并非矛盾 理解企业安全上的一些建议

ZDNet安全频道原创翻译 转载请注明作者以及出处

很多人在阅读的时间心态并不能保持开放的心态或者在想其它的事情。这样的话，就会导致在理解文章本意方面出现错误，误解了作者的真实意图。
--------------------------------------------------------------------------------------------

　　在前段时间，ZDNet网络频道发表了一篇文章《10条要诀保证你在离职时的个人安全》。它属于《10要诀确保企业在员工离职后的信息安全》的补充，属于保障离职过程中信息安全的另一个方面。很显然，它成为了最近TechRepublic社区IT安全网络日志中最流行的文章之一。

　　在这篇文章中，从保证个人安全的角度出发，我给出了下面所示的十条建议：

　　1. 不要违反公司的规定。

　　2. 不要保存即时通讯工具传送的信息。

　　3. 在进行私人交流的时间使用加密模式。

　　4. 不要迷信加密模式。

　　5. 不要在工作过程中使用私人密钥。

　　6. 保证私人用即时通讯工具和电子邮件密码的安全。

　　7. 不要保存和工作没有直接关系的浏览器历史记录或网站密码。

　　8. 进行私人浏览的时间采用加密代理。

　　9. 不要将重要信息的唯一副本保存在工作场合。

　　10.绝对不要给予老板不信任你的理由。

　　Hi，我们现在有一个问题

　　在文章后面的读者回复中，有几位读者明确指出，他们认为我是不负责任的，号召人们违反公司的规定，这样不仅会浪费公司的资金，并且还会导致自己被解雇。造成我号召人们违反公司规定的印象主要来自第八条：

　　8. 进行私人浏览的时间采用加密代理。

　　我自己反思了很长一段时间，“难道是我说的不够清楚?我知道自己提到过人们不应该违反公司的规定，但书面上写的东西和人们认为我想的事情是不一样的么?”

　　每当这种情况出现时，我就回去重新读一遍文章。确保自己看到的内容没有变化。

　　1. 不要违反公司的规定

　　在清单中，这是非常明确的第一条建议，属于绝对是不应该被忽略的，也是为什么选择它作为第一条的原因。在这里我说的毫不含糊，你不应该违反公司的规定。我们需要明确，其余所有建议都是基于这条基础之上的。我知道大部分回复的读者是同意这一点的，这一条不仅仅应该被当作建议，违反公司规定的后果大家的心里都很清楚。

　　8. 进行私人浏览的时间采用加密代理

　　如果单独来看，它似乎是号召做一些可能违反公司规定的事情。但是：

　　· 并不是所有公司都禁止这样做的，从读者回复中也可以发现这样的情况。实际上，在一些公司的安全策略中是鼓励类似这样的操作的。真的，确实是这个样子的。关于这一点，一个加密传输远程管理的安全通道代理(在这里我特别指出作为加密代理使用)在网络禁止的情况下是不可能实现的，最低限度也需要默许使用SSH，因为你首先必须将它安装在系统里。直到现在，我发现微软Windows操作系统中还是没有象电子邮件客户端和网络浏览器一样提供任何标准化的、经过同行审查的、功能强大的加密协议以便保证网络的安全。

　　· 从文章的整体背景考虑，清单中的这条建议只是在不违反公司规定的情况下才建议采取的。

　　· 在文章中已经特别提醒用户，在没有受到允许的情况下，不要使用加密代理!原文如下：

　　不过，这样操作的话，存在一个问题，所有经过加密的代理传送都会引起网络管理员的注意，你可能需要解释在除了正常工作，为什么需要和工作场合之外的计算机进行加密的信息交换。

　　10. 绝对不要给予老板不信任你的理由。

　　为了明确地阐明这个观点，我选择了在结束这个清单前，用一种更常见的警告方法来提醒你在某种程度上老板才是真正的关键。

　　最 后

　　即使在列完清单之后，我还是觉得没有足够的重视这一点，因此在文章的最后一段又再次强调了这个问题，通过另一个角度和另一个例子。如果两段半的强调还是不足以告诫人们不应该违反公司规定以保证自身安全的话，在文章的最后陈述中，我又再次强调了这一点，不要产生任何疑问以造成利益方面的冲突。

　　最后，请牢记这一点，在许多方面老板的安全和你自身的安全是有联系，大家都安全才是真正的安全。说到安全，我们大家的立场是一致的。不要让工作上的冲突让你忘了这一点。

　　保持开放的心态仔细阅读

　　我知道很多人仅仅是为了了解新情况，而在网络上浏览大量信息。我也知道很多人浏览信息只是为了寻找可以抱怨的理由。在充分确认自己没有误导读者的情况下，我不知道读者回复中那些发表这样的评论号召违反公司规定的人是处于什么样的动机。

　　当你在浏览文章的时间，发现一些看上去不是那么正确的信息的时间，我希望你和我做相同的事情：再次回去仔细阅读。当浏览文章发现一些不那么合理的情况时，我并不是马上把它看作是这个人一定是愚蠢或邪恶的证据。相反的，我认为这是一个机会，可能学习到新的东西。我会花费更多的时间来仔细阅读，如果我的想法和文章的观点不一致，我就会尽力地去寻找原因的所在。

　　注重细节和对新的思想在接受前进行仔细考虑都是非常重要的，可以保证在工作的时间安全不会出现问题，同样来说，对于保护自身安全也是非常重要的。在浏览的时间，不要急于接受一些你觉得读过的观点，实际上，在这么快的浏览速度下，你可能连实际内容的百分之八十也没有认识到。

　　仔细考虑清楚

　　考虑问题的时间，不能将它从环境中割裂出来，而不注意其所在的背景和实际的意义。

　　· 不要将文件系统碎片带来的问题孤立起来，作为性能问题单独解决，应该从安全软件的角度考虑它会给系统带来什么样的威胁，造成什么样的影响。

　　· 不要仅仅关注一个安全工具带来的效果，而应该考虑整个系统的安全(举例来说，真正的特权分离)和一个单独的安全“功能”(举例来说，微软Windows操作系统用户帐户控制功能)之间的区别。

　　· 不要以为所有人都处于相同的环境中，从而忽略掉别人说的可能不是你想到的问题。确保讨论的时间，大家谈论的不是具有相同名称的不同事件。

　　· 不要相信这样的事实，在“目前的技术”下，技术上的限制导致本世纪内不会有具有足够计算能力的单体系统可以利用暴力穷举法破解你的密码。实际上，考虑到新兴技术的发展，单体系统在提供分布式安全攻击方面的能力是令人惊讶的。

　　同样，在割裂的环境下看待“进行私人浏览的时间采用加密代理”不是什么明智的做法。应该在文章交代过的背景环境下看待这一点，而不是仅仅考虑文字书面上的意思。当你遇到这种情况的时间，应该仔细阅读文章的其它部分，进一步明确其实际的含义，就象其它几条说明的一样，提示读者避免违反公司的规定导致自身的安全受到影响。最后，如果你没有真正理解文章的主旨，错误地理解为利用加密代理不是保护自己免受不必要的注意，而是会引起怀疑的话，总有一天你会自作自受的。

　　阅读与思考

　　如果你不能以开放的心态进行阅读，并对阅读过的信息进行仔细考虑的话，浏览再多安全资料中的重点部分也不会给你带来很大的提高。只有真正掌握新的观念和学习的价值才能在复杂的世界中利用新技术保证安全。