为何人为因素是网络安全成功的关键
网络安全复杂性随可互联数字设备激增呈指数级增长。因相互依赖的计算机基础设施支撑几乎每个组织，保护数字数据成至关重要。
37% 受访 CEO 称重大风险在于扩展业务与关键企业合作伙伴。单靠预防措施不再足够。新环境要求警惕监控和创造性创新。要求全利益相关者参与。
人为因素是关键。你如何审查、培训、装备员工，将成就或击垮你的网络安全系统、你与客户合作伙伴的声誉、甚至你的业务本身。
虽 89% 高管层相信员工会负责任保护信息，22% 称员工不知晓离站数据政策。风险最高设备：公司手机（50%）、公司笔记本（45%）、USB 存储设备（41%）。
A.T. Kearney《2018 高管视角》报告发现，85% 公司过去一年经历安全漏洞。仅 40% 设计实施了网络安全策略响应。
除聚焦员工，让整个供应链加入也重要。企业领袖引述四大战术确保可行网络安全：
- 全面信息安全措施，
- 雇佣高技能 IT 专业人员，
- 网络安全行为分析，
- 员工培训计划。
网络安全新范式是：涉及、说服、教育、转化、奖励。最终用户常被不公平刻板为不合作、厌恶控制、不愿改变行为。同时，他们是网络安全最弱环节。甚至深度技术专家也可能像未受训练准备的普通用户一样脆弱。
真实案例：多年前，作为南美无线运营商 CISO，我被任务减少不断上升的数据泄露。一高管建议重手执行安全策略。最终用户，他说，对安全不承诺、对改善内控运动无响应。
我决定采取反面立场。经验说服我：为造可行方案，必须让所有利益相关者参与——每个受政策、技术、决策影响的个体——不仅坐在董事会的人。
我们不惩罚最终用户、不只聚焦强制控制，而是召开系列员工会议分享最佳实践、确定痛点、给出正确使用安全工具的分步指导。
结果发现许多安全策略因一系列并购而过时。而且用户因繁琐 30 天密码过期做法，把访问码写在便利贴上。恶意人员因此获得未授权访问。
基于员工反馈，我们更新策略、重写程序和标准使其相关清晰。用记分卡追踪进度、建立奖励机制。数据泄露下降，在用户和安全部门间建立反馈回路保持项目相关。最终用户被纳入过程，带教育回路发现潜在问题。
经验重申：以利益相关者和人为中心的设计过程，依靠涉及、教育、转化、奖励而非惩罚，产出最全面可持续的网络安全方案。
J. Eduardo Campos 领导 Embedded-Knowledge Inc. 咨询公司。
工业技术