如果說一個企業(yè)的文化是其核心和靈魂，那么它的安全文化將是其無所不在的守護(hù)者。

企業(yè)的安全文化不僅僅是制定合理的政策和程序，而應(yīng)該是一套 “社會化” 的操作系統(tǒng)，它能夠影響并指導(dǎo)員工將安全意識和行為融入到日常生活中。一旦企業(yè)安全文化走向崩潰，那么無論是在安全團(tuán)隊內(nèi)部，還是在安全團(tuán)隊與組織的其他部門之間，都可能會形成網(wǎng)絡(luò)實踐松懈、玩世不恭甚至相互指責(zé)的有毒環(huán)境。

行業(yè)領(lǐng)導(dǎo)者為我們提供了 5 個揭示企業(yè)安全環(huán)境有毒的跡象，同時還為我們提供了獲得真正良好的安全文化的相關(guān)建議。

企業(yè)安全文化有毒的5個跡象

1. 他們正在玩 “推卸/責(zé)備” 游戲

ISACA 董事會主席 Rob Clyde 表示，當(dāng)企業(yè)發(fā)生重大安全事件時，有毒環(huán)境中的焦點(diǎn)就會立即轉(zhuǎn)向 “誰應(yīng)該受到責(zé)備” 的問題上。很顯然，該組織正在尋找替罪羊——一個背黑鍋的人。對于這一點(diǎn)，大家可以參考一下領(lǐng)導(dǎo)層的平均任期，如果不到三年，這可能就是一個警告信號了。

根據(jù) 2019 年 Nominet 對 408 位 CISO 的調(diào)查結(jié)果顯示，CISO 的平均任期不到三年。近三分之一的受訪者 (30%) 表示，其任期甚至不足兩年。這種情況只會讓企業(yè)組織始終處于一種不斷變化的狀態(tài)之中，不利于企業(yè)長期穩(wěn)定的發(fā)展。

2. “犬儒主義” 盛行

犬儒主義 (Cynicism) 是個外來詞，中文里本來沒有現(xiàn)成的對應(yīng)詞匯，通常將它理解為譏誚嘲諷、憤世嫉俗、玩世不恭。W Risk Group的首席執(zhí)行官 Karen Worstell 表示，犬儒主義是最容易發(fā)現(xiàn)的有毒行為。

當(dāng)你聽到人們以憤世嫉俗的方式談?wù)撈髽I(yè)管理或生活，這時候就需要加強(qiáng)警惕了。它表示企業(yè)內(nèi)部人員存在壓力和痛苦，而且人們時常會覺得沒有任何辦法影響他們所負(fù)責(zé)的結(jié)果，他們對于一些事情感到無能為力，這時候玩世不恭的行為就會占據(jù)上風(fēng)。

除此之外，出勤率或是 “點(diǎn)到即止” 的做事風(fēng)格也能夠證明安全環(huán)境是有毒的。

3. 內(nèi)部漏洞增加

當(dāng)企業(yè)安全文化開始出現(xiàn)問題時，指標(biāo)會顯示告警跡象，例如內(nèi)部漏洞增加。我們知道，20% 的違規(guī)行為通常發(fā)生在組織內(nèi)部，且源自內(nèi)部員工的人為失誤。日復(fù)一日，周而復(fù)始，你是否發(fā)現(xiàn)比平常更多的 “以員工為中心” 的漏洞正發(fā)生在組織內(nèi)部?這可能表明員工不知情或者根本不關(guān)心正確的安全衛(wèi)生問題。此外，較高的員工流失率和慘淡的營業(yè)額也能表明員工對工作的不滿。

4. 答案通常是 “NO”

如果企業(yè) CISO 團(tuán)隊口中給出的第一個答案是 “NO”，那就說明這是一個有毒的安全文化環(huán)境。當(dāng)遭到斥責(zé)之后，人們就會尋找可以繞過安全部門的方法，這樣一來會產(chǎn)生無數(shù)未知的安全風(fēng)險。

Marsh LLC 公司網(wǎng)絡(luò)風(fēng)險咨詢師 Kevin Richards 列舉了一個廣告代理商 CISO 的案例，該 CISO 默許客戶為其每個項目運(yùn)行 15 - 20 個云環(huán)境，因為客戶并不想與自己的內(nèi)部安全團(tuán)隊打交道。

對于大多數(shù)員工來說，他們被安全團(tuán)隊拒絕了太多次，以致于他們想要尋求不同的能夠繞過安全團(tuán)隊的方式。有多少人之所以選擇開辟自己的協(xié)作能力，只是因為在企業(yè)內(nèi) “以正確的方式” 完成這件事太難了?他們這樣做并非本著惡意企圖或是為了給組織增加安全風(fēng)險，他們只是想要做好自己的工作而已。

5. 安全團(tuán)隊是孤立的

Deloitte&Touche LLP 的負(fù)責(zé)人 Emily Mossburg 表示，當(dāng)安全團(tuán)隊過于孤立并專注于孤島中的安全性時，并不利于在整個組織內(nèi)更廣泛地推動關(guān)系和網(wǎng)絡(luò)構(gòu)建。

這會造成安全團(tuán)隊和企業(yè)其他部門之間的隔閡，同時扼殺來自不同角度的思想結(jié)晶。有時候，由于來自整個組織的壓力，人們會擔(dān)心失去作為安全團(tuán)隊的權(quán)力和職責(zé)，所以就逐漸形成了一種孤立和對信息絕對控制的局面。但是，這種孤立的局面無疑是有毒的，這就相當(dāng)于網(wǎng)絡(luò)團(tuán)隊單槍匹馬地對抗其他所有部門。

如何獲得你想要的企業(yè)安全文化

真正的文化變革可能需要數(shù)年才能完成，但現(xiàn)在可以采取以下幾個步驟將脫軌的網(wǎng)絡(luò)安全文化重新推向正軌。

1. 幫助安全團(tuán)隊全面看待事物

在安全團(tuán)隊內(nèi)部，領(lǐng)導(dǎo)者應(yīng)該學(xué)會如何處理看似不可能或永無止境的情況，并從其他角度看待該問題，看看我們能夠做出哪些創(chuàng)造性的事情來。專注于我們控制范圍內(nèi)的事情，思考我們?nèi)绾尾拍軐⑦@個事情重新定義為另一個不會給個人帶來負(fù)擔(dān)的視角?

2. 想辦法說 “YES”

安全領(lǐng)導(dǎo)者應(yīng)該積極地幫助組織在安全指南的構(gòu)建中找到更好地完成工作的方法。通常情況下，如果員工理解為什么這樣做能夠讓企業(yè)更安全，他們會樂意遵循這些建議的。

以會議服務(wù)為例，現(xiàn)在有 12 - 15 個會議橋服務(wù)可供選擇，為什么他們要使用公司所選擇的服務(wù)呢?對于普通用戶來說，這可能不成問題，但是對于受到嚴(yán)格監(jiān)管的企業(yè)而言，如果在共享項目數(shù)據(jù)或機(jī)密信息時出現(xiàn)不適當(dāng)?shù)那闆r，或是其他故障，則可能會對該企業(yè)造成致命傷害。用戶不了解繞過公司選擇的會議服務(wù)有什么后果很正常，但是 CISO 的工作就是思考所有這些事情，并提供相應(yīng)的教育和正確的選擇。

3. 制定網(wǎng)絡(luò)安全文化管理計劃

根據(jù) ISACA 對 4,800 名商業(yè)和技術(shù)專業(yè)人士的調(diào)查結(jié)果發(fā)現(xiàn)，在 2018 年，42% 的組織沒有概述的網(wǎng)絡(luò)安全文化管理計劃或政策，來描述安全目標(biāo)、教育以及員工的個人責(zé)任等相關(guān)問題。但是，制定網(wǎng)絡(luò)安全文化管理計劃是邁向網(wǎng)絡(luò)安全文化的第一步。

4. 為網(wǎng)絡(luò)安全培訓(xùn)和工具提供資金支持

報告指出，企業(yè)對于當(dāng)前和期望的網(wǎng)絡(luò)安全文化之間存在巨大差距，它們表示目前用于培訓(xùn)和購置工具的預(yù)算僅占年度網(wǎng)絡(luò)安全總預(yù)算的 19%，而它們所期待的網(wǎng)絡(luò)安全文化構(gòu)建工作可能需要多出該比例兩倍 (43%) 的支出。

想要改善企業(yè)安全文化，我們所能做的最好的事情就是對內(nèi)部人員進(jìn)行投資。我們需要抵制增加更多員工(以解決網(wǎng)絡(luò)安全問題)的誘惑，而是專注投資我們目前所擁有的員工。

5. 重新定義與業(yè)務(wù)部門的關(guān)系

安全領(lǐng)導(dǎo)者需要更加開放，更加網(wǎng)絡(luò)化，并與組織內(nèi)部的其他成員保持更加透明的關(guān)系，以創(chuàng)建積極主動而非被動的安全文化。當(dāng)他們這樣做時，他們將能夠更輕松地完成任務(wù)。

當(dāng)前文章：5個跡象表明您的企業(yè)安全文化有毒（附應(yīng)對方法）
標(biāo)題網(wǎng)址：http://www.rwnh.cn/news/99796.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供響應(yīng)式網(wǎng)站、小程序開發(fā)、網(wǎng)站收錄、標(biāo)簽優(yōu)化、搜索引擎優(yōu)化、營銷型網(wǎng)站建設(shè)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)