10月是企业全意安全意识月,这是何开一个令人兴奋的时刻,因为世界各地的始升识工企业都在培训人们如何在工作和家庭中保持网络安全。但是企业全意,安全意识到底是何开什么?更重要的是,我们为什么要关心它?始升识工
根据企业的不同,安全意识有许多其他名称:安全影响、文化、参与、培训、教育等。所有这些不同的名字可能看起来令人困惑,但归根结底,它们都在谈论同一件事——管理人类风险。
企业、网络安全领袖和网络安全社区都认为:在当今高度互联的世界中,人员是最大的安全风险。
最新发布的《威瑞森数据泄露调查报告》(DBIR)指出,全球超过80%的数据泄露事件都与人有关。这些事件可能涉及人们被网络钓鱼邮件或诈骗攻击的目标,或者人们犯了错误(例如,IT管理员错误配置了他们的云账户,不小心与整个世界共享了敏感数据)。
传统的方法一直是在问题上投入更多的技术。如果网络攻击者成功利用电子邮件进行网络钓鱼,将部署安全技术,过滤和阻止网络钓鱼式电子邮件攻击。如果网络攻击者正在泄露人们的密码,将实施多因素认证。问题是,网络攻击者绕过这些技术,把目标对准了人员。
随着我们在识别和阻止钓鱼式电子邮件攻击方面做得越来越好,网络攻击者以人们的手机为目标,通过短信或短信进行攻击。随着越来越多的企业部署MFA,网络攻击者开始用MFA请求纠缠人们,直到他们批准(就像最近发生在Uber)。
这也是我们遇到第二个挑战的地方:安全团队太过频繁地指责人是人为风险问题的根本原因——正如经常使用的短语所证明的那样,如“人才是最薄弱的一环”和“如果的员工按照我们告诉他们的去做,他们和我们都是安全的。”
但当从普通员工的角度来看网络安全时,就会发现,安全社区往往是罪魁祸首。我们把网络安全搞得如此混乱、可怕、势不可挡,以至于我们让人们注定要失败。人们常常不知道该做什么,或者即使他们知道该做什么,做正确的事情变得如此困难,以至于他们做错了,或者干脆选择了另一个选项。
只要看看密码就知道了,它是入侵的最大驱动因素之一。多年来,人们继续以不安全的方式使用弱密码,但这个问题仍然存在,因为我们教授的密码策略令人困惑,而且不断变化。例如,许多企业或网站的策略要求复杂的密码为15个字符,包括大小写字母、符号和数字。然后,我们要求人们每90天更换一次密码,但没有提供一种安全的方法来保护所有这些冗长、复杂和不断变化的密码。
然后推出MFA来帮助人们安全,但是,再一次,这非常令人困惑(甚至对我来说!)首先,我们对MFA有多个不同的名称,包括双因素身份验证、两步验证、强身份验证或一次性密码。然后我们有多种不同的方法来实现它,包括推送通知、文本消息、基于FIDO令牌的应用程序、身份验证应用程序等。你访问的每个网站都有不同的名称和技术实现,然后我们再一次责备人们不使用它。
安全意识培训一直是传统的方法,它涉及与员工沟通和培训如何实现网络安全。虽然这是朝着正确方向迈出的一步,但我们还需要进一步:我们需要管理人为风险。
管理人力风险需要一种更具战略性的方法。它建立在安全意识的基础上,包括:
管理人员风险正成为每个安全领导者战略的基本组成部分。当我们试图与员工沟通、参与和培训员工时,安全意识是朝着正确方向迈出的第一步,但我们需要更专注、更战略性的努力来真正管理人类风险。也许有一天,我们甚至会发展壮大,用人类风险官取代安全意识官的角色。
责任编辑:赵宁宁 来源: 机房360 安全意识网络安全(责任编辑:时尚)
OPPO Find X2系列发布:3K/120Hz屏、地表最强三摄
罗辑思维与papi酱广告招标拍卖会 丽人丽妆2200万天价中标
凯撒文化(002425.SZ)公布消息:一季度净利润预增80%
IDC:未来5年中国公有云市场高速增长,复合增长率达30.9%
中国银行(03988.HK)拟赎回全部2.8亿股第二期境内优先股 每股面值人民币100元