自从人们将计算机连接到互联网，便面临着黑客入侵、病毒感染和数据泄露等等的网络危险。众所周知，将计算机连接到互联网的简单行为立即将其所有的数字内容置于危险之中。随着时间的流逝，互联网逐渐演变成物联网，我们的世界将越来越互相连接。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：所有连接到互联网的计算机、智能家电、移动设备、无人驾驶设备、智慧城市设备等等都已经或即将处于人类网络防御的前沿。由于网络攻击，绝大多数企业最终将遭受不同程度的财务损失。受到网络犯罪分子攻击的现实是当今所有联网设备都必须面临的非常残酷的威胁。

致力于数据保护的全新安全产业的诞生证明了对这类威胁的认识。实际上，人类世界每年花费数万亿元用于保护网络和网络中包含的专有信息。从政府机关到公司企业，多个部门致力于保护数据、建立专注于计算机保护的安全计划。我们帮助过各种类型的组织机构加强对其最终用户、程序员以及大众网民的安全意识教育，以期人们能够尽早接受保护信息资产的安全理念，并担负起相关的角色和责任。对此，董志军补充说：要保护好互联世界中的数字资产安全，我们必须深刻理解信息安全掌握在我们全体人类的手中、是我们共同的责任的事实。只有这样，当我们与互联网互动时、当我们面对各种各样的网络威胁时，我们就越能保护我们的信息安全。如下，我们将逐一讨论保护信息安全，培训安全文化的九个步骤。

一、培养安全责任感

要让人类共同承担起保护网络安全的责任，需要我们培育普适的信息安全意识文化，这种安全意识文化将与传统上的各种文化交融，并促进人类文明向新的更高、更安全的方向发展。保护我们自己计算机上的数据确实并且应该属于我们自己的责任范围，这当然是不言而喻的。尽管有些人可能会认为承担这项责任是拥有计算机的必然结论，但是在看不见的数字世界里，人类可以在物理世界中感到相对安全的同一社会结构根本不存在。这主要是因为数字世界本质上是看不见的。攻击者可以匿名进行匿名攻击。用于攻击的技术是一种相当新的技术，并且总是在不断变化，因此，甚至有可能在捕获犯罪分子时也没有法律起诉数字犯罪分子。此外，网络罪犯分子也可能与受害者不在同一个国家，并且可以完全避免起诉。这是一个难以捉摸、匿名且令人沮丧的数字犯罪世界。因此，各类型的组织和个人不能依靠传统的社会结构、法律或其他现有障碍来保护其数据。相反，数据所有者必须承担保护数据的责任。如同教育青少年儿童人类的基本价值观一样，安全责任感的培育是保护数字世界安全的首要任务。

二、分析和评估信息风险

风险管理方法是人类的一项重要文明成果。为了对不同类型的信息数据提供适当和合理的保护，数据所有者必须首先准确确定要保护的内容。归档文件、人员信息、客户信息和专有过程等等各种信息都需要受到保护，但是它们的安全级别可能不同。当然，根据您所在组织的类型，您可能需要保护不同类型的资产。确定确切的保护内容和保护方式涉及创建信息资产清单、识别这些信息资产面临的风险以及决定如何最好地应对这些风险。风险文化是很多组织得以长远发展和基业长青的关键，有很多关于风险管理的方法介绍，我们在此不做赘述。

三、制定信息安全政策

一旦资产和风险得到记录，就必须制定旨在保护组织资产的政策并将其付诸实施。成功的政策不可能迅速而随意地得到制定。这些政策必须是周密的，但也不能太过细致，繁琐的细节使组织无法进行实际的工作。因此在设计安全政策时，请确保尽一切合理的努力使这些政策易于落地和实施。应当强调的是，安全政策应该促进工作的开展，而不是以安全的名义使其停顿下来。同时，请确保安全政策弥补了现有业务流程的安全不足。如果将政策告知于员工，但员工们却感觉不到安全是他们日常工作的自然组成部分，那么他们将不太可能将安全落实于正常运营。切记：只有将安全政策嵌入了日常的业务流程，安全行为被人们不断重复并养成习惯，安全意识文化才能慢慢深入人心。

四、建立信息安全团队

有了风险应对的计划方案和旨在保护信息资产的安全政策，就需要我们在组织范围内建立信息安全团队。信息安全团队可以有专门的组织架构，在由高管组成的信息安全管理委员会的领导之下，接受管理委员会的工作指派，为管理委员会而负责。因此，信息安全团队应由公司各个部门或业务单元的代表组成，这些代表一般都接受过信息技术和信息安全方面的适当培训。需知，这些人员不能仅仅是信息技术或安全方面的专业人员，还应包括组织中各部门或业务单元中对确保数据安全充满热情和才华的人员。

五、实施多级安全培训

安全不仅仅是安全团队的职责，更是全员的职责，管理层、不同岗位的员工们必须认为到自己的安全职责。同时，要保障风险应对措施的执行、确保安全政策的落实，必须要依赖受影响的员工们。因此，必须对组织各个级别的员工们进行安全意识方面的培训。全面的培训计划将教育员工实施某些安全控制措施、制定某些安全政策的原因。通过全面信任、赋能并关爱员工们的安全心理和思想，他们不仅会感到自己扮演着重要的信息安全角色、很有价值，而且会对在日常运营中如何最好地保护自己负责的资产有更深入的了解。

重要的是不要忘记，组织中的每个人都必须接受部门政策和组织中个人角色的培训。从首席执行官到客户服务代表的每个人都必须接受有关其所在岗位如何影响安全的适当培训。如果某人未能执行保护其工作资产所需的安全步骤，则组织的安全性将面临漏洞，并且组织的数据被成功攻击的可能性将更大。因此，绝不允许组织中某些人员以资历和职位凌驾于已采取的安全措施之上。一项好的安全意识培训计划将为整个组织提供牢固的安全人力资源基础，进而让人力资源在安全方面更加“开化”，即促进安全文化的培育和养成。

六、创建安全工作基线

没有衡量就没有成果。在组织可以确定安全工作是否确实有效之前，必须制定衡量基准。这些度量标准和基线可以在以后的审核过程中使用，以确定成功的计划和政策以及需要进一步关注和改进的问题领域。对于组织而言，以准确而有意义的方式量化成功至关重要。否则，信息安全团队所做的努力可能不会在最需要的地方产生影响。

七、定期实施安全审核

像水往低处流一样，人们喜欢沿着阻力最小的道路前进。随着时间的流逝，某些安全政策就可能会得不到很好的遵循和执行，具体取决于安全政策在日常工作中的适应程度和自然程??度。使用在上一步我们创建的安全衡量基准，对比实际情况，便可以执行安全审核，将为组织内部的安全状态提供良好的参照。形成参照图之后，可以清楚地看到需要改进的地方，并且可以采取适当的整改措施来纠正影响安全的所有问题。人类就是在不断的自我审视过程中前进的，良好的安全文化是一种可以不断自我修复的文化。

八、制定灾难应对规划

一怕一万，就怕万一。不管安全政策有多么的周密，无论采取了什么措施来减轻风险和培训员工，组织都应该为灾难来临做好准备。灾难的例子可能是软件病毒感染了主服务器，或者是自然灾害袭击了组织的办公园区。我们可以将各种意外的重要影响事件都视为灾难，因此应采取所有合理的步骤和计划来应对此类“黑天鹅”事件。制定灾难应对计划是高级人类文明特有的特征，只有让时时准备应对灾难的安全文化深入人心，在灾难来临之时，人们才能自信坦然且井然有序地面对，才能保障最快的速度恢复正常业务持续化运作。

九、奖励安全贡献和行为

培训安全文化的重要举措是要营造一个让员工感到被鼓励实施安全行为的环境。人们会对获得成功的奖励和认可做出更好的反应。信息安全管理委员会应奖励那些有卓越贡献的安全团队成员以及员工中的安全积极分子和优秀行为人员，高层的表彰将对信息安全文化培育起来促进作用。当然，奖励成功实施安全政策和建立安全措施来保护组织安全并节省资金、提升效率的员工，这其实也是在为表彰绩效优秀的员工和创造积极向上的工作氛围。

补充与总结

与建立成功的安全意识文化有关的主要因素之一是组织面对不断变化的行业和技术而保持活力的能力。组织不应该简单地制定政策并解决安全问题。相反，应建立对政策及其有效性的持续审查。如果某项政策无效，或者某项技术无法达到组织的安全控管目标，请进行及时的更改！

如果为了安全而禁止员工执行其工作职能，则这种极端的安全毫无价值。一个经典的例子便是锁在保险柜中的没有网络访问权限的关了电源的计算机。该计算机虽然能够免受来自互联网的攻击，但是用户没有办法以任何有意义的方式实际使用它。因此，为了保持最佳安全性的同时提高生产率，请务必在工作一线倾听员工的声音。最终用户或实际使用计算机的员工们都知道安全政策会对生产力产生什么影响。对此，董志军再次补充说：无论是与服务相关的非营利组织还是营利性企业，请确保制定的所有安全政策和应对风险的控制措施都不会损害组织的底线。

昆明亭长朗然科技有限公司多年来专注于信息安全意识培训服务和产品的设计与开发，我们创作了海量的安全知识素材内容，涵盖了所有的信息安全意识培训课题，并且提供针对大型客户的信息安全意识咨询服务及信息安全文化建设服务，欢迎联系我们洽谈业务合作。