非权威统计称：每天世界上有数亿封网络钓鱼邮件，其中有数千万封通过安全过滤器进入人们的收件箱，而有数百万封网络钓鱼电子邮件被人们打开，数十万人点击了其中的钓鱼链接，数万人陷入诈骗陷阱。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：这并非防垃圾邮件或防诈骗系统的问题，从原理上讲，很多钓鱼和诈骗利用的更多的是人性的弱点，而人性是最为复杂的，是无法从技术层面彻底解决的。
在“大安全”背景下，安全意识培训是所有员工培训计划的重要组成部分，同时，安全意识计划也是所有信息安全计划的基础内容，尽管如此，它们很少获得实现目标所需的资源。为什么这么说呢？安全意识培训的真正商业价值需要得到显示，这是非常困难的，即使技术类的安全防范措施都没有精准的量化指标，何况针对“人脑”的安全教育呢。不过，话说过来，既然意识类似于教育培训，那么，是否可以向教育行业学习，以产生可量化的指标呢？比如设定及格分数、颁发毕业证书？答案是确定的，实际上，借助安全意识宣教套件，任何组织都可以实施强大的安全意识培训计划。
意识计划通常会开展网络钓鱼活动并在此基础上推出电子学习方案。模拟网络钓鱼具有一些潜在的价值展示，在线学习也可以有测试考核，它们可以构成一组安全意识宣教套件。此外，电子学习还有一些附带的优势，可以通过调查问卷的方式，获得人们对网络培训的普遍看法。这些指标都是可以通过信息系统进行量化的，此外，大多数安全意识计划还应考虑一项重要的量化指标，那就是合规性检查报告，即通过模拟钓鱼和现场走访等测试方式，表明人们变得更有知识、更加警惕、不太容易受到网络钓鱼的影响。
早期，我们看到很多“安全意识模型”，无疑它们出自提供安全意识计划的服务商，近几年，这些东西比较少见了。并不是人们讨厌那些貌似高大上实则空洞无物的理论，而是安全意识已经得到了广泛的认可。不过，话说回来，知晓如何展示安全意识价值，特别是使用量化指标的，却是非常稀少。在此，我们仍然希望将与意识相关的量化指标挖掘出来，并分享与有兴趣和有需要的客户及合作伙伴们。我们总结出四个种类：合规性指标、参与度指标、有形投资回报和无形收益。
一、满足合规需求。合规性指标涉及确保组织机构满足合规性需求，这通常意味着需要确保员工完成安全意识培训。在这个层面上，为员工们提供培训所需的最低预算在最低水平上是合理的。培训方式最好也是遵从上级指示，充分利用上级资源，以及如网络安全宣传周等公共宣教资源。搞些安全意识相关的宣传海报、条幅口号、宣传视频等，基本上花不了多少钱，找些员工拍拍照做做样子，在培训记录本上签字，能应对不少来自上级部门的审计和检查。说到底，无论是《网络安全法》，还是《数据安全法》、等级保护等等，对安全意识培训有要求，但是只是泛泛地要求，想只应付检查太容易，要要真正有效却并不足够。
二、参与度指标。这是目前大多数意识从业者使用的最常见的指标类别。这些指标涉及意识套件的一般使用和接受度。与合规性指标重叠的完成指标较为接近。比如使用线上调查，学员们通常会接受有关电子学习课程材料是否受欢迎的调查。当然，指标还可能包括课程时间、频率、内容的帮助性等等，甚至用户是否愿意接受额外的意识培训、参加更多安全意识活动等。虽然参与度指标并不能表示安全意识的有效性，但是人们的参与度越高，他们的积极性和可塑性也就越好。如果能够提供优质的安全意识课程，无疑可以获得较好的安全意识宣教效果。这些课程范围从通识的安全知识到网络钓鱼、社会工程等特定主题的课程。通过模拟的网络钓鱼测试，组织机构可以评估其员工是否容易受到网络钓鱼威胁或其他社会工程攻击。当有员工未能通过网络钓鱼测试时，组织可以选择提供培训时间，以便提供更多安全意识培训活动。或者，该员工可以自动注册到稍后要参加的特定培训课程。课程计划是可以组合在一起的几门课程的组合。
三、有形的投资回报率。有人质疑这个指标的科学性和精准性，这种质疑是可以谅解的。但是要牢记“有胜于无”，量化指标也需要不断改进，如果没有量化指标，仅从感性层面，很难表明员工实际上正在提高他们的安全意识。在这种情况下，需要衡量实际的安全行为或这些行为的迹象。员工们是否知晓密码政策的复杂性要求？员工是否使用了安全的密码？员工是否知道如何判断信息数据的敏感性？员工们在离开办公桌时是否会将敏感信息保护起来？在怀疑受到钓鱼攻击时，员工们知道如何应对吗？在宣教活动的前后，网络钓鱼事件识别的数量、社会工程学攻击事件报告的数量有变化吗？恶意软件事件的数量减少了吗？具体的数值都是多少？业界存在与网络钓鱼攻击、社会工程学攻击和恶意软件事件相关的平均成本，通过它们，可以计算出估计的投资回报率。当然，也还需要收集与潜在意识失败相关的指标，并跟踪这些指标的变化。
四、无形利益。虽然我们需要证明财务方面的投资回报，但是对于一家组织机构来说，还有其他潜在的价值点。例如，意识计划使员工们对组织机构和安全部门产生了善意，员工们则更有可能报告事件并在其他工作方面展开高效合作。生产力的提高无疑是最大价值，安全意识计划促进了知识产权保护，强化了组织秘密保护，减少了信息资产的失窃。员工们可能会因为有这么好的培训活动加深对组织的感激和信赖，这样组织就能获得更好的员工保留率。此外，安全意识计划也可能会为员工们的个人及家庭网络安全创造了价值，如果员工们自身不太容易受到网络电信诈骗攻击，他们可能会花更少的时间来减轻身份盗窃带来的损失。因此，我们建议培训课程的范围，除了工作内容之外，也应该加一些通识内容，还可以向员工发送安全提示。这些提示提供了易于理解的信息，有助于提高最终用户的安全性。
很明显，来自网络犯罪分子的威胁不会消失，培训最终用户有助于最大限度地减少网络钓鱼和其他社会工程攻击的威胁。使用安全意识宣传套件，通过自动注册或批量导入，可以轻松发起模拟钓鱼、在线电子学习培训和意识考核活动。凭借强大的报告功能，组织可以了解其安全意识状况。使用这些报告中的数据，结合一些其他的安全事件数值，以及安全检查等报告，可以制定出可量化的价值指标，该指标往往能够展示出远远超出标准参照指标的投资回报率。这就意味着安全意识计划不仅仅满足了合规要求，而且安全意识人员们的努力带来的回报远超过出实现合规所需的最低资金。
昆明亭长朗然科技有限公司推出了大量的安全、保密与合规意识宣传教育内容，包括动画视频、平面图片和电子课件资源，其中也有关于信息安全、知识产权与隐私保护相关的法规科普，以及员工们需知的数据安全及保密知识，欢迎有兴趣的客户及行业合作伙伴联系我们，预览作品以及洽谈采购合作。
