成功进行安全意识培训的八大秘诀

通过众多的安全项目实施,亭长朗然公司的安全意识顾问Bob Xue接触了大量的安全意识培训负责人,并且总结出如下八条安全意识成功的秘决:

不要混淆安全意识同安全宣贯
尽管它们都有市场推广的意味,安全宣贯是比较强制性和至上而下的单向宣传,多用于国家层面出台的安全政策和标准的推广,适用于命令与控制型的军事化组织或旧时期的企业管理中。而安全意识Security Awareness则以受众为主,适合以人为本的现代化新型企业管理风格,我们知道英文Awareness除了“意识”之外还有一项强调通过内心的深刻感知来获得自我觉醒的含意,自我觉醒的过程会有很多的心理疑虑产生,这就需要安全理念的受众(通常是公司全体员工)同安全理念的精神导师(安全培训负责人员)进行有效的双向互动。除此之外,安全意识也会照顾受众的独特个性,了解他们在安全认知态度、基础水平和接受能力之间的差异,采取多种有针对性的丰富多彩的培训方式,因材施教。

关注安全效果,而非表现形式
安全培训负责人作为全体员工的安全理念精神导师,要在安全引导上获得成功,需要专注于设定安全意识绩效标准、建立正确的安全战略指导方向、合理分配资源、鼓舞员工的安全士气、激励积极向上的安全行为和促进企业安全文化的建设。显然把握了前进大方向的基础之下,则不需拘泥于具体的表现形式,比如宣传单是用横排还是竖排的好呢?使用制作精美的Flash还是互动的安全挑战小游戏呢?选择或决策的标准无疑是评比这些手段或形式对实现安全绩效目标的贡献能力。

引发内心的思考,而不是娱乐受众
促进员工安全行为的要素之中,来自外界的压力永远不如来自内心深处的动力。安全的核心理念之一是要求员工们保持低调,周立波式的哗众取宠显然可能会使员工暴露更多信息甚至会激怒攻击者和招致更多安全威胁;好大喜功的娱乐视频只会带来喜羊羊和灰太狼式的感观刺激,却让安全思想理念成为娱乐大戏中并不显眼的小配角。娱乐是手段,而不是目的,显然舍本逐末或本末倒置的做法只会致使安全意识教育达不到应有的效果。启迪受众的安全智慧,需要勇敢拒绝快餐文化。能引发受众深思的往往并不是那些又酷又绚的美工动画特效,而是有些看似朴实无华但营养丰富的安全意识维生素,即使用精心设计的互动教程来触动受众的安全神经,以便激发受众的心理思考。

提升安全服务魅力,加强安全思想影响力
安全往往并非多数公司的业务核心竞争力,即使安全理念精神导师拥有较高的安全领导职位和权力,想有效影响员工,仍然需要特别的个人魅力和政治手段,方能在员工面前有足够的安全思想影响力。安全精神导师也会在不断的修炼过程中生长,可以尝试:开发和引进足够的安全意识专业技能,提升自我和借助安全业界朋友圈的安全资质能力,通过公司中高阶经理总监甚至董事会主席的政治影响力来示范最佳的安全实践……

合理引导,将是非判断权交给受众
不要急于给受众正确的答案,实际上在寻求安全与业务便利性的平衡框架之下,往往并没有“绝对正确”的标准答案。公司内部的安全实践比如安全意外事故、安全风险评估和控管措施选择都是很好的利用机会,精心策划,适当引导,让受众自觉自发地进行安全相关的思考、辩论、建议、决策和行动,可以获得受众对安全意识服务的高度认可、尊重以及支持,更可以激发受众的安全自豪感和安全在我的主人翁思想,进而积极参与企业安全文化建设之中。

定义安全愿景,开发安全意识矩阵
每家公司都是独一无二的,通过适当的安全愿景能在理想层面将众人聚集起来,安全意识服务团队、整个公司甚至相关客户以及合作伙伴都知道未来的安全意识态势以及发展方向。在众人知道了安全意识在未来要做什么之后,接着就要按照众人的安全需求和期望开发安全意识矩阵,制定和列出安全意识培训的目标、衡量指标和方法、安全意识计划、安全意识工作的紧要排序、以及安全相关指引等等。

加强部门间沟通协作,共建安全文化
安全意识往往是安全管理的一部分,看似都是比较简单的针对最终用户的工作,实则需要处理和协调复杂的关系,因为安全流程和控制技术要发挥有效作用,和最终受影响和使用它们的人员的安全意识水平密切相关。安全意识培训负责人要多同其它安全职责部门保持定期的接触和沟通,共同探讨在安全相关控管技术和流程体系方面可以进行的最终用户沟通工作。安全技术和管理负责人员往往也都需要最终用户尽可能多的理解和支持他们的工作,而协同工作也能开拓安全意识培训负责人的视野,不仅能从侧面帮助安全意识负责人加强对最终用户安全意识需求和行为特征的理解,更能通过安全技术和流程控管来推动和强化安全意识认知向安全行为习惯的转变,进而帮助共建企业安全文化。

持之以恒,不断改进
世界上最难完成的事情之一是把自己的思想装进别人的脑袋,即便最有影响力的安全精神导师也需要时间还传播正确的安全理念认知。企业安全文化的建立信赖良好安全行为习惯的培养,十年树木,百年树人,这无疑需要一个漫长的过程。安全意识培训负责人只有坚持不懈的努力,定期评估和检验安全意识推广的成效,找出可能的改进点,制定改进计划并根据计划不断循环展开各种规模的安全意识活动。此外,与公司经营相关的安全环境不断变迁,新型安全威胁也不断出现,安全意识负责人也要紧跟时代发展,勇敢尝试新手法,不断创新安全意识课程和内容,进而使安全管理体系不断走向新高,为保障业务持续安全运行创造更大价值。

昆明亭长朗然科技有限公司是全球依先的信息安全意识培训服务提供商,很愿意与各类组织的信息安全精神导师、安全培训总监以及安全意识经理主管们沟通协作,共同探讨安全意识培训的理念和方法,欢迎与我们联系。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

信息安全培训行业呼唤互动式的在线课程

市场需求变化多端,商业模式也在随之变化,产品和服务不断被重新定义,公司要形成独特的竞争优势,疏通价值链,实现战略协同合作是当今的一个趋势。

行业领袖企业往往会占领价值链的核心,掌握和占据行业生态控制的主动权——通过信息系统整合和优化供应链,进而形成行业准入和竞争壁垒。无疑,伴随着商业模式和流程的重组和再制,海量的数据将被不断地催生、交换和处理。即使我们能设计和实施最为高效最为安全的系统,也难免要与价值链中的系统用户互动,难免需要他们参与商业流程的操作,要想到达多方共赢的局面,同时在利益博弈之中处于优势地位,绝不能忽视信息安全,绝不能忽视最终用户在公司数据保护和商业风险控制方面所发挥的重要作用,所以建立公司内外的信息安全意识培训计划势在必行。

而广义上的外部环境也日益强化法律法规的遵从性,上市公司则面临着更多行业监管的要求,计算机犯罪率的上升也让网络信息安全成为公司的必修课,要下采购订单的国际大主顾对数据的安全更是不依不挠,其中都有不少关于信息安全意识培训的篇幅。

无论如何,教育员工及价值链一些关于信息安全的基础都是必须的。信息安全意识培训帮助保护公司的信息资产,如果这些信息资产丢失,结果可能轻则伤及公司形象,重则致使公司巨额亏损甚至破产。

较为规范的大型公司通常都有足够的信息安全意识培训预算,不过仍然有不少公司没有意识到这需要一笔明确的投入,在出现严重人为原因造成的安全事故之后,相关负责人员再被问责,怕是再后悔、翻倍投入也无法挽回巨额损失。

中小型企业通常没有庞大的预算和专职的安全培训人员,如果处于行业价值链中领袖企业的上下游,则可以借鉴领袖企业的做法,甚至共同分享安全意识培训资源。

对多数企业来讲,必要的投入不是问题,只是投入多少而已,当然目标都是解决商业风险和信息安全管理中人员的意识问题,而要达到这些目标,传统上有三种途径:内部培训、外部培训或网络培训。

内训的好处是课程设置更贴身,毕竟内部讲师更了解公司的实际情况,然而不要简单认为寻找内部培训讲师不用向公司外支付费用,成本低而且效果好,非专职的讲师设计课程的资源耗费要远高于专业人员,熟悉内情和知道如何解决问题是两回事。

聘请外部培训公司或讲师,外部讲师多数更加专业,并且见多识广,虽然不是很了解客户内情,至少可以帮助推广普世信息安全真理,另外,如果前期在客户的问题挖掘、需求分析和培训战略等方面的准备充分,则可带来理想的培训效果,只是往往花费不菲,而且培训到受时间空间限制,并不可重复。

依托电脑网络进行培训则是行业趋势,它打破了时空限制,让培训资源可重复利用,进而节省成本。另外,信息安全管理负责人员如能将例行的安全培训工作系统化,其能在公司商业模式和流程创新中的卓越贡献则更是可想而知。

不管哪种培训方式,培训目标中最重要的是让最终用户明白自己在价值链的成功之中所扮演的重要角色,认可和接受自己在保障公司的成功之中所承担的重要职责。

要达到这目标,要分析用户,大部分电脑用户并非IT安全专业人员,安全意识培训应该简单明了,且接近这些日常用户,安全专家喜欢讲些深奥的安全道理,即使没有故弄玄虚,也会让用户望而却步,这种方法并不恰当,真理是朴素的,像对待不懂电脑的亲朋好友一样,告诉他们简单的安全防护道理、知识和技巧,使用这些,在保护公司的同时,也保护了他们自己和家人,他们才乐于接受。

在多数公司的培训和宣传课堂上,通常看到不少员工在打盹,他们根本没有兴趣甚至抵触这些课程,这实际上是在严重浪费时间资源,讲师们通常将这些问题归于学员,当然不能排除个案,实际上多数情况在于这些课程的表现形式过于枯燥和单调,缺乏与学员的互动。

大型的现场安全培训覆盖人群广,但是难得有实质性的互动;小型课堂式培训效果好,可是受训的人数有限;录制一段视频让员工自己在电脑终端播放着学习也缺乏互动,只是不受大型现场安全培训的时空限制……这就是多数公司进行安全培训策划时面临的困难选择。

然而,一切都在变化,互动式的信息安全意识电子学习课程越来越受人喜爱,音频视频、防呆设计、用户参与、小游戏、挑战过关、角色扮演、奖励激励、仿真游戏、测试环节等功能和方式逐渐加入,让学员们耳目一新,让课程不在枯燥,在互动中成长,在实践中锻炼,在测试中学习。

昆明亭长朗然科技有限公司近期出台了一项互动式的网络安全培训课程,看了看免费的公开版,虽然没有让这种枯燥的课题变得栩栩如生,但也变得生动形象,让公司的网络安全制度平易近人,进而让员工知晓网络信息安全的基础理念,采用标准的最佳网络安全实践。

该公司以极低的产品价格帮助重视员工培训的中小企业建立信息安全意识教育课程,也为大型公司提供客户化培训产品的定制设计和开发制作。

有理由相信,这种互动性的课程设计必将成就信息安全意识培训的未来,也必将成为信息安全意识教育的未来。