作者：新思科技產(chǎn)品市場經(jīng)理Rachel Zahr
飛象網(wǎng)訊 合規(guī)培訓(xùn)將幫助企業(yè)通過審計(jì)。但是為了保護(hù)客戶數(shù)據(jù)，安全團(tuán)隊(duì)需要在合規(guī)要求之外進(jìn)行在線安全培訓(xùn)。
合規(guī)審計(jì)培訓(xùn)對(duì)企業(yè)來說非常重要，從開發(fā)人員到管理人員，企業(yè)加強(qiáng)對(duì)團(tuán)隊(duì)的合規(guī)知識(shí)和培訓(xùn)，可以避免因不合規(guī)而導(dǎo)致的直接處罰以及信息丟失的風(fēng)險(xiǎn)。在遠(yuǎn)程辦公環(huán)境中，企業(yè)也不能忽視合規(guī)審計(jì)培訓(xùn)。
受疫情影響，許多企業(yè)幾乎已經(jīng)開啟完全遠(yuǎn)程辦公的模式。他們不得不為過去線下當(dāng)面進(jìn)行的活動(dòng)進(jìn)行重新規(guī)劃。例如，在不確定時(shí)期，許多合規(guī)審計(jì)已經(jīng)通過在線方式進(jìn)行。這種轉(zhuǎn)變要求企業(yè)調(diào)整他們所做的準(zhǔn)備和計(jì)劃。
但是即使在形勢不明朗的時(shí)期，保持敏銳以及對(duì)安全知識(shí)、計(jì)劃和響應(yīng)的追蹤仍是企業(yè)的責(zé)任。企業(yè)的安全團(tuán)隊(duì)必須以新的方式為這些審計(jì)做準(zhǔn)備�，F(xiàn)在許多都進(jìn)行遠(yuǎn)程管理，團(tuán)隊(duì)必須意識(shí)到潛在的缺陷和風(fēng)險(xiǎn)。
某些審計(jì)活動(dòng)可能會(huì)疏忽了一些漏洞風(fēng)險(xiǎn)，在報(bào)告中予以通過；但是對(duì)于企業(yè)的安全性而言，風(fēng)險(xiǎn)不會(huì)因?yàn)閳?bào)告通過而消失。因?yàn)槟膶徲?jì)師疏忽了，不代表黑客會(huì)看漏，他們可能在一天之后就嘗試?yán)眠@個(gè)漏洞進(jìn)行非法活動(dòng)。有鑒于此，從開發(fā)人員到管理人員，對(duì)您的團(tuán)隊(duì)進(jìn)行必要的安全知識(shí)和培訓(xùn)更加重要，這不僅需要通過合規(guī)審計(jì)，而且需要超過這個(gè)標(biāo)準(zhǔn)。在安全法規(guī)和合規(guī)方面力爭達(dá)到更高標(biāo)準(zhǔn)是保護(hù)您的企業(yè)、員工和客戶的最佳方法之一。
培訓(xùn)如何提高合規(guī)率？
根據(jù)對(duì)行業(yè)專家的一項(xiàng)調(diào)查，針對(duì)行業(yè)標(biāo)準(zhǔn)和法規(guī)如支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)（PCI DSS）的安全審計(jì)的合規(guī)率一直在下降。例如，PCI DSS的合規(guī)性自2012年首次下降以來，從2018年的42%下降至2019年的26%。合規(guī)下降的原因有很多，但是10%的受訪者表示，導(dǎo)致合規(guī)失敗的一個(gè)關(guān)鍵因素是合規(guī)教育的減少或取消。
同時(shí)，其他的法規(guī)，比如面向醫(yī)療服務(wù)行業(yè)的HIPAA法案，它本身并沒有一個(gè)通過或未通過的規(guī)定。但是為了合規(guī)，當(dāng)雇傭員工或者政策/程序發(fā)送重大變化時(shí)，他們需要接受有關(guān)安全主題的培訓(xùn)和最佳實(shí)踐，包括社會(huì)工程、密碼和加密。
然而，在核對(duì)清單上打勾的一次性訓(xùn)練并不能滿足HIPAA法案對(duì)合規(guī)性的要求。盡管HIPAA法案沒有規(guī)定應(yīng)該多久進(jìn)行一次合規(guī)培訓(xùn)以保持合規(guī)，負(fù)責(zé)監(jiān)督HIPAA法案的組織在最近的一則簡訊中表示，每月的安全更新和半年一次的培訓(xùn)對(duì)于許多醫(yī)療機(jī)構(gòu)滿足要求都非常有效。
數(shù)據(jù)泄露成本增加
企業(yè)不遵守這些法規(guī)的話可能遭受重罰，其中包括罰款和吊銷許可證和證明。
除了因不合規(guī)而受到的直接處罰之外，由于不及時(shí)了解安全審計(jì)培訓(xùn)而帶來的更大的商業(yè)影響還包括數(shù)據(jù)泄露的增加。因此，培訓(xùn)不僅使企業(yè)能適應(yīng)最新的法規(guī)，而且還減少信息丟失的可能性。
研究已經(jīng)量化了這些影響。例如，在過去的14年，完全符合PCI DSS要求的企業(yè)沒有發(fā)生過任何一例數(shù)據(jù)泄露事件。
eLearning滿足企業(yè)的特定需求
由于大部分員工無法進(jìn)行課堂式培訓(xùn)或者在現(xiàn)場進(jìn)行安全信息的鞏固培訓(xùn)，企業(yè)應(yīng)該轉(zhuǎn)向并加強(qiáng)使用在線課程來幫助員工提升安全知識(shí)。eLearning課程和在線講師指導(dǎo)培訓(xùn)（vILT）都是幫助企業(yè)滿足合規(guī)培訓(xùn)需求的一些不錯(cuò)的選擇。
eLearning提供比以往更重要的優(yōu)勢，包括按需訪問、特定角色培訓(xùn)（比如開發(fā)人員、架構(gòu)師、DevOps經(jīng)理、安全從業(yè)人員、執(zhí)行人員），以及適用于特定合規(guī)標(biāo)準(zhǔn)的培訓(xùn)（如PCI DSS）。而且eLearning培訓(xùn)可以幫助覆蓋特定垂直領(lǐng)域的法規(guī)，比如金融服務(wù)和汽車。另外，vILT與面對(duì)面授課很相似，可以在線與小組成員互動(dòng)。由于不同的企業(yè)需要不同類型的課程，eLearning和vILT提供靈活性以滿足這些需求。
eLearning課程可以覆蓋適用于企業(yè)的法規(guī)或標(biāo)準(zhǔn)的培訓(xùn)需求內(nèi)容深度，有與PCI DSS、《通用數(shù)據(jù)保護(hù)條例》(GDPR)、《加利福尼亞州消費(fèi)者隱私法案》(CCPA)等等相關(guān)的特定合規(guī)課程。如果企業(yè)需要更具深度或廣度的合規(guī)或安全培訓(xùn)，可以選擇完整的eLearning課程目錄或者單點(diǎn)學(xué)習(xí)課程。完整的安全目錄涵蓋從基礎(chǔ)和防御策略到特定的編程架構(gòu)/語言和云平臺(tái)。
按需eLearning合規(guī)課程不僅非常適合開發(fā)人員，eLearning還適用于其他角色。比如GDPR合規(guī)培訓(xùn)適用于開發(fā)和項(xiàng)目經(jīng)理以及CISOs和其他高層管理人員。
eLearning集成到IDE
伴隨著 “向左移”，開發(fā)團(tuán)隊(duì)在軟件開發(fā)生命周期早期承擔(dān)更多的安全責(zé)任，他們不得不在代碼提交之前加入合規(guī)性培訓(xùn)。為了滿足這一需求，按需eLearning直接通過新思科技的Code Sight插件集成到開發(fā)人員的集成開發(fā)環(huán)境（IDE）中。eLearning還與Coverity Connect和Seeker集成。這些集成使得eLearning課程的演示內(nèi)容能結(jié)合團(tuán)隊(duì)的需求。因此，集成直接支持開發(fā)團(tuán)隊(duì)“向左移”，并且確保他們可以獲取滿足其安全和合規(guī)需求的相關(guān)培訓(xùn)。
不要錯(cuò)過安全培訓(xùn)，以備不時(shí)之需
隨著許多企業(yè)開展遠(yuǎn)程辦公，合規(guī)審計(jì)培訓(xùn)也發(fā)生了變化。遠(yuǎn)程辦公場所改變了工作流程并且?guī)砹诵碌奶魬?zhàn)，但是安全合規(guī)的需求并不會(huì)因此而減少。
eLearning可以幫助企業(yè)在不確定的時(shí)期更加專注于合規(guī)和法規(guī)培訓(xùn)的需求。通過在線培訓(xùn)來強(qiáng)調(diào)諸如PCI DSS、GDPR和新的CCPA等特定的法規(guī)和標(biāo)準(zhǔn)，如金融服務(wù)和汽車的垂直行業(yè)，或者如軟件安全原則的通用培訓(xùn)基礎(chǔ)知識(shí)。
