而且，很多時(shí)候，肇事者通常只是無(wú)意識的犯錯誤，或者他們只是把事件悄悄的擱置在一旁而沒(méi)有受到任何責備，安全部門(mén)的人員對于這種態(tài)度感到驚訝和失望。那么為什么公司會(huì )有這樣的脫節呢?因為他們沒(méi)有協(xié)同人力資源，而且對于這些行為的嚴重性或者風(fēng)險性沒(méi)有明確的界定，即使是那些理應得到嚴肅對待的事件也同樣如此。
對于上述問(wèn)題的解決辦法就是在事件發(fā)生之前尋求正確的人力資源管理。我知道，就像狗和貓一起生活一樣，這種概念---過(guò)于感情化的人力資源工作人員與強硬并且粗俗的IT安全人員們一起工作，似乎預示著(zhù)企業(yè)將走向滅亡。但是在很多問(wèn)題上需要這兩部分人員的密切合作，如果能在事故發(fā)生之前意識到這一點(diǎn)，就可以避免很多痛苦和麻煩。
身份和認證
為一個(gè)新雇員初步建立的身份信息(包括駕駛執照和W-2證件等)是人力資源專(zhuān)門(mén)負責的職責。當身份建立后，該新雇員就能夠被證實(shí)他確切的身份，那么，我們就認為，初步鑒定和認證或者又被稱(chēng)為“initial I&A”的步驟完成了。
而這絕不是一種能夠自動(dòng)進(jìn)行的任務(wù)，同樣的，也不是IT部門(mén)的任務(wù)。如果有人出現在IT服務(wù)臺索要員工信息，而服務(wù)臺卻沒(méi)有人力資源關(guān)于初步鑒定和認證的記錄，那么警報器就該發(fā)出警報了。除非有某種特例---廠(chǎng)商與企業(yè)部門(mén)的合同作為initial I&A時(shí)，企業(yè)就會(huì )賦予廠(chǎng)商臨時(shí)ID，在一般情況下，IT部門(mén)不應該負責由人力資源部門(mén)管轄的事務(wù)。
這是我所見(jiàn)過(guò)的最常見(jiàn)的錯誤之一，不過(guò)initial I&A不應該與職責和權利的實(shí)施混為一談。只有當是否雇傭某人的管理決議由人力資源執行時(shí)，一個(gè)人的網(wǎng)絡(luò )個(gè)人信息才能與任務(wù)、具體職責、薪酬和工作的其他事宜相結合。如果這些步驟都會(huì )混淆意味著(zhù)人力資源部門(mén)的失職，而這必然導致沖突、混亂和安全性減弱。
可接受行為
IT部門(mén)可能算得上是看門(mén)人，但是它并不是公司所有涉及個(gè)人信息和道德倫理方面的事情的仲裁者，而且這是人力資源的工作，即使IT總管或者安全人員執行的是IT政策保護傘下的“可接受使用的”策略。IT部門(mén)經(jīng)常會(huì )試圖為企業(yè)組織的電腦系統和資源信息確立正確的倫理行為。
可能說(shuō)這些會(huì )有點(diǎn)混淆主題，人們可能會(huì )認為只有某些特定的行為會(huì )被禁止，或者會(huì )認為技術(shù)誤用與實(shí)際的倫理違背之間沒(méi)有明確的聯(lián)系，混淆會(huì )造成不明確性，而不明確性會(huì )使員工不清楚該如何行事。
與人力資源部共同來(lái)理解企業(yè)組織的倫理標準是非常重要的，而且能確保他們對可能發(fā)生的事情承擔責任。例如，一個(gè)非IT倫理政策可能只會(huì )側重于工作績(jì)效和性別等敏感問(wèn)題，而忽視現如今信息技術(shù)所允許的資源和共同行為等。
通過(guò)審查所有的這些政策，人力資源部門(mén)可能會(huì )決定增加關(guān)于處理敏感信息或者當與公司資源結合時(shí)的行為等問(wèn)題的主題。只需要一些耐心，就可能很大程度上依靠人力資源政策，那樣一個(gè)“可接受使用政策”就可以專(zhuān)注于真正的用途以及潛在的缺陷問(wèn)題上，而不是試圖重新設定政策背后的倫理鑒定。
培訓vs.意識
對于大部分IT部門(mén)安全人員來(lái)說(shuō)，白天基本上沒(méi)有足夠的時(shí)間完成工作，所以我常常在想為什么他們花費這么多時(shí)間來(lái)為全體辦公室人員提供信息網(wǎng)絡(luò )安全培訓，把時(shí)間花費在那種單一用途的培訓班不僅僅是浪費時(shí)間，而且那些自愿參加培訓班的不一定是最需要得到培訓的人員。
不管是在易趣網(wǎng)上買(mǎi)賣(mài)東西或者在辦公桌前經(jīng)營(yíng)業(yè)務(wù)，行為、注意事項、政策和培訓都應該是類(lèi)似的，雖然模式略有不同。交易ID證章和數據庫賬號信息?將鑰匙遺忘在門(mén)上或者將筆記本電腦的密碼寫(xiě)在明顯位置?當系統中出現嚴重問(wèn)題或者文件檔案沒(méi)有上鎖需要立即呼叫經(jīng)理?技術(shù)不是這些問(wèn)題的答案。
不要重新創(chuàng )造別的方式，如果人力資源有定期提醒的計劃來(lái)宣傳商業(yè)政策、溝通更新或者其他不是和具體事件相關(guān)的信息，那么上述的方法還是比較可行有效的，而對于其他情況，安全工作人員應該經(jīng)常對自己的意識進(jìn)行更新和完善。
解雇員工
信息安全主管和IT總管不會(huì )解雇其他部門(mén)的人員，至少在我見(jiàn)過(guò)的所有企業(yè)中是這樣的，只是這不是程序的一部分。人力資源部門(mén)對于人員解雇是有具體程序的，而且涉及到報告經(jīng)理。如果企業(yè)或組織通常是一個(gè)整體，那么應該就有專(zhuān)門(mén)的標準來(lái)規定怎樣的行為構成了嚴重的或者可以被解雇的范疇。有時(shí)候這種標準會(huì )涉及“零容忍政策”，其他可能會(huì )涵蓋某個(gè)人的行為歷史記錄，經(jīng)理或者行政部門(mén)根據他們的歷史記錄來(lái)裁決是否要解雇該員工。但是國際標準化組織(ISO)或者IT經(jīng)理的職責只是記錄事件，而不是裁決。
也可以這樣理解，當ISO出現并要求解雇某名員工的話(huà)，人力資源的回答通常是“為什么?”，如果ISO的回答是技術(shù)性的或者完全不知所云，那么，人力資源部門(mén)可能就不會(huì )采取任何行動(dòng)。這樣的事情重復發(fā)生后，不免對人力資源部門(mén)產(chǎn)生屈尊俯就的態(tài)度，如果不是揶揄嘲笑的話(huà)。
首先，詢(xún)問(wèn)人力資源部門(mén)是否有備有文件證明的“零容忍”政策或者其他的他們認為可以立即解雇員工的惡劣行為列表。然后向他們索要他們想要立即被告知的關(guān)于解雇事件的第二張列表---那些需要引起警惕的可能造成解雇的事情。仔細閱讀這兩個(gè)列表。那些負責安全政策和合規的人(通常是安全主管)應該要參照并熟悉這兩張列表所要求的內容，這樣就能夠非技術(shù)性地與人力資源部門(mén)就IT安全事件進(jìn)行溝通。
舉例來(lái)說(shuō)，“瀏覽那些被智能過(guò)濾器政策標注的網(wǎng)頁(yè)，然后通過(guò)電子郵件將網(wǎng)頁(yè)上的圖片發(fā)送給郵件分發(fā)名單列表”可以這樣表述給人力資源部門(mén)的人員“在工作時(shí)間使用公司資源獲取色情照片，這違反了倫理政策;而發(fā)送淫穢材料給其他員工違反了反騷擾政策。”這樣轉化說(shuō)法的目的不僅僅是將政策和語(yǔ)言正?；?，同時(shí)，這樣做能使不正確的行為得到抑制，對所有的員工都更加公平。
開(kāi)放策略
關(guān)鍵在于保證IT部門(mén)與人力資源部門(mén)的正確溝通，不只是將對方所有不應該做的事情全部列出來(lái)。IT部門(mén)可以更廣泛地向人力資源部門(mén)敞開(kāi)技術(shù)之門(mén)，如果人力資源部門(mén)已經(jīng)將不能接受的行為完全列舉出來(lái)。他們之間的溝通更多，監督管理和行政工作就會(huì )更簡(jiǎn)單容易。
聯(lián)系客服
