美國市場調(diào)查公司InsightExpress近日進行的一次企業(yè)安全調(diào)查，該調(diào)查涉及10個國家的2000多名員工和IT專業(yè)人士，調(diào)查問題包括企業(yè)安全政策的普及率和有效性，以及員工不遵循安全政策的原因等。調(diào)查顯示，企業(yè)安全策略的管理存在十分嚴重的缺陷。不遵守企業(yè)安全政策的原因，往往是員工與IT專業(yè)人士間缺乏溝通和認識，并且沒有及時根據(jù)員工的工作目標調(diào)整政策。
思科公司的高級安全顧問Christopher Burgess說，“技術(shù)并不等于安全，如果員工們能夠懂得安全政策的價值，他們就會很好的遵守它?！?/FONT>
對于渠道合作伙伴而言，該調(diào)查可以開啟他們與客戶關(guān)于安全問題的新對話，同時創(chuàng)造新機會來向客戶提供咨詢和評估服務(wù)。
思科業(yè)務(wù)發(fā)展渠道主管Susan Don說，“這將幫助我們的合作伙伴全方位地了解他們所能夠提供地咨詢方面地服務(wù)，并能衍生出一系列相關(guān)問題。公司的數(shù)據(jù)可能通過很多種方式被泄漏，客戶從他們的渠道商來了解這些問題是很重要的?！?/FONT>
以下是該調(diào)查發(fā)現(xiàn)的問題：
缺乏政策和變化的工作環(huán)境
對于那些安全問題已經(jīng)升級的公司，大約只有四分之一(23%)的企業(yè)表示他們沒有一個標準的安全政策。
缺乏適當安全政策的部分原因可能是由于工作環(huán)境改變太快，改變程度已經(jīng)超過了很多公司的IT政策能控制的范圍。這項調(diào)查表明，安全政策與員工行為之間存在溝通問題的原因之一是因為工作環(huán)境變得更具移動性和協(xié)作性，并且隨著周圍環(huán)境的改變，舊的安全政策也隨之失效。
“(員工們)變得更加靈活和分散，數(shù)據(jù)也被分散在各處，”Burgess說。同時，很多員工開始把筆記本電腦帶回家或者咖啡店操作，因此安全政策常常顧忌不到公司外的數(shù)據(jù)泄漏行為。
缺乏對政策的認識
大多數(shù)公司都部署了安全政策，但是研究表明，員工通常無視或者忽視安全政策。
原因何在?他們可能甚至都不知道公司有這樣一個安全政策。
盡管IT管理員會意識到他們公司有一個安全政策，知道并不是所有信息都能夠暴露給員工。研究表明，知道安全政策存在的IT管理員要比必須遵循安全政策的員工高出20%到30%，百分比相差最大的是美國、巴西和意大利。
溝通障礙
員工不遵循公司條例往往是由于缺乏溝通，這項調(diào)查發(fā)現(xiàn)，當IT部門將政策告知員工時，他們通常使用的是非言語手段，很容易被遺忘的方式，如電子郵件、即時消息和語言信箱等。其結(jié)果是，調(diào)查中有11%的員工表示IT部門從來沒有或者很少與他們交流安全政策方面的知識。
安全政策需要更新
調(diào)查中有四分之三的IT專業(yè)人士以及將近一半的員工認為他們的安全政策需要更加頻繁地進行更新， 需要指出的是，中國和印度這兩個國家是最缺乏定期更新意識的國家。
不公平的安全政策
調(diào)查的10個國家中有8個國家的大多數(shù)員工認為他們公司的安全政策不公平或者妨礙他們工作。那些能夠更多地使用web 2.0應(yīng)用程序和社交網(wǎng)站、視頻和移動設(shè)備的員工表示，他們開始越來越多地在工作場所使用這些程序，但是很不喜歡限制他們使用web 2.0應(yīng)用程序的過時的IT安全政策。
IT人士和員工：不遵循政策的原因
IT人士堅持認為員工無視于政策存在的原因包括：沒有意識到安全風(fēng)險的嚴重性，并認為IT只是保護他們而根本不關(guān)心他們。
另一方面，員工們則表示，他們忽視安全政策是因為他們認為安全政策并不符合他們的工作要求，其次是因為接入程序的需要沒有涵蓋在政策中。
Burgess表示，如果你的員工不理解為什么需要安全政策，那么，你需要調(diào)查為什么安全政策存在的原因。
作為企業(yè)的安全管理人員，需要積極主動的適應(yīng)新的安全需求，靈活制定策略，以滿足新形勢下的安全需求。
