企业如何开始升级安全意识工作

​10月是安全意识月，这是一个令人兴奋的时刻，因为世界各地的企业都在培训人们如何在工作和家庭中保持网络安全。但是，安全意识到底是什么?更重要的是，我们为什么要关心它?

根据企业的不同，安全意识有许多其他名称：安全影响、文化、参与、培训、教育等。所有这些不同的名字可能看起来令人困惑，但归根结底，它们都在谈论同一件事——管理人类风险。

传统的方法不起作用　　

企业、网络安全领袖和网络安全社区都认为:在当今高度互联的世界中，人员是最大的安全风险。

最新发布的《威瑞森数据泄露调查报告》(DBIR)指出，全球超过80%的数据泄露事件都与人有关。这些事件可能涉及人们被网络钓鱼邮件或诈骗攻击的目标，或者人们犯了错误(例如，IT管理员错误配置了他们的云账户，不小心与整个世界共享了敏感数据)。

如果人类具有如此高的风险，应该做些什么呢?　　

传统的方法一直是在问题上投入更多的技术。如果网络攻击者成功利用电子邮件进行网络钓鱼，将部署安全技术，过滤和阻止网络钓鱼式电子邮件攻击。如果网络攻击者正在泄露人们的密码，将实施多因素认证。问题是，网络攻击者绕过这些技术，把目标对准了人员。

随着我们在识别和阻止钓鱼式电子邮件攻击方面做得越来越好，网络攻击者以人们的手机为目标，通过短信或短信进行攻击。随着越来越多的企业部署MFA，网络攻击者开始用MFA请求纠缠人们，直到他们批准(就像最近发生在Uber)。

这也是我们遇到第二个挑战的地方:安全团队太过频繁地指责人是人为风险问题的根本原因——正如经常使用的短语所证明的那样，如“人才是最薄弱的一环”和“如果的员工按照我们告诉他们的去做，他们和我们都是安全的。”

但当从普通员工的角度来看网络安全时，就会发现，安全社区往往是罪魁祸首。我们把网络安全搞得如此混乱、可怕、势不可挡，以至于我们让人们注定要失败。人们常常不知道该做什么，或者即使他们知道该做什么，做正确的事情变得如此困难，以至于他们做错了，或者干脆选择了另一个选项。

只要看看密码就知道了，它是入侵的最大驱动因素之一。多年来，人们继续以不安全的方式使用弱密码，但这个问题仍然存在，因为我们教授的密码策略令人困惑，而且不断变化。例如，许多企业或网站的策略要求复杂的密码为15个字符，包括大小写字母、符号和数字。然后，我们要求人们每90天更换一次密码，但没有提供一种安全的方法来保护所有这些冗长、复杂和不断变化的密码。

然后推出MFA来帮助人们安全，但是，再一次，这非常令人困惑(甚至对我来说!)首先，我们对MFA有多个不同的名称，包括双因素身份验证、两步验证、强身份验证或一次性密码。然后我们有多种不同的方法来实现它，包括推送通知、文本消息、基于FIDO令牌的应用程序、身份验证应用程序等。你访问的每个网站都有不同的名称和技术实现，然后我们再一次责备人们不使用它。

从安全意识到管理人员风险　　

安全意识培训一直是传统的方法，它涉及与员工沟通和培训如何实现网络安全。虽然这是朝着正确方向迈出的一步，但我们还需要进一步:我们需要管理人为风险。

管理人力风险需要一种更具战略性的方法。它建立在安全意识的基础上，包括：

• 风险：安全意识团队需要成为安全团队的组成部分，甚至直接向CISO报告。他们的工作应包括与其他安全要素(如安全运营中心、网络威胁情报分析师和事件响应人员)密切合作，以清楚地确定企业面临的主要人为风险以及管理这些风险的关键行为。一旦那些关键的风险和行为被识别并确定了优先级，那么我们就可以就这些行为与我们的员工进行沟通和培训。
• 政策：我们需要开始创建安全政策、流程和过程，让人们更容易遵守，我们应该在设计政策(以及支持它们的工具)时考虑到人们。如果希望人们使用强身份验证，则必须专注于人们容易学习和使用的东西。这个过程越混乱，越需要人工操作，网络攻击者就越容易利用这一点。
• 安全团队：我们需要安全团队用每个人都能理解的简单的“人性化”术语与员工沟通，包括解释他们需求的原因:为什么密码管理器很重要，MFA对他们有什么价值，以及为什么启用自动更新对他们有好处。我们必须改变员工对保安团队的认知:从傲慢到平易近人。

管理人员风险正成为每个安全领导者战略的基本组成部分。当我们试图与员工沟通、参与和培训员工时，安全意识是朝着正确方向迈出的第一步，但我们需要更专注、更战略性的努力来真正管理人类风险。也许有一天，我们甚至会发展壮大，用人类风险官取代安全意识官的角色。​