正規資訊安全教育的重要性

---

確保合適的人學習合適的內容，並建立指標以確保知識的轉移，這都是正規資訊安全教育（此處指參加線下課程、參加線上培訓課程（直播或錄播），或透過印刷材料自學）至關重要的原因。

你總是關注這個需求。這就像去看一位只讀過醫學書籍從未上過醫學院的醫生，或者請一位只讀過法律書籍從未上過法學院並畢業的人為你辯護。事實上，在許多情況下，個人在執行特定職責之前，有法律義務獲得特定的正規教育。

關於處理個人資訊需要採取安全預防措施的法律可能仍在制定中，但對該主題的教育至關重要。隨著時間的推移，廣泛的專家群體制定並更新了正規安全教育的課程標準。例如，參加涵蓋 CISSP 課程的官方 CISSP 培訓課程的人員知道，所選教學資訊是有充分理由的，因為它是由許多專家建立和完善的。除了顯而易見的事業優勢外，透過掌握這些材料還可以獲得相關領域的認證。

資訊安全

美國國家標準與技術研究院 (NIST) 將資訊安全定義為“保護資訊和資訊系統免受未經授權的訪問、使用、披露、中斷、更改或破壞，以維護機密性、完整性和可用性”。

資料安全包括在資訊儲存（“靜止狀態”）和傳輸（“動態狀態”）過程中保護資訊。

雖然這兩個短語有時可以互換使用，但資訊安全和網路安全是不同的但相關的概念。資訊安全 (infosec) 側重於保護計算機系統，而計算機安全（網路安全）則涵蓋對組織資產的防禦，計算機系統只是眾多資產中的一種。數字領域的安全性包括資料保護以及應用程式和網路安全。

資訊安全的重要性

美國網路安全素養法案

美國網路安全素養法案 (ACLA) 於 2021 年 6 月由美國政界人士提出，旨在提高該國的網路安全意識和教育。網路安全資訊共享和保護法案規定，國家電信和資訊管理局 (NTIA) 必須開展公共教育宣傳活動，以提高人們對採取預防措施以應對網路攻擊和其他網路安全威脅的必要性的認識。

• 密碼安全

• 多因素身份驗證

• 公共 WiFi 網路的風險

• 電子郵件釣魚詐騙

• 移動安全

• 安全協議和應用程式

• 減輕網路攻擊影響的既定策略

ACLA 法案的透過是網路素養髮展的一個積極進展。雖然使用者教育至關重要，但保護組織的資料需要的不僅僅是這些。還需要完善且最新的資訊安全策略。

資料保護至關重要

資訊安全實踐降低了 IT 系統可能遭到破壞的可能性。

資訊科技 (IT) 系統（尤其是參與資料建立、儲存或傳輸的系統）特別容易受到安全漏洞和其他網路攻擊。儘管如此，這些程式實施有效的資訊安全措施來防止這些危險。此外，它還可以防止諸如拒絕服務攻擊 (DoS) 之類的威脅，這些威脅會導致服務中斷和停機。

如果公司沒有實施此類程式，駭客可能會竊取敏感或重要資訊。此類事件可能導致客戶服務問題、損害公司形象、監管機構的經濟處罰以及日常運營中斷。

影響其價值的因素

有了可靠的資訊安全，公司可以降低安全漏洞和資料丟失的可能性，確保其持續運營，並保護其客戶、資產和聲譽。因此，確保資料安全是首要責任。同時，監管環境正在快速變化，以適應保護個人資訊和確保消費者隱私的新措施。組織必須保護資訊以遵守這些規則，從而增加了對資訊安全的需要。

常見威脅

存在各種可能危及組織資料的風險，其安全人員應該瞭解這些風險。

惡意軟體

惡意軟體是一個常見且嚴重的問題，它危及任何組織的資料。如果使用者下載並執行惡意軟體或可執行檔案，或者使用者將惡意 USB 驅動器或其他行動式媒體插入其計算機，則惡意軟體可以侵入目標的 IT 系統。惡意行為者傳送的電子郵件（釣魚）或受感染的連結是惡意軟體傳播的另一個常見媒介。

憑據、客戶資料、商業機密和智慧財產權只是威脅行為者可以使用惡意軟體竊取的一些敏感資訊。網路罪犯可以使用勒索軟體鎖定受害者的系統。鎖定後，駭客會要求付款才能釋放它。在避免和減少惡意軟體攻擊的影響的同時，重要的是要建立各種措施。

第三方風險

根據最近的研究，大多數企業（一項調查中為 51%）的資料已被外部人員竊取。至少 74% 的受害者將攻擊歸咎於過於寬鬆的資料訪問許可權。

為了降低成本、加快運營和加快上市策略，每個企業都依賴於各種各樣的外部人員，包括供應商、供貨商、承包商和顧問。但是，與其他方合作時，資料被盜、丟失或洩露的可能性會增加。

為了避免因第三方供應商造成的安全漏洞，必須進行頻繁的風險評估並實施可靠的第三方風險管理方法。

威脅行為者使用社會工程技術（如釣魚）操縱目標（通常是員工）繞過安全措施或洩露私人資訊。

使用過時的軟體

許多漏洞和缺少的修復程式，即使是最新的軟體，也使其不安全。由於這些漏洞，網路罪犯可以快速訪問組織的系統並竊取敏感資訊。在降低這些漏洞的可能性和最大限度地減少安全問題的同時，持續修補和升級所有軟體和作業系統至關重要。

不安全的連線

可以使用安全解決方案來保護資訊資產，包括防火牆、防病毒軟體、端點檢測和響應系統以及安全資訊和事件管理 (SIEM) 平臺。由於缺乏此類機制，駭客和其他資料洩露的機會將會更多。

對資訊安全政策過於寬鬆可能導致使用不安全的個人網路、繞過密碼保護以及使用與員工職能無關的不必要資源。

結論

最後，當員工缺乏網路安全知識並養成不良的網路安全習慣時，與不安全網路相關的資訊安全風險會加劇。