西方国家一项调查表明，约有24%的人员了解IT安全指南但尚未遵循这些指南。另有27％的人明知危险却仍然连接到不安全的网络。25％的人通过协作平台分享机密信息。对此，西方网络安全界对此表示担忧，认为用户觉得当安全措施妨碍其完成工作时，就会绕过安全。

西方国家特别是西欧是近代民主法制思想的发源地，国民有守法的文化底蕴和传统。对些，昆明亭长朗然科技有限公司企业网络安全管理顾问董志军表示：相比起，中华文明深受道家灵活变通文化的熏染，人们为完成工作、达到目标，可能更愿意躲过安全要求，甚至铤而走险违反安全制度，以身试法触犯安全红线。

除了文化的因素，也有时代方面的因素，60后70后80后一代人都有计算机崩溃和丢失数据的丰富经验，以及被网络钓鱼或被病毒攻击的悲惨遭遇。但90后00后人职场人员却生活在计算机和网络时代，经过多年发展，计算机系统相对安全稳定，所以没那么多安全警惕心，他们不知道计算机崩溃、数据丢失的感觉。他们也更不惧怕权威，想挑战旧的体制，其中便包括安全制度和要求。

对此，我们拜访了一家环球科技公司亚洲区的信息安全经理，想了解一下他们的做法，以及我们能为其做些什么。该经理称员工了解安全最佳实践的方式有多种多样的，这最好能和当地的文化习俗联系起来。比如意识内容可能需要考虑差异，比如当地的语言可能并非英语，当地的主流网络应用程序及移动设备可能并非Google、Facebook、Amazon和iPhone、当地的员工喜欢搭乘地铁等公共交通工具而不是开私家车……说到底，国家可以影响他们应该接收哪些信息以及他们如何接收信息。最终，需要记住一条规则：安全意识团队需要有国际意识，根据业务区域的分布，研究当地的特色，当然是与安全意识有关的部分。

在信息安全经理的展示下，我们快速参观了该公司的安全意识计划最佳实践做法。其亚洲业务主要分布于中国、越南、日本，中国和越南主要进行产品研发和交付，日本负责设计和市场。当然，对不同岗位不同部门人员，安全意识的内容也有偏重，除了所有人员都需要掌握的基线安全培训课程之外，设计研发人员偏多保密意识以及软件安全，市场人员则更偏多防范网络诈骗。

安全意识基线培训主要通过电子学习方式进行，包括在线课程、测试和交动式的场景等等，除了可以让学员随时随地自主学习之外，这种方式提供一个好处是可以很方便地更新相关的课程模块并推向全球，比如新近上线的欧盟通用数据保护条例GDPR培训模块。

对于安全意识计划的推动，该信息安全经理称：与人力资源部门的配合相当重要。人力资源设置时间并确保每位员工按要求参加线上培训课程。可能不同部门、岗位或角色需参加的培训稍有不同。最后，需要与行政管理团队的配合，在办公室的电梯、楼道、餐厅、会议区等张贴或悬挂一些宣传海报。

在谈及安全培训的效果，以及如何影响员工们的安全行为时，该信息安全经理称，在国际上，这还在不断探索和前进。该公司的做法是对积极的安全行为进行鼓励，并以此建立长久的安全意识文化。据称，该公司建立了一个环球信息安全小组，成员由来自全部国家和地区的所有部门的代表组成，他们关心网络安全，并通过其向同事们发送安全通讯，在团队会议上发表信息，以及悬挂海报来自愿提高安全认知。随着他们的人数不断增长，安全部门为这些人员设置了一个奖励计划，根据他们所做的贡献奖励他们。同时，除了这些安全代表之外，对其他信息安全积极分子也经常发布奖励，比如那些发掘出产品安全设计漏洞的人员、及时报告出安全事故隐患如新型钓鱼消息的人员，甚至安装安全修复和更新最为积极的人员。这些奖励经常会公开发布在海报和安全通讯中，不断有新的安全意识积极分子出现，安全意识文化便慢慢建立起来。在安全文化建设方面，亚洲与欧美是一体化进行的，信息安全经理认为当地的传统文化对企业文化的影响力非常微弱。

尽管如此，最近该公司仍然遭遇了身份盗用事件。对此，该信息安全经理表示需要在技术和意识双方面进行加强。毕竟，全球性的网络安全威胁是客观存在的，无论黑客从哪个国家或地区，都可以对我们发起网络钓鱼、欺诈邮件、密码骗局、中间人攻击等等。如果我们没有强大的密码，再加上多因素身份验证，以及背后的服务来保护账户，那么账户面临的风险就会增加，而且这将越来越重要。

昆明亭长朗然科技有限公司开发创作了大量高品质的故事驱动型安全意识培训内容。自2010年成立以来，我们为多家世界级客户提供网络安全意识课程内容服务，近年来，我们为中小型企业级客户推出了便捷的在线学习解决方案。

我们的培训视频简短、有趣且有效。偶尔散布的幽默有助于吸引用户的兴趣和注意力并引发人们的思考，以确保在当今组织运作的网络世界中的意识教育和合规性。欢迎有兴趣或需求的客户联系我们，洽谈安全意识宣教方面的合作事宜。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

不少大中型公司制定了严密的信息安全规章制度，告知并让员工们签字认可对这些规章制度的遵守。为了让公司的信息安全政策获得落实，确保这些安全规章制度得以有效的执行，也有不少公司制定了信息安全事故处理流程，以及员工违反安全相关规定后的惩戒措施。

的确，总体上来讲，员工们并非学生，也非儿童，需要为自己的不安全行为负责，也只有员工们担负起了相关的安全责任，公司信息安全规章制度才能受到重视，企业安全管理水平才能获得提升。

不过，我们也不能简单的将所有的员工安全违规行为都进行惩戒，这是因为部分信息安全违规后果并非员工们的主观愿望。实际上，很少有员工希望公司出现严重信息安全事故，几乎没有员工希望惹上安全事故。举例来讲，如果员工不小心点击了钓鱼邮件中的链接或打开了含有恶意代码的附件，进而让公司内部网络受到病毒的袭击，他（她）是否应该受到惩罚呢？

惩罚还是不惩罚，这是一个问题。昆明亭长朗然科技有限公司的企业安全管理顾问James Dong建议说：除非对员工们有足够的信息安全行为激励措施，否则，必要的惩戒措施并不能少。同时，要注意的是惩戒也需要一个标准，一个度量。过重的惩戒容易引起员工们对信息安全的误解、恐慌、逃避甚至抵制，后果不仅会让信息安全管理工作陷入被动局面，更可能让消极态度影响员工们的生产力。过轻的惩戒引不起员工们对信息安全的重视，甚至会变相鼓励铤而走险的恶意违规和套利行为。

那该如何制定科学的信息安全违规行为惩戒标准呢？亭长朗然公司James称：这也需要就事论事，综合评测。如下几条是必须考虑的因素：

1.当事员工对信息安全违规行为的认知，如果是新进员工在根本没有信息安全保密概念，也未参加相关安全意识和规章的学习之前无意中犯下的信息安全错误，对其进行惩戒则会显得有些“唐突”和“冤枉”。

2.当事员工违反信息安全规章制度的意愿，是明知故犯，恶意为之；还是疏忽大意，意外犯规，这需要区别对待。毕竟这两种意愿代表着涉事员工是“好人”还是“坏人”。

3.当事员工违反信息安全规章制度后的态度，是积极主动承认错误，愿意参与补救行动帮助挽回或降低公司损失；还是不思悔改，死不认帐，甚至歪曲事实、毁灭证据、妨碍调查。这关系到此员工在未来的信息安全行为表现，所以应该占相当大的比重。

4.当事员工违反信息安全规章制度所造成的后果，按对公司带来的负面影响来进行适当的惩戒，是比较科学合理的准则。影响微小的没有造成什么危害的，以说服教育为主；对公司形象、信誉造成恶劣影响并带来重大经济损失的，则需要在公司范围内进行通报批评、降职降薪，解除劳动关系直至诉诸司法手段。

说到底，如果员工在不了解信息安全相关要求的情况下犯了错，不应该惩戒；如果是好员工但是并非主观意愿情况下犯了错，我们不能向好员工的积极行为泼水；如果员工在犯错后有正确的态度，我们应该给予改错的机会；如果员工的安全违规行为并没有造成严重的损失，我们也不要小题大作。

我们需要让员工们担负起自身的信息安全责任，但也不能让人们对信息安全变得恐慌，也不能让信息安全成为业务成功的羁绊。