫士，而非安全隐患。
企业要确保把安全问题放在第一位，并使安全性要求牢牢植根于业务流程之中。安全要求需要嵌入到企业的日常运作中，让“人体防火墙”发挥作用，让员工成为安全解决方案，而不是安全隐患的组成部分。
严格说来，应该在公司制定从上到下的安全策略，让尽可能多的部门员工、利益相关方提出意见和建议，网络安全问题人人有责。集中开展安全讲座，每年应该组织一次以上的常规培训。
开展有趣的网络安全教育活动，数据泄露事件与社会工程学事件和鱼叉式网络钓鱼攻击有关。网络钓鱼攻击通常是电子邮件钓鱼，骗取受害者点击恶意链接。有些企业据此“定制”了假的钓鱼邮件，将邮件发送给员工，使IT团队能够了解哪些员工更容易受到攻击，从而为这些员工提供额外的培训，帮助他们了解如何发现更复杂的欺诈和骗局。思杰 （Citrix） 公司大中华区总裁曹衡康表示：“我们提倡企业有责任为所有员工提供必要的工具、指导和培训，以提升员工保护企业安全的主观能动性。通过提供认证、全面的课程培训，以及免费的学习机会，提高员工识别潜在攻击并及时做出响应的能力。”
其次，要激励员工守护企业网络安全。
进一步说，企业还应该让员工更加积极地参与到抵御安全攻击、维护网络安全的日常工作中去。明智的企业应该让员工树立安全观——安全是发展的前提，也是发展的保障，员工必须帮助企业保护知识产权等数据安全，与企业共筑网络安全防线。
与此同时，树立持久的安全保护意识，提倡员工学习安全知识，让员工感到网络安全防护能力对个人成长至关重要。比如，此前提到的用“伪造”钓鱼邮件“模拟”安全攻击，就是帮助员工提升安全意识的一种方式，旨在培养员工识别潜在攻击的能力。
这种模拟安全攻击是行之有效的培训工具，既可以测试企业员工遇到威胁、受到攻击时的反应，也可以作为一种互动式的员工培训活动。向员工介绍最佳实践和安全做法，激励员工创造一种自然抵制安全威胁的公司文化，减少大规模安全事件的发生几率。
这种方法同时能够赋予企业员工更大的预防攻击的责任，每个人都可以养成相应的安全习惯和意识，共同推进和保护企业网络安全。
最后，要自下而上保护数据安全。
员工的安全意识很重要，但采取协作和移动办公的新员工们，不仅需要培养安全防护知识，更应该获得具有保障的技术基础设施，以确保应用、数据等安全。没有这样的IT安全基础设施，任何“有安全意识的”企业文化本质上都是脆弱的。
为了应对网络威胁格局的日新月异，安全的核心技术支柱应该包括：身份和访问安全、网络安全、应用安全、数据安全，以及监控和响应。企业历经数十年已经学会了一些基本措施、应急响应机制，以及更为规范的安全流程、满足企业安全需求的解决方案，可以为企业用户全盘提供企业、网络、应用、数据直至员工的相关安全培训。最终，让员工能够在任何地方安全、高效工作的同时，还能兼顾满足隐私、合规和安全风险管理的要求。
网络攻击的不断演变推进了安全技术的发展。在媒体和公众对网络安全持续关注、移动办公方式越来越流行的今天，企业只有积极主动开展培训，并充分提升员工的安全意识，同时加固IT基础设施，才能真正增强网络安全信心。这对所有企业而言，都是切实可行并能够实现的。
随着数字化转型的加速、“互联网 ”模式的流行、监管环境的变化，网络安全不仅对我们的工作、企业安全非常重要，而且对国家安全、国际事务的影响也不断增大，这些因素都将促使企业更加积极主动地升级保护措施，从“人”和“技术”两个方面增强安全性和可持续性。