根據(jù)企業(yè)的不同，安全意識有許多其他名稱：安全影響、文化、參與、培訓(xùn)、教育等。所有這些不同的名字可能看起來令人困惑，但歸根結(jié)底，它們都在談?wù)撏患?mdash;—管理人類風(fēng)險。
傳統(tǒng)的方法不起作用
企業(yè)、網(wǎng)絡(luò)安全領(lǐng)袖和網(wǎng)絡(luò)安全社區(qū)都認(rèn)為:在當(dāng)今高度互聯(lián)的世界中，人員是最大的安全風(fēng)險。
最新發(fā)布的《威瑞森數(shù)據(jù)泄露調(diào)查報告》(DBIR)指出，全球超過80%的數(shù)據(jù)泄露事件都與人有關(guān)。這些事件可能涉及人們被網(wǎng)絡(luò)釣魚郵件或詐騙攻擊的目標(biāo)，或者人們犯了錯誤(例如，IT管理員錯誤配置了他們的云賬戶，不小心與整個世界共享了敏感數(shù)據(jù))。
如果人類具有如此高的風(fēng)險，應(yīng)該做些什么呢?
傳統(tǒng)的方法一直是在問題上投入更多的技術(shù)。如果網(wǎng)絡(luò)攻擊者成功利用電子郵件進(jìn)行網(wǎng)絡(luò)釣魚，將部署安全技術(shù)，過濾和阻止網(wǎng)絡(luò)釣魚式電子郵件攻擊。如果網(wǎng)絡(luò)攻擊者正在泄露人們的密碼，將實施多因素認(rèn)證。問題是，網(wǎng)絡(luò)攻擊者繞過這些技術(shù)，把目標(biāo)對準(zhǔn)了人員。
隨著我們在識別和阻止釣魚式電子郵件攻擊方面做得越來越好，網(wǎng)絡(luò)攻擊者以人們的手機(jī)為目標(biāo)，通過短信或短信進(jìn)行攻擊。隨著越來越多的企業(yè)部署MFA，網(wǎng)絡(luò)攻擊者開始用MFA請求糾纏人們，直到他們批準(zhǔn)(就像最近發(fā)生在Uber)。
這也是我們遇到第二個挑戰(zhàn)的地方:安全團(tuán)隊太過頻繁地指責(zé)人是人為風(fēng)險問題的根本原因——正如經(jīng)常使用的短語所證明的那樣，如“人才是最薄弱的一環(huán)”和“如果的員工按照我們告訴他們的去做，他們和我們都是安全的。”
但當(dāng)從普通員工的角度來看網(wǎng)絡(luò)安全時，就會發(fā)現(xiàn)，安全社區(qū)往往是罪魁禍?zhǔn)住Ｎ覀儼丫W(wǎng)絡(luò)安全搞得如此混亂、可怕、勢不可擋，以至于我們讓人們注定要失敗。人們常常不知道該做什么，或者即使他們知道該做什么，做正確的事情變得如此困難，以至于他們做錯了，或者干脆選擇了另一個選項。
只要看看密碼就知道了，它是入侵的最大驅(qū)動因素之一。多年來，人們繼續(xù)以不安全的方式使用弱密碼，但這個問題仍然存在，因為我們教授的密碼策略令人困惑，而且不斷變化。例如，許多企業(yè)或網(wǎng)站的策略要求復(fù)雜的密碼為15個字符，包括大小寫字母、符號和數(shù)字。然后，我們要求人們每90天更換一次密碼，但沒有提供一種安全的方法來保護(hù)所有這些冗長、復(fù)雜和不斷變化的密碼。
然后推出MFA來幫助人們安全，但是，再一次，這非常令人困惑(甚至對我來說!)首先，我們對MFA有多個不同的名稱，包括雙因素身份驗證、兩步驗證、強(qiáng)身份驗證或一次性密碼。然后我們有多種不同的方法來實現(xiàn)它，包括推送通知、文本消息、基于FIDO令牌的應(yīng)用程序、身份驗證應(yīng)用程序等。你訪問的每個網(wǎng)站都有不同的名稱和技術(shù)實現(xiàn)，然后我們再一次責(zé)備人們不使用它。
從安全意識到管理人員風(fēng)險
安全意識培訓(xùn)一直是傳統(tǒng)的方法，它涉及與員工溝通和培訓(xùn)如何實現(xiàn)網(wǎng)絡(luò)安全。雖然這是朝著正確方向邁出的一步，但我們還需要進(jìn)一步:我們需要管理人為風(fēng)險。
管理人力風(fēng)險需要一種更具戰(zhàn)略性的方法。它建立在安全意識的基礎(chǔ)上，包括：
風(fēng)險：安全意識團(tuán)隊需要成為安全團(tuán)隊的組成部分，甚至直接向CISO報告。他們的工作應(yīng)包括與其他安全要素(如安全運(yùn)營中心、網(wǎng)絡(luò)威脅情報分析師和事件響應(yīng)人員)密切合作，以清楚地確定企業(yè)面臨的主要人為風(fēng)險以及管理這些風(fēng)險的關(guān)鍵行為。一旦那些關(guān)鍵的風(fēng)險和行為被識別并確定了優(yōu)先級，那么我們就可以就這些行為與我們的員工進(jìn)行溝通和培訓(xùn)。
政策：我們需要開始創(chuàng)建安全政策、流程和過程，讓人們更容易遵守，我們應(yīng)該在設(shè)計政策(以及支持它們的工具)時考慮到人們。如果希望人們使用強(qiáng)身份驗證，則必須專注于人們?nèi)菀讓W(xué)習(xí)和使用的東西。這個過程越混亂，越需要人工操作，網(wǎng)絡(luò)攻擊者就越容易利用這一點(diǎn)。
安全團(tuán)隊：我們需要安全團(tuán)隊用每個人都能理解的簡單的“人性化”術(shù)語與員工溝通，包括解釋他們需求的原因:為什么密碼管理器很重要，MFA對他們有什么價值，以及為什么啟用自動更新對他們有好處。我們必須改變員工對保安團(tuán)隊的認(rèn)知:從傲慢到平易近人。
管理人員風(fēng)險正成為每個安全領(lǐng)導(dǎo)者戰(zhàn)略的基本組成部分。當(dāng)我們試圖與員工溝通、參與和培訓(xùn)員工時，安全意識是朝著正確方向邁出的第一步，但我們需要更專注、更戰(zhàn)略性的努力來真正管理人類風(fēng)險。也許有一天，我們甚至?xí)l(fā)展壯大，用人類風(fēng)險官取代安全意識官的角色。?
