破窗效應(yīng)的兩個維度

在信息安全管理中，也同樣存在這樣的現(xiàn)象。如企業(yè)的一名新員工，雖然簽訂了保密協(xié)議，也了解了公司的保密制度，但是如果看到其他同事的計算機(jī)開機(jī)密碼基本都是123456，系統(tǒng)補丁半年不打一次，內(nèi)部資料可以通過U盤隨意拷進(jìn)拷出，打印機(jī)旁時常看到財務(wù)報告、市場策略等敏感文件…他還會死守公司保密制度上寫的那些條條框框嗎?此為橫向的破窗效應(yīng)。

再設(shè)想一下，在企業(yè)里，高管不重視信息安全，處于中間層的信息安全管理者自然也會松懈，想著既然老板不在意，我又何必太用心呢?也會擔(dān)心管得太認(rèn)真，一也不會因此受到獎賞，二還可能引起員工的反感，多一事不如少一事。那基層的員工在進(jìn)行一些威脅企業(yè)信息安全行為時，發(fā)現(xiàn)根本沒人發(fā)現(xiàn)并制止，只會更加隨心所欲肆無忌憚，企業(yè)信息泄露防護(hù)體系也就這樣被架空了。此為縱向的破窗效應(yīng)。

在當(dāng)前國內(nèi)，很多企業(yè)的信息安全管理正是對破窗效應(yīng)的最佳詮釋。從總體來說，企業(yè)高層對信息泄露防護(hù)的忽視形成一個影響極壞的不良示范。國際知名內(nèi)網(wǎng)安全管理先鋒溢信科技表示，一個不良示范，就像一個瘟疫源，一傳十十傳百，很快整個公司的信息泄露防護(hù)體系就會千瘡百孔，形同虛設(shè)，樓雖還是那個樓，但窗都變成了破窗，自然樓也會成為危樓倒塌。

安全應(yīng)自上而下

鑒于此，要想使企業(yè)的信息泄露防護(hù)策略行之有效，首先要做出改變的就是高管們對信息安全的態(tài)度。作為企業(yè)的領(lǐng)導(dǎo)者，其一言一行都對企業(yè)的發(fā)展起著舉足輕重的作用，上行下效，不可不戒。高管需要加強對信息泄露防護(hù)的重視程度，并將信息安全管理納入考核范疇，領(lǐng)導(dǎo)制定相關(guān)的政策與指標(biāo)，獎懲制度、考核周期等。

警惕始作俑者

其次需要做出改變的是信息安全管理的執(zhí)行人員的執(zhí)行力度，是否能夠?qū)⒅贫ǖ男畔⑿孤斗雷o(hù)措施嚴(yán)格地執(zhí)行到底。當(dāng)?shù)谝粋€人違反規(guī)則時，執(zhí)行部門是鐵面無私按制度辦事呢?還是睜一只眼閉一只眼，只要不是什么大問題就“得饒人處且饒人”，發(fā)揚風(fēng)格，求得暫時的和諧。如果是后者就等于告訴大家剛剛制訂的信息泄露防護(hù)制度是有空子可鉆的，于是很快這個“潛規(guī)則”就在辦公室里傳播開來，防護(hù)效果自然大打折扣。

因此執(zhí)行人員必須能夠堅守自己的原則，絕不容許第一個姑息事件發(fā)生，孕育一個不良示范，以遏制這種負(fù)面因子的進(jìn)一步傳染。同時及時發(fā)現(xiàn)違規(guī)行為也是相當(dāng)重要的，如果有人想盡方法繞過公司的防泄密措施，而執(zhí)行人員卻一無所知，無疑是自掌嘴巴。對此溢信科技認(rèn)為企業(yè)應(yīng)采取可視化的審計手段來對策略執(zhí)行情況進(jìn)行跟蹤，其IP-guard審計模塊對文檔操作、電子郵件、即時通訊、移動存儲、打印等十多個內(nèi)網(wǎng)安全項目近1000項操作進(jìn)行詳細(xì)記錄，并生成相應(yīng)的報表，使管理者能夠?qū)?nèi)網(wǎng)情況一目了然，違規(guī)行為無處可逃。

當(dāng)然，要想取得理想的信息泄露防護(hù)效果，還得考慮業(yè)務(wù)人員的實際情況。如果企業(yè)的防泄密措施對業(yè)務(wù)開展造成了明顯的阻礙，就必須加以修訂以保證不會因為安全丟掉業(yè)務(wù)機(jī)會。在兩者之間找到一個平衡點，才能讓信息安全防護(hù)策略執(zhí)行到位，兩者相得益彰。

信息化時代，信息安全成為決勝商場的必備因素。警惕無視風(fēng)險的傳染性，別讓破窗效應(yīng)毀了你的企業(yè)大廈。