近年来，越来越多的信息安全部门被要求处理复杂的任务，而把最佳做法置于一边，这种情况令人忧虑。国家互联网应急中心一位不愿具名的安全老手说：解决复杂性的答案在于信息安全意识培训。
我们可以看到，越来越多的工作任务要由人们使用信息科技来完成。这就让信息系统和环境变得越来越复杂，我们的信息操作员会在多种不同的设备上，使用多个不同的软件应用。在这种局面下，网络防御变得越来越困难。例如，我们很难确保人们都严格遵照固定的安全操作指令要求来行动，这就给攻击者提供了在复杂的环境中实施攻击的机会。
在网络安全防护方面，我们应该如何将钱花在刀刃上呢？国务院国有资产监督管理委员会早对下属国有企业下达了指示：强化组织保障，加强全员信息安全教育培训工作，把相关培训纳入员工培训计划。同时，完善制度规范，建立健全企业敏感岗位的信息安全责任制，加强员工入职信息安全教育。简单说，就是要花更多的钱来更好地培训我们的员工。
当然，除了国资委相关要求之外，网络安全法、保密法、国家安全法、等级保护制度、信息安全管理体系等也都有对员工进行信息安全教育培训的要求。要说国资委等下达的指示多的是，为什么偏偏要特别提及员工安全意识培训呢？昆明亭长朗然科技有限公司员工信息安全培训讲师董志军说：我们分析了很多信息安全事件，发现训练有素、信息灵通的员工可以更好地帮助组织降低网络风险。
那么，该对谁进行信息安全教育培训呢？科技部门人员或用户呢？大多数人会觉得IT团队中的人应得到更多的训练，不可否认的是通过加强对技术团队的安全培训，我们可以让信息系统变得更为安全。但是，信息安全教育培训必须是横跨整个组织的，比如那些有针对性的钓鱼活动，利用的不是技术系统的弱点，而是人性的弱点。所以，在网络安全利害关系方面，所有人都有责任，所有人都是所在公司和家庭的一道网络安全防线。正因为如此，持续性地培训全体员工更为紧要。这其中，重要是通过不断地锻炼和实践，来激发学员的信息安全学习动力。
为什么要持续进行，还要不断地实践呢？董志军表示：一方面，持续不断地进行实践，可以让我们保持安全警觉。这和应对战争的军事准备一样，闲时我们要练好兵，不能懈怠，不然战争威胁来临，仓促应对往往必败。另一方面，不断持续地进行信息安全实践，有利于我们跟进和应对新兴威胁，比如新型威胁已经开始针对生物特征识别了，我们的信息安全教育培训仍停留在密码保护层面，那就不足够。就如同没有及时更新系统安全补丁一样，没能及时更新人员对安全的认知。
如何不断地进行信息安全锻炼呢？在实践中，我们发现的最好的锻炼方式是通过桌面练习和模拟训练。
桌面练习贯穿于我们日常工作节奏，比如典型的信息安全意识在线培训，定期的培训用于刷新员工们的安全记忆，强化安全敏感度；加之工作区域及桌面安全检查，让员工们时刻保持工作区域和个人计算方面的良好安全习惯。
模拟训练就类似我们的军事演习，我们会模拟各种安全场景，用以挑战学员：如果发生这种情况，您会怎么做？哪些信息对您是最重要的？您如何保护它们……
通过不断地信息安全锻炼，我们能够不断推动组织信息安全文化建设，不断提高员工们的安全实践能力，进而让员工们更好地帮助管理组织面临的网络风险。
对于信息安全管理负责人来讲，可以根据所有练习中的发现调整安全资源，合理分配，以最好地管理网络风险。
多年来我们一直在谈论安全意识培训，直到现在这仍是一个激烈辩论的问题。董志军总结说，网络安全业界主要激辩的焦点是如何衡量安全意识培训的效果，这其实如同在网络安全方面的投入和产出一样，很难精准量化。不过这并不影响业务对信息安全意识教育培训工作重要性的认识，在国家层面，我们发现越来越多的网络安全宣教活动，网络安全宣传周便是其一。同时，大量的世界级组织也在不断进行意识培训，以提高员工们的信息安全水平。
当然，也有一些方法论，比如通过信息安全意识测试、模拟网络钓鱼等等方式，来通过数字的方式衡量员工们的安全意识水平。尽管这些方法论是否科学仍然存有争议，但这些努力仍然是正向的，尝试使用知识测试和模拟钓鱼的方法，至少也是在不断进行信息安全方面的训练。
昆明亭长朗然科技有限公司是国内信息安全意识培训领域的领跑者，通过引进欧美相关产品，到自主设计开发符合国情的信息安全意识宣教内容，一步步走来，服务了大量的知识客户，也积累了大量的实战经验。欢迎联系我们洽谈业务合作。
电话：0871-67122372
手机：18206751343
微信：18206751343
QQ：1767022898
