信息來源：企業(yè)網(wǎng)

        如果IT部門中不存在安全文化，那么在企業(yè)中建立安全文化是不可能的。IT部門應(yīng)該具有廣泛而顯著的安全文化，可以作為企業(yè)所有其他部門的示例。
        大多數(shù)公司都認(rèn)為，企業(yè)IT部門或其他部門的內(nèi)部安全專家可以保護(hù)其他99%以上的員工，使其不被懷有惡意的攻擊者發(fā)現(xiàn)對業(yè)務(wù)敏感或?qū)I(yè)務(wù)至關(guān)重要的信息。不幸的是，許多IT部門都存在同樣的錯覺。95%以上的IT員工認(rèn)為，其安全團(tuán)隊(可能只占IT員工總數(shù)的5%或更少)將使他們擺脫困境。事實證明，這些想法很多都是錯誤的，而安全威脅仍然存在。
        在當(dāng)前普遍存在安全意識的這個時代，幾乎每個企業(yè)都建立了安全計劃。安全計劃包括由企業(yè)的首席信息安全官或高級安全領(lǐng)導(dǎo)者制定的政策、實施政策的運(yùn)營控制、實施控制的工作規(guī)則和程序、支持規(guī)則和程序的工具，以及使用工具監(jiān)控的安全運(yùn)營團(tuán)隊規(guī)則和程序，并審查控制的一致性和有效性。這聽起來很復(fù)雜，但大多數(shù)IT部門都很好地理解了成功的安全計劃的關(guān)鍵部分，并且在大多數(shù)企業(yè)中都已經(jīng)在某種程度上實現(xiàn)了。
        安全計劃和安全文化是兩回事。在安全文化中，員工對其公司面臨的網(wǎng)絡(luò)安全威脅有充分的了解。他們了解在其行業(yè)或市場中運(yùn)作的惡意行為者的動機(jī)和意圖。企業(yè)的網(wǎng)絡(luò)安全問題和關(guān)注點(diǎn)在業(yè)務(wù)會議中經(jīng)常討論，例如季度業(yè)務(wù)審查、業(yè)務(wù)戰(zhàn)略會議、預(yù)算規(guī)劃會議、并購評估等。它們不僅限于專門針對安全性的定期會議，因為企業(yè)領(lǐng)導(dǎo)者和工作人員了解安全性是日常業(yè)務(wù)運(yùn)營的固有部分。在真正具有安全文化的企業(yè)中工作的員工在實施安全保護(hù)措施方面發(fā)揮積極作用。
        有些人可能會爭辯說，在多個地理位置運(yùn)營的多元化大型公司中建立真正的安全文化是不可能的，但有大量證據(jù)證明是可能的。大多數(shù)金融服務(wù)公司都高度重視風(fēng)險管理，并發(fā)展了有效的安全文化。依賴于使用內(nèi)部開發(fā)的知識產(chǎn)權(quán)的公司，如制藥廠商，他們對網(wǎng)絡(luò)安全同樣謹(jǐn)慎。在許多大型跨國公司中存在著廣泛而引人注目的安全文化。
IT部門應(yīng)該樹立榜樣
        如果IT部門尚未存在這樣的文化，那么在企業(yè)內(nèi)部建立安全文化是不可能的。IT部門負(fù)責(zé)可能被惡意行為者操縱的路徑和流程的安全，以避免在網(wǎng)絡(luò)安全防御中發(fā)揮核心作用。如果IT部門沒有認(rèn)真對待其網(wǎng)絡(luò)安全職責(zé)，那么在整個企業(yè)中建立這樣一種文化真的有什么希望?
        雖然IT部門無法獨(dú)立建立企業(yè)范圍的安全文化，但它應(yīng)該提供其他職能部門可以模仿的這種文化的示例。不過這種情況很少發(fā)生。有很多的IT部門將安全職責(zé)委托給一小組安全專業(yè)人員，而其他工作人員在很大程度上忽略了這些安全職責(zé)。安全團(tuán)隊以外的許多IT團(tuán)隊經(jīng)常拒絕、忽視或辯論將更嚴(yán)格的保護(hù)措施納入其現(xiàn)有技術(shù)堆?；虿僮鞒绦虻闹噶?。此外，當(dāng)被要求協(xié)助解決與安全有關(guān)的審計問題或?qū)μ囟ò踩录幕貞?yīng)時，個別工作人員表達(dá)沮喪或漠不關(guān)心的情況并不少見。安全培訓(xùn)通常被認(rèn)為是浪費(fèi)時間以及占用個人其他更緊迫工作的行為。
建立安全文化
        IT領(lǐng)導(dǎo)者如何在自己的組織內(nèi)建立安全文化?以下有六個觸發(fā)因素，如果它們持續(xù)執(zhí)行，將產(chǎn)生預(yù)期的結(jié)果。
        1.教育。教育工作人員識別威脅企業(yè)的惡意行為人的一般身份。討論在其他公司發(fā)生的類似產(chǎn)品、服務(wù)、運(yùn)營模式或市場違規(guī)的案例。確保他們了解惡意行為者過去使用的主要途徑，例如滲透網(wǎng)絡(luò)或泄露敏感信息。
        2.管理。建立優(yōu)先的網(wǎng)絡(luò)漏洞列表，通常稱為風(fēng)險登記。讓盡可能多的IT團(tuán)隊成員加入到列表中，并確定已知漏洞的優(yōu)先級。為風(fēng)險登記冊上最多產(chǎn)或最有洞察力的貢獻(xiàn)者提供獎勵和表彰，以此作為鼓勵他人做出貢獻(xiàn)的一種手段。
        3.談?wù)?。任何一個領(lǐng)導(dǎo)者如果每天自發(fā)地表現(xiàn)出對安全相關(guān)的話題的興趣或關(guān)注，很快就會發(fā)現(xiàn)他們的同事和下屬也在這樣做。工作人員從他們的領(lǐng)導(dǎo)那里得到暗示，無論是有意識的還是下意識的。
        4.衡量。安全指標(biāo)設(shè)計起來很棘手。IT人員可以專注于企業(yè)范圍內(nèi)的安全保障措施的實施或其有效性。出于可以理解的原因，許多公司不愿廣泛傳達(dá)其保障措施的有效性，如果不能與員工或管理團(tuán)隊成員共享，則其指標(biāo)不太可能影響員工行為。
        5.個性化。利用每一個可能的機(jī)會，在員工作為互聯(lián)網(wǎng)消費(fèi)者遇到的安全問題和他們在工作中遇到的安全問題之間建立類比。IT部門幫助團(tuán)隊成員了解被破壞的憑證、勒索軟件、cookies和其他網(wǎng)絡(luò)威脅會如何影響他們的個人生活，并且會對他們在工作場所使用互聯(lián)網(wǎng)的方式變得更加敏感。
        6.懲罰。在完美的世界中，只需要教育團(tuán)隊成員關(guān)于網(wǎng)絡(luò)威脅和保護(hù)措施，他們的行為也會相應(yīng)改變。然而，在實際運(yùn)營的世界中，當(dāng)政策、控制和操作程序有意或無意地受到損害時，需要對相關(guān)人員進(jìn)行懲罰。當(dāng)業(yè)務(wù)結(jié)果受到損害時，員工通常會接受個人處罰。他們需要了解安全控制是出于商業(yè)原因而建立的，并且不遵守此類控制將會產(chǎn)生后果。懲罰顯然需要根據(jù)損害行為的嚴(yán)重程度進(jìn)行分級，但如果沒有這樣的處罰，將會破壞企業(yè)試圖建立的文化。
引領(lǐng)安全文化
        如果企業(yè)沒有一支由信息安全專業(yè)人士組成的團(tuán)隊，那么無論他們是否技術(shù)精湛或資金充足，都很難保護(hù)企業(yè)免受各種黑客和網(wǎng)絡(luò)攻擊者的侵害。事實上，在任何情況下都無法實現(xiàn)絕對的安全保障，但如果企業(yè)能夠建立一種安全文化，每個員工都能理解他們面臨的風(fēng)險，并完全遵守保障措施的話，那么成功的可能性就會大大增加。雖然很少有人會反對這一說法，但大多數(shù)人對從哪里開始感到困惑。安全團(tuán)隊必須有安全文化，因為這是他們的工作。安全團(tuán)隊之外的IT專業(yè)人員需要全心全意地接受這種文化，并成為安全文化的傳播者。
        當(dāng)安全文化支持者能夠?qū)⑴杂^者轉(zhuǎn)變?yōu)樾袆诱邥r，就會取得成功。如果IT領(lǐng)導(dǎo)者可以避免過度設(shè)計策略、控制和程序，并親自制定上述觸發(fā)因素實踐，他們可以在IT中創(chuàng)建成功的安全文化，為企業(yè)的其他部門提供指導(dǎo)。很多IT領(lǐng)導(dǎo)者表示，他們無法在公司內(nèi)部發(fā)揮更廣泛的領(lǐng)導(dǎo)作用，而建立安全文化這是他們的機(jī)會!