如果没有适当的实施员工意识和培训的政策、程序和工具，就根本无法实施有效的信息安全计划。这是因为，学习通常包含三个关键要素：

1.意识，用于激励和提醒学员（员工、受众），了解对他们的期望。
2.培训，用于教授技能或掌握所需工具的过程。
3.教育，是支持或作为职业发展过程所需的专门、深入的教学。

了解了学习的三个要素，方能理解人员在信息安全计划中所扮演的角色和作用，以及如何利用这些要素来建立意识计划，如何细分学员以及如何确保使用恰当的安全知识信息内容，如何能采取适当的手段有效地将信息内容传达给学员。

信息安全价值管理

信息安全相关政策、标准、流程和规则的开发仅仅是有效的信息安全计划的开始。如果没有适当的规章来确保员工了解他们对组织信息资产的权利和责任，那么再强大的安全体系结构将变得效率低下。

安全专家经常在实施“完美”的安全计划之后，很惊讶地发现竟然失败了，原因在于他们忘记了将安全控制产品或技术“售卖”给他们的用户。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：所有需要用户参与或者会影响到用户的安全管控产品或技术，都需要获得用户的理解和支持才能发挥预期的效力。因此，为了获得成功，信息安全专业人员必须找到一种将产品和技术“售卖”给用户的方法。

多年以来，信息安全专家们都自认为是企业的管理人员，希望部署更多安全管控设备，比如防病毒、防火墙管理、终端接入管理、上网行为管理、账户权限管理、补丁漏洞管理和入侵检测管理等等。殊不知，企业中几乎所有员工都是某种意义上的管理人员。员工们都会认为自己已经学会了工作所需要的知识，所有的“管理”工作都是在为组织增加价值，就像大的高管们的任务是确保实现企业的业务目标和使命一样。然而，信息安全专业人员没有做到的，也往往是最需要做的就是“售卖”信息安全服务。

信息安全专家们必须检查安全服务，例如风险分析、政策、流程、标准、漏洞评估和业务连续性计划等等，并确定每种服务如何支持业务目标。在提高效率之前，您需要评估团队提供的沟通服务，并对“售卖”策略进行管理。简单说，现在的用户“很难伺候”，安全专家们必须拿出安全控管的商业价值，方能让用户理解、接受并配合相关的安全控管。否则，用户们只需说一句“这破烂儿安全系统阻碍了业务的成功运作……”，就足以让信息安全专家们无言以对，进入退缩和懊悔的状态，进而让安全管控设备下线。

安全意识计划的首要目的便是将安全价值信息传达给人们。

安全计划的关键要素

机密性、完整性和可用性是信息安全的三要素，也是安全计划的驱动力。对于可用性而言，有效的信息安全计划致力于确保组织的信息及其处理资源在授权用户需要时可用。机密性和完整性的目标并不仅限于将坏人拒之门外。它们还可以确保有业务需求的人员可以访问执行其工作所需的资源。机密性可确保建立控制和报告机制，以快速、准确地检测问题或可能的入侵。

有效的安全计划必须考虑组织的业务目标和使命，并确保尽可能安全地实现这些目标。了解用户的需求是建立有效的信息安全计划的第一步。意识计划必须加强这些目标，只有这样，才能使安全计划更易为员工们所接受。

与安全政策、标准和流程一样重要的是安全计划的体系结构和支持安全计划的基础结构，不过，麻烦的问题是，在现实中，大多数员工并没有时间，也不希望阅读这些文档。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：这不见得完全是坏事儿，要从高高在上的战略目标和神圣使命，下沉到影响日常工作效率的安全控管细节和安全要求，需要将有进行有效拆解和关联的智慧与技艺。

信息安全计划有五个关键要素，必须展示给受众们，它们包括：

1.信息安全是业务流程的重要组成部分的概念
2.确定执行安全计划的人员的不同角色和职责
3.确定信息以及应用程序、系统和业务流程的安全敏感性
4.实施基本的安全概念例如职责分离、需要了解和最小特权原则的业务原因
5.高级管理层对信息安全计划目标的支持

安全意识计划的次要目的便是将安全计划之关键要素传达给人们。

行动起来推动安全计划

在开始向同事们“售卖”信息安全之前，您得先将其出售给自己和高管，然后才能推及用户。

首先，您需要说服自己，所做的事情会为组织增值。在谈及有关信息安全问题的课程时，我总是要求安全专业人员完成一件事，以帮助组织实现其业务目标或使命。这就是应以非安全、非技术、非审计的术语，使用业务部门经理听得懂的语言来表达信息安全价值声明。

其次，许多信息安全专业人员直接或间接地向被执行者（受安全控管措施影响的人员）展开营销，这会引起员工们的抵触，就如同他们收到了垃圾邮件或骚扰电话一样。正确的方式是通过高管（如首席执行官、首席财务官、首席信息官、首席安全官等）来失去。这样，才更有其“合法性”和“权威性”，因为员工们相信高管们的要求是支持组织的业务目标和使命的。

然后，确保用户们及时、有效地访问信息安全服务资源，告知受众您是如何在帮助他们安全地完成自己的工作。如同您应对管理层那样，您也必须将这些安全服务以用户们能理解的语言呈现出来。切记：安全要求或审核要求不是业务流程的一部分，只有业务目标或任务要求才是。因此，当我们在提供信息安全服务时，必须使用管理层使用的术语。

安全意识计划的第三目的便是将安全要求以人们懂的语言传达给人们。

总结语

信息安全的目标必须服务于业务目标，信息安全不是闭门造车搞技术控制，而是为了保护信息资产的管理活动，不管是从信息安全价值管理、目标管理还是过程管理来讲，信息安全意识计划都必不可少。本文是指导性的论述，如果您对我们的观点有看法，欢迎不要客气地联系我们。昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构强化信息安全意识沟通，我们有大量的信息安全意识宣教素材资源，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务方面的合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

搞信息安全，需要找到恰当的平衡点，不能做安全做到太过，影响业务和信息运作的效率；也不能太弱，没有底线让业务信息时刻处于威胁之下。

实话说，不少信息安全事件也并非孤立的安全违规，违规背后多数都有其深层次的原因，如果违规者了解信息安全相关的规章制度以及可能造成的后果而孤注一掷贸然行事，我们则需深挖之，否则类似的信息安全事件仍会不断发生。

昆明亭长朗然科技有限公司James Dong说：防止内部“泄密”，无疑需要强化保密意识和信息安全观念教育，仅靠文档加密防泄漏系统是封不住人们的嘴巴的。黑客、商业竞争者和不良媒体人员多的是渠道。

拜托，黑客和不满雇员与竞争对手联合坑害公司的案子很常见，信息安全的一项重大威胁来自商业竞争对手，他们不仅窃取客户信息和产品研发资料，更会利用财务信息来制造新闻。所以，信息安全远不是信息科技部门的事儿，不经意随便露出的一角都可能被竞争对手恶意利用，强化全体员工的信息安全意识教育，是信息安全负责人及高管们的重要职责。信息安全意识培训计划的关键，是要通过一些信息安全案例来引起员工们的思考，而不仅仅是告诉他们赤裸的答案——应该怎么做。

公开的市场交易不顺畅，人们只能走私下的交易渠道，这反倒促进了社会迈向更深的“潜规则”，地下交易也衍生出虚假报道以及腐败等行为，进而让有效的监管变得更不容易，与之关联社会隐性问题会变得更多。做信息安全管理也能吸取经验教训，要让员工们的正常信息访问和使用需求得已轻松满足，不要过分使用安全技术控管手段来压制工作相关的网络和信息系统应用，要公开那些公司认为不安全的信息系统使用方式，并获得最终用户的理解和支持，建立适当的信息安全需求及问题沟通反馈渠道，站在用户的角度和安全政策的立场想安全与效率，不局限于某个具体的安全管理平台或技术规范，定会灵活快速地处理信息安全相关的问题，同时又满足了用户的业务要求。亭长朗然公司警告称：一味盲目的使用计算机安全技术控管手段压制，可能引起用户的怠工，让业务效率受损；也可能引发最终用户恶意躲避或越过安全控制措施，甚至变身“特洛伊木马”，从内部发起破坏行为。

这是全民自媒体的新媒体时代，人们宁愿通过社交媒体和志同道合的人们触碰。媒体大佬们，该清醒一下了，想想问题的根源何在，以及如何有效疏导。信息安全管理委员会，也需要从中获得灵感，需要让所有员工了解到，即使出于正常的业务创新或市场拓展之目的，也要在公司的信息安全管理制度框架下进行，可能会让增长速度变缓，但是却能带来长期稳健的发展。公司大起来，规章制度多少可能会压制一些个人英雄主义，血气方刚的年轻人想有一番作为，去创造不同，但不能恣意破坏和践踏现有的信息安全秩序，否则伤到的不仅是自己，更是公司众多同事、股东和客户。而要让这引进初出茅庐的职场新员工了解信息安全的关键要义，只能通过员工信息安全意识培训计划来推进，要让员工明白在社交媒体上，和工作相关的内容，哪些可以讲，哪些不可以讲。

要说哪些公司一点儿没有问题，也是掩人耳目，在这个人情社会中，有哪家公司没有点违规操作和内幕交易呢？话虽然这么讲，但是源头上的不干净并不能是借口。成千上万员工代表着公司，从概率上讲，少数员工中肯定有不良的甚至违法的行为，会给公司的形象信誉造成负面恶劣影响，加上不当竞争者恶意中伤，媒体扇风起火肆意放大，想逃离舆论毒箭有时是很难的。但是上市公司高管们需要证明自己尽职尽责，在公司治理、风险管理、信息安全控管和员工职业道德建设等方面有所作为，无疑需要做好表率，在方针政策层面签署高端文件以示支持，并积极赞助和支持相关的信息安全意识宣传推广活动。

我们要谈谈信息安全与法规遵循，有公司员工违纪便称是员工个人行为，这简单就是掩耳盗铃；称对员工监管不力，也是托词，以公司一份子——员工的身份犯了错，就是公司的责任。管理层要勇担职责，要代表公司向受害方致歉，并在公司内部对涉事员工进行处理。当然，信息安全管理委员会更需要让员工们知道的是：影响恶劣的，除了公司的严厉处罚之外，违反国家法律的，更是要交给司法机关处理。

公安机关办案，你敢挑战警方，很不当，等待的只有重罚。正确的方式是好好配合警方，与警方密切合作。要让员工们理解和接受自身的信息安全职责以及规章制度，甚至违反国家法律的后果，也只能通过适当的信息安全培训教育课程来实现。

在此，关于对信息安全与法规遵循方面的认识，昆明亭长朗然科技有限公司创作了多部在线信息安全意识教育课程，欢迎有兴趣的朋友联系我们进行预览和访问。如需定制化的教程，欢迎和我们联系洽谈业务合作。