关于建设新型安全团队的五点建议

凡做企业,要取得成功,有两点很重要:一是先进的管理思路和经验,一是精干的组织团队推到信息安全的建设上来,道理也是一样的。环境和技术都在不断变化,安全管理思路便须是新的思路,团队也须具备新的质素。近年来数不穷尽的泄密案例使企业主都懂得以前车之鉴,早几年前便建起了IT部门。发展至今,一些大型企业有了信息安全管理委员会,有了自己的CIO,信息安全管理也初具规模。

但这情况仅限于一部分大企业而已,在国内,仍然存在一大批粗放型的信息安全管理企业。这首先表现在信息安全团队的建设上:有的企业IT部隶属于财务部或总务部,甚至整个公司就只设两三个网管员;团队的管理思路偏重于IT运维管理等日常运营,眼光只盯着IT技术,并不注重其他技术能力的培养;IT部跟业务部门的沟通也仅限于电脑故障等层面,对业务的了解并不多。这种情况持续多年下来,似乎也并无大碍。

然而,时代在不断进步,你的信息安全团队怎能“垂垂老矣”?现在错综复杂的商业环境,威胁环境、新技术采用、以及监管审查的不断变化,企业信息安全团队的工作重点和职责都被迫发生了巨大转变。那种“以不变应万变”的老做法已然不合时宜了。我们必须建立这样的新型的企业信息安全团队:

一、需要了解业务

无论怎样革新,最终目的都是为了企业的成长。脱离企业的具体业务改组团队,也只能是隔靴搔痒,不能使信息安全建设最大程度地服务于业务。在以往,信息安全部门与业务部门是存在“隔阂”的,部署系统前没有深入的调研基础,因而只能笼统、简单地采取“一刀切”的惰性管理方法。只有了解诸如从战略计划到研发设计、原料采购、生产、销售等一系列的业务流程,了解各级部门存在的风险控制点,才能制定出符合企业实际的、有效的信息安全管理方案。

二、具备一些安全领域不常用的技术

这些技能如业务风险管理、数据分析、法律、市场营销等。比如看松下电器,在组织上,它建立了专业完整的信息安全事务管理局,一路打通从信息技术部门到业务部门的脉络;在管理上,它从文件、邮件、U盘、打印、网页访问、PC离线等方面进行控制,并划定风险指标,定期向业务部门发送风险征兆报告、业务部门定期反馈报告问题,使企业安全看起来天衣无缝。不具备一定的风险管理、数据分析技能,无论如何都不可能达到如此精细化的管理效果的。

三、具备服务意识

信息安全团队应该以“服务于其他部门”来定位自己,但实际的情形往往相反,多数是安全团队闷声闷气地搞了一套系统回来,突然在全公司强制要求人人遵守。业务部门不但觉得是“变麻烦”了,而且在心理上难以接受这种强制式的管理。如果安全团队在将安全理念付诸实际时,始终抱着“我所做的一切,都是服务于你的业务”这样的心态,与各个部门进行平等的沟通,并通过良好的安全策略形式展现解决方案,让业务部门充分领会这些理念,那么业务团队将会把你定位成一个贡献者,而不是阻挠者;企业中每个人也都相信安全的重要作用并且支持安全团队,而不是去规避了。

四、与业务团队须实行联合问责模式

考虑到信息安全是公司大事,绝非仅仅是安全团队的责任,因此有必要与业务部门练手共同管理网络安全风险,协调制定统一的应对方法,为业务开展提供便利,并明确责任分工。确保企业的业务经理和管理人员对信息安全负有共同责任,使其明白他们的网络风险也是业务风险的一部分。

五、了解什么技术在不断涌现,以及如何运用这些新技术

要关注市场上在发生什么,关注你所在行业或平行行业的贸易报道、商业新闻,并积极和公司领导交谈。为什么?因为我们的理念必须比行动出发得更早,理念的更新要求你时时触摸到最新鲜的动态。

总而言之,信息安全团队建设必须联系业务的特点进行,并在与业务部门的联动中,发挥信息安全团队的最大作用,正如汇丰控股公司的基础设施安全集团主管鲍勃罗杰所言:“核心安全团队的专业知识应主要用于为业务部门提供咨询、提供指导、驱动战略、确定及阐明风险、了解威胁、推动企业发展—而不应被日常经营活动所累。”这才是新型信息安全团队应有的风貌和特性。

 

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注