引子

PDCA相信很多人不陌生，对接触过管理思想的人来讲，更是熟悉，不过还是让我们简明快速地讲一下。PDCA是英语单词Plan(计划)、Do(执行)、Check(检查)和Action(处理)的第一个字母，PDCA循环别称戴明环，是质量管理的基本方法，也是企业管理各项工作的一般规律。

对于信息安全从业人员来讲，PDCA也是建立信息安全管理体系ISMS的一项方法论。昆明亭长朗然科技有限公司信息安全意识课程开发主管董志军说：教育培训管理可以使用PDCA方法，信息安全管理可以使用PDCA方法，当然，交叉起来，作为人员安全管理的一个重要部分，信息安全意识教育培训也可以使用PDCA方法。

现状

在业界，很多技术型的信息安全专员不了解信息安全意识的重要性。而只有站在足够的高度的管理型安全专业人员才清楚：大部分的安全事件是由于最终用户对安全的无知或忽视而引起的，这些事件甚至包括造成重大损失的安全事故。通过恰当的信息安全意识培训，大部分由最终用户引起的安全事件可以得到避免。

信息安全意识培训负责人正逐渐认识到对最终用户进行安全培训的重要性，但是却往往没能掌握到科学的安全意识教育工作方法，更没能认识到培训工作需要得到持续不断地进行，并不断改进。正是因为如此，不少信息安全意识宣教活动都停留在表面，拍拍照，秀一下工作完事了，根本没有什么效果。

这种状况需要得到改变，否则必是安全管理的不完善。昆明亭长朗然公司董志军指出：由于信息安全管理的三大支柱是人员、技术和流程，即使技术型的安全专员多花出几倍力气和资源投入，也是无法有效解决人员意识和管理问题。

路子

针对人员安全意识培训的短板需要补齐，而具体该怎么做，则可参考PDCA方法论。其实信息安全意识培训负责人员可以和管理体系人员，以及职业的培训专员来探讨。如下，我们分享一点

P (Plan)计划，包括信息安全意识培训计划的制定。这里面包括搜集和分析安全培训需求并且制定培训目标，以及制定培训战略，创建培训计划。可以通过对最终用户进行水平的评估，来确定信息安全培训需求；也可以为最终用户划分到不同的类别中，以确定用户处于哪个类别，量身定制信息安全意识培训计划以便能最好地满足他们的需求。在计划制定方面，要保持安全培训的简洁，调整培训以便适应最终用户的水准，创建培训课程，以适合安全知识最少的最终用户。非正式的和基于电脑的培训在改进最终用户的安全表现方面最为有效，应该将这些培训方式应用到信息安全意识培训计划之中；正式的培训加上微培训和测试是保持安全意识在最终用户的头脑中处于更新状态的最好的方法；

D (Do)执行，根据上一阶段所制定的培训目标和计划实施信息安全意识培训活动，可能是通过外包还是内包的方式，可能是在线课程、互动挑战、“微培训”等多种形式。最终用户的安全知识水平可能参差不齐，毕竟大部分用户并不是安全方面的专家，培训时一定要尊重他们，让他们觉得受到了平等的对待。在培训活动开始前后，征求用户的想法和意见，倾听是很有效的沟通方式。

C (Check)检查，跟踪、评估培训的实施情况，在上一阶段，我们应征求用户的想法和意见。同时，也可以通过各种工具和手段来衡量信息安全培训工作绩效，比如通过在线调查表、测试考核等。

A (Action)改进，根据培训工作绩效评估结果，结合实际发生的安全违规情况，并与培训目标进行比较，找出培训中存在的问题，不断改进我们的培训流程，包括在课题的选择、交付的方式、培训的技巧等等方面进行持续的改善，如此便进入到下一个PDCA循环中去。

总结

不论一家组织规模如何，所处行业如何，都需要进行信息安全意识培训。使用PDCA方法，设定培训计划，执行计划并对最终用户的学习情况进行持续的检测可以不断改善信息安全，以及安全培训工作。有近半数的公司在提供了针对最终用户的信息安全意识培训之后看到了安全行为方面有明显的改进。

如果您对这个将PDCA方法应用于信息安全培训的实践有兴趣或意见，我们有一部公开课可供您参考和指正。此外，昆明亭长朗然科技有限公司在安全、保密与合规方面，提供专业的针对全员的培训解决方案，欢迎联系我们，了解详情或洽谈合作。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898