Dan Swinhoe

隨著疫情隔離的逐步解除，首席信息安全官需要預(yù)測其部門今后將怎樣運轉(zhuǎn)，以及怎樣保護員工和資產(chǎn)。最有可能的變化是為更多居家工作的員工提供長期支持。據(jù)（ISC）2在4月份發(fā)布的一份報告，96%的企業(yè)已經(jīng)至少將一部分員工轉(zhuǎn)為遠程工作，其中近一半的企業(yè)允許所有員工不在辦公室工作。

這場危機也是重新思考總體安全戰(zhàn)略和計劃的機會，包括技術(shù)選擇、與業(yè)務(wù)部門的合作以及安全教育和培訓(xùn)。

遠程工作對某些員工來說將是永久性的

Gartner的一項調(diào)查發(fā)現(xiàn)，3/4的企業(yè)預(yù)計在疫情結(jié)束后，至少有5%以前在企業(yè)辦公室工作的員工將長期居家工作?？稍偕茉促Y產(chǎn)管理公司W(wǎng)iseEnergy的首席信息官兼首席信息安全官Rafael Narezzi預(yù)測，這將對企業(yè)的實際工作安排產(chǎn)生長期影響，也意味著對首席信息安全官怎樣管理員工產(chǎn)生長尾效應(yīng)。他說：“當(dāng)我們回來后，一切都變了，我認(rèn)為對辦公室不再有需求了。我的公司原本想擴大辦公室場地，但現(xiàn)在有了疑問：我們到底是否需要更大的辦公室？”

Narezzi介紹說，我們早就做好了準(zhǔn)備工作，因此能夠迅速將業(yè)務(wù)轉(zhuǎn)為遠程工作模式，這不僅說明過去的支出是合理的，而且也有利于未來的論證?！耙荒陙?，我的部門一直在努力地把所有一切都轉(zhuǎn)為能夠在任何地方開展工作。企業(yè)認(rèn)識到，我們?yōu)榱吮Ｗo業(yè)務(wù)、使企業(yè)在任何地方都能開展工作而要求的所有資金，都得到了回報，而且投資回報是合理的。”

長期居家工作面臨的安全挑戰(zhàn)

如果大規(guī)模的居家工作將成為企業(yè)運轉(zhuǎn)的固定方式，則很可能不得不重新評估不同的人在不同的情形下帶來的風(fēng)險?！稊?shù)字衛(wèi)報》（Digital Guardian）發(fā)現(xiàn)，在封鎖隔離期間，企業(yè)數(shù)據(jù)流出量增加了80%，其中，傳送到U盤的數(shù)據(jù)量增加了123%，上傳到云存儲服務(wù)的數(shù)據(jù)量也大幅飆升。據(jù)BitGlass的一項遠程工作研究，用戶培訓(xùn)、家庭網(wǎng)絡(luò)安全和個人設(shè)備是企業(yè)目前面臨的三大安全挑戰(zhàn)，其次是企業(yè)外部的敏感數(shù)據(jù)、缺乏可見性以及新安全解決方案和許可的額外成本。

財富管理公司Rathbone Brothers的網(wǎng)絡(luò)安全主管Ste Watts評論說：“有的人希望在安全的前提下盡快回到辦公室;而有的人則希望繼續(xù)保持遠程工作，享受遠程工作的自由和靈活。這就要求我們的網(wǎng)絡(luò)安全和風(fēng)險部門從長計議，包括遠程打印、使用個人設(shè)備訪問公司網(wǎng)絡(luò)以及遠程工作場所的物理安全等等問題。”

Dimensional Research的報告發(fā)現(xiàn)，一半以上的企業(yè)已經(jīng)開始尋找新的工具來應(yīng)對后疫情時期的環(huán)境，42%的企業(yè)投資于員工培訓(xùn)，幫助員工掌握適應(yīng)新常態(tài)所需的新技能。然而，盡管風(fēng)險增加了，《首席信息官的新冠病毒影響研究》表明，對于首席信息官而言，數(shù)字化轉(zhuǎn)型和用戶體驗比安全更為重要。首席信息安全官應(yīng)與業(yè)務(wù)部門一起努力，在前進的道路上一定要重視安全問題。

Watts說：“一個優(yōu)秀的領(lǐng)導(dǎo)團隊?wèi)?yīng)該認(rèn)識到，這些情況會帶來額外的風(fēng)險，因此，領(lǐng)導(dǎo)團隊和網(wǎng)絡(luò)安全部門應(yīng)加強合作，在需要時找到最合適的方案。企業(yè)應(yīng)以既定的風(fēng)險承受能力作為底線，確保在可接受的風(fēng)險范圍內(nèi)取得投資效益，兼顧風(fēng)險和收益?！?/p>

首席信息安全官仍然需要有可靠的過程，以便將補丁發(fā)布到那些很少（如果有的話）連接到企業(yè)網(wǎng)絡(luò)的設(shè)備上。B2B支付公司AvidXchange還使用了Office 365，預(yù)計負(fù)載會增加，因此將VPN帶寬提高了一倍。所以，該公司首席信息安全官Christina Quaine通知用戶，要求他們通過VPN定期連接，以接收公司設(shè)備的補丁。她說：“有很多人不一定需要登錄VPN，但如果他們不登錄網(wǎng)絡(luò)，他們的筆記本電腦就得不到最新的補丁?！?h3>文化變革需要首席信息安全官的領(lǐng)導(dǎo)

Watts認(rèn)為，首席信息安全官不應(yīng)該讓危機白白浪費掉，此次疫情其實就是一個機會，讓董事會有更多的時間，去做一些以前可能做不到的事情。他說：“疫情迫使很多企業(yè)采用以前不需要的技術(shù)和流程，也沒有計劃以如此快的速度和規(guī)模采用這些技術(shù)和流程。這反過來又是一個很好的機會，證明網(wǎng)絡(luò)安全不是攔路虎，而是能夠幫助企業(yè)實現(xiàn)目標(biāo)的功能?！?/p>

Watts補充說：“優(yōu)秀的安全領(lǐng)導(dǎo)們將利用網(wǎng)絡(luò)威脅情報定期向董事會通報情況。在此次疫情之前，有些企業(yè)可能還沒有出現(xiàn)類似情況，但今后這應(yīng)該繼續(xù)下去。”

“顯然，這場疫情已經(jīng)證明，只要有正確的動機和工作重點，就有可能做到這些。這并不是說，所有新的舉措都應(yīng)該像最近一樣，以同樣的方式進行，而是表明良好的溝通和基于風(fēng)險的快速決策是可能的，這將為企業(yè)帶來新的機遇?！?/p>

WiseEnergy公司的Narezzi介紹說，在危機開始時，其公司發(fā)現(xiàn)攻擊企圖增加了600%，主要是通過網(wǎng)絡(luò)釣魚和其他社會工程詐騙。然而，他已經(jīng)實現(xiàn)了居家辦公，因此避免了很多公司在隔離之初面臨的極度混亂的狀態(tài)?！拔覀兒苄疫\。去年，我們開始計劃能夠在任何地方開展工作，因此當(dāng)危機來臨時，我們早已做好了準(zhǔn)備。”

盡管做了準(zhǔn)備，還是出現(xiàn)了病毒和隔離狀況才促使員工們采用新功能。雖然有了支持遠程工作的技術(shù)，但員工們?nèi)栽趫猿忠咔橹暗呐f工作方式。Narezzi說：“最困難的是讓員工們居家工作。公司對此提供了支持，但員工們不相信他們能遠程工作。然后新冠病毒來了，所以沒有其他選擇。但結(jié)果非常好?！?/p>

然而，一旦員工在家工作，他們可能會放松安全警惕。Tessian的一項新研究表明，只有不到一半的員工居家工作時采取過數(shù)據(jù)安全措施。如果企業(yè)想讓員工遵守流程和政策，那么首席信息安全官應(yīng)針對居家安全工作而灌輸一種強大的安全文化。

一些企業(yè)每天都在全公司范圍內(nèi)舉行“聚會”，首席信息安全官分享安全建議和技巧，讓員工了解關(guān)鍵的安全信息。即使在員工們返回辦公室后不再繼續(xù)這類會議，首席信息安全官也應(yīng)利用建立起來的溝通機制，定期提醒員工們怎樣保持安全。

Watts認(rèn)為，在網(wǎng)絡(luò)安全方面經(jīng)常進行溝通，會促使員工以更好的主人翁精神來保持企業(yè)的安全。他說：“這種對網(wǎng)絡(luò)安全的新關(guān)注也幫助員工意識到他們是解決方案的一部分。所謂的‘人類防火墻從來沒有比現(xiàn)在更為重要，我認(rèn)為與疫情之前相比，無論是在工作場所還是在家里，這都開始在團隊中引起了更多的共鳴，這對行業(yè)來說只能是件好事。”

重新思考安全工作人員

這場疫情正促使企業(yè)重新思考哪些技術(shù)和流程對業(yè)務(wù)來說是真正至關(guān)重要的。Narezzi預(yù)測，既然疫情危機已經(jīng)證明大多數(shù)工作都是可以遠程完成的，那么更多的首席信息安全官將開始外包安全運營。他說：“今天，你購買了技術(shù)，后續(xù)還得購買勞動力來監(jiān)測和控制技術(shù)。那些準(zhǔn)備遠程工作和基于云計算開展工作的企業(yè)將在不同國家以數(shù)字方式分配流程，以節(jié)省成本?，F(xiàn)在不需要按照英國的價格來購買SOC。如果能在墨西哥或者其他成本更低的國家得到更好的價格，何妨一試呢？”

AvidXchange公司的Quaine說，此次疫情不僅是識別和支持關(guān)鍵流程和重新調(diào)整資源的機會，而且也是能夠在任何地方完成工作的機會?！拔艺J(rèn)為疫情讓我們的部門拓寬了視野，認(rèn)識到一部分部門員工可以居家工作，而這是以前從未想到過的。這給了我們更多的機會，不再局限于在我們辦公室所在的地方廣招人才。與本地招聘不同，我們可以在全國范圍內(nèi)聘用最好的人才，把設(shè)備運送給他們?！?/p>

然而，盡管疫情是特殊情況，但確實顯示了與遠程工作員工定期溝通的好處，以確保他們不會過度勞累，不至于精疲力盡。Quaine說：“由于支持遠程工作，沒有了通勤時間，我們有更多的時間投入到工作中，而我更加關(guān)心我的部門了。每天下班的時候，我都會和他們聯(lián)系，看看我們做得怎么樣，別的部門怎么樣，不要讓大家覺得自己完全被鎖在電腦里了。”

Quaine還說：“因為部門每天都要開電話會議，我覺得團隊的凝聚力反而更強了。我們不光討論信息安全，還會八卦一下某位歌星的趣聞。大家相互間聯(lián)系得更多了，我認(rèn)為這對我們的部門很有好處?！?/p>

Dan Swinhoe是CSO在線的英國編輯。

原文網(wǎng)址

https：//www.csoonline.com/article/3546428/whats-next-cisos-weigh-in-on-covids-long-term-effects-on-security.html