人员、流程与技术是信息安全管理控制的三大要素。近年来，社会工程攻击呈上升趋势，技术型控制措施显然不够，因此，越来越多的公司正在投资于员工安全意识培训，以让员工免受此类攻击，进而保护公司的利益。

“围绕网络安全的人为因素一再证明，安全基础设施有其局限性。”南大网络安全学院院长如是说：“尽管有技术体系和政策，但除非解决安全中的人的因素，否则保护企业的安全解决方案就不会那么有效。”

对此，昆明亭长朗然科技有限公司网络安全分析师董志军的说法印证了这一观点：人为错误在数据泄露和其他安全事件中起着突出的作用。网络罪犯通常依靠人为错误来获取公司资产。如果员工没有很好地遵循与安全相关的指示，这些员工往往会给组织网络和数据带来更多的威胁。这些年来，我已经和很多首席信息安全官员和安全界领导人进行了交谈，他们几乎都很难亲身向同事传授良好网络安全做法，这种局面令人感到沮丧。在使用了我司提供的安全意识教程如动画视频和教程模块儿之后，他们感觉网络安全事业和职业生涯都获得了新生。当然，这明显有些夸张的说法可能只是些酒后恭维的话。

传统网络安全公司天融信网络安全专家也表示：“考虑到网络犯罪的严重影响和人为错误在网络安全入侵中所起的关键作用，对网络安全采取更全面的方法至关重要。”据悉，到目前为止，天融信之外，已经明显看到头部网安企业如启明星辰、蓝盾、绿盟、安恒等公司也开始投资于研发，以发展现有信息安全培训能力和宣教模块。

启明星辰、绿盟和奇虎360公司都推出了安全意识课程及课堂培训服务，还研发了安全意识手册、漫画宣传图片甚至小动画。传统的网络安全教育机构如西普、红亚则推出了确保学员高度参与的游戏化和交互式网络安全教学内容。

目前交叉销售安全意识解决方案以及集成其他安全培训的解决方案已经露出端倪，思科、微软、IBM、Oracle等国际大头儿纷纷将安全意识服务纳入其IT安全交付业务范围，网络安全设备和技术方案开始内嵌安全意识内容，其中包括一体化威胁管理系统UTM和上网行为管理等设备。

而以往以此为核心甚至边缘业务的IT安全培训公司也纷纷加大内容和平台的研发创作，通过提供跨设备的培训计划方案，以确保高度移动的员工能够访问。其中比较热门的方案是基于微信的移动学习，网络安全知识竞赛，信安攻防对抗赛、现场窃密体验，以及模拟钓鱼等等。

在产品不断完善的过程中，市场也在扩大，昆明亭长朗然公司董志军补充道：“如今，相当一部分企业容易受到安全漏洞的影响，提升安全意识的培训解决方案已不再是大型企业的奢侈品，也成了中小企业的必需品。”

当然，中小企业和大型企业对信息安全意识的需求会有不同，不同行业也有不同的需求，同一家公司不同部门岗位的需求也有差异，教育工作者强调每个人都有自己的学习方式，要因人施教，因材施教。这种态度也应该应用于员工的网络安全培训中，这就需要个性化、定制化的安全教育的方法，这种方法的关键是认识和处理不同客户、不同岗位、不同学员的个性类型。

例如，偏好判断或感觉的人比偏好思考的人更容易受到社会工程攻击，这可能是因为思考者倾向于用逻辑来解决问题。然而，思考者也会对自己的能力过于自信，因此更容易犯下导致风险增加的错误。

考虑到安全意识训练中的个性特征，昆明亭长朗然科技有限公司利用数据分析技术，通过对测试进行建模，找出那些最容易被操纵的个性类型，进而构建更加重视社会工程攻击的应对方法，画像出最有可能冒险的个性，将他们纳入安全意识教育的重点，进而防范其危险行为带来的危害。

董志军表示：我们有海量的信息安全意识资源内容库，针对各种个性类型的学员，我们可以超越安全培训，构建适合其个性的学习内容，进而节约人力成本，并用之来建立更强大的安全团队力量。

每个人都会犯错误，有时人的错误超出了人格类型的范围。有些擅长安全最佳实践的人仍然可能会在某一天受到勒索软件攻击。对此，我们建议进行安全意识评估，并在安全教育活动中加入挑战环节，在此基础上修复人员安全漏洞，完善不同人格类型的员工的安全意识。

当然，安全意识培训必须考虑对人员行为的影响。人们容易受到良好网络安全做法的影响。我们也知道，尽管大多数公司的安全培训并不很成功。毫无疑问，这正是我们需要改进之处，因为标准化的培训课程和服务可能并不适合特定业务的客户以及特定个性的学员，因此，我们需要针对不同特点的组织，不同性格的学员，量身定制教育计划，这种对目前所用方法的改进，是我们正确的前进方向。

不管您对这个业务和行业的前景有任何的看法，请都不要犹豫地和我们聊一聊。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

前言：一场“时间”竞赛

想象一下，1997年，全球范围内的电脑网络，像一盘巨大的棋局，正上演着一场沉默的竞赛。这场竞赛的奖品，不是金钱，不是权力，而是你的数据，你的秘密。当时，人们耗费了数月，利用全球14000台电脑组成的“蜂群”，破解了一个看似坚不可摧的密码——DES。这场破解，耗费了数百万小时的计算，但最终，它揭示了一个令人不安的事实：所有数字世界的安全，都建立在一个脆弱的“时间”平衡上。如果攻击者足够快，他们就能超越防御者的速度，获取他们想要的东西。

这不仅是技术问题，更是一个关于信息安全意识和保密常识的警钟。今天，我们不会深入探讨密码学细节，而是要了解这个故事背后的真正含义，以及它对我们每个人的生活意味着什么。

故事一：ATM网络的黑暗面

1980年代，自动取款机（ATM）开始普及。便利性带来了风险。黑客们开始尝试破解ATM的网络，窃取银行账户信息。最初，他们采用的是蛮力破解，尝试所有的密码组合。然而，随着计算机技术的进步，他们开始寻找更有效的方法，比如利用DES密码算法的弱点。

当时，银行们依赖DES算法来保护ATM交易数据。然而，正如我们所知，DES算法并非完美。攻击者通过构建专门的密钥搜索机器，利用并行计算的能力，在短时间内破解了DES密钥。这导致了大规模的银行账户被盗，给社会带来了巨大的经济损失和信任危机。

这个故事告诉我们，即使是最先进的技术，也无法保证绝对的安全。安全不仅仅是技术的责任，更是每个用户应尽的义务。不安全的密码，不注意防范网络钓鱼，都可能成为黑客入侵的入口。

故事二：IBM的秘密与NSA的请求

故事的另一面，隐藏在IBM和美国国家安全局（NSA）之间的秘密。DES算法的设计者，IBM的科学家们，在NSA的请求下，隐藏了某些“陷阱门”，使得NSA能够随时访问DES密钥。这种做法背后的政治和安全考量，引发了关于透明度和信任的质疑。

这个故事反映了一个深刻的教训：安全需要透明度。当安全措施被隐藏起来，或者被少数人控制时，它就失去了信任的基础。当技术成为政治工具时，它就背离了最初的使命。

故事三：Deep Crack的诞生与EFF的行动

1998年，电子前沿基金会（EFF）建造了一台名为“Deep Crack”的DES密码破解机。这台机器的造价仅为25万美元，却能在短短三天内破解DES密钥。EFF的这一行动，向世界展示了破解DES密钥的成本，以及它对现有安全体系的挑战。

这个故事表明，安全不仅仅是技术问题，也是经济问题和道德问题。当破解密码的成本降低到一定程度时，安全体系就面临着生存的危机。EFF的行动，呼吁人们关注安全问题，并采取积极的行动来保护个人信息。

信息安全意识与保密常识：数字时代的防火墙

以上三个故事，看似独立，却指向同一个主题：信息安全意识和保密常识是数字时代不可或缺的防火墙。

1. 密码安全：不仅仅是“123456”

密码是我们进入数字世界的第一道防线。然而，很多人对密码安全缺乏足够的重视。

• 为什么重要？密码泄露可能导致账户被盗、个人信息被泄露、金融损失。
• 如何做？
  • 强密码： 至少12位，包含大小写字母、数字和符号。不要使用生日、姓名等容易被猜到的信息。
  • 唯一密码： 为每个账户使用不同的密码。避免在多个账户中使用相同的密码。
  • 密码管理器： 使用密码管理器安全地存储和管理密码。
  • 双因素认证（2FA）： 启用双因素认证，为账户增加额外的安全层。这要求除了密码之外，还需要输入验证码，例如通过手机短信或验证器应用发送的动态密码。
• 不该怎么做？ 不要使用过于简单的密码，例如“password”、“123456”。不要在公共场合使用不安全的Wi-Fi网络进行密码重置或修改。

2. 网络钓鱼：识别欺骗的艺术

网络钓鱼是一种常见的欺骗手段，攻击者伪装成可信的机构或个人，通过电子邮件、短信或其他方式诱骗用户泄露个人信息。

• 为什么重要？网络钓鱼邮件可能包含恶意链接或附件，点击后可能导致计算机感染病毒或泄露个人信息。
• 如何做？
  • 警惕异常邮件： 仔细检查发件人的地址，看是否与预期一致。注意邮件内容是否与预期一致，是否有语法错误或拼写错误。

  

  • 不要点击可疑链接： 在点击链接之前，将鼠标悬停在链接上，查看链接的实际地址。如果链接地址与预期不符，不要点击。
  • 不要泄露个人信息： 不要通过电子邮件或短信向任何人泄露个人信息，例如银行账户、密码、身份证号码。
• 不该怎么做？ 不要轻易相信来路不明的邮件或短信，特别是那些要求你提供个人信息的邮件或短信。不要在公共场合点击邮件或短信中的链接。

3. 设备安全：构建坚固的堡垒

计算机、手机、平板电脑等设备是我们访问数字世界的窗口。保护好这些设备，就等于保护了我们进入数字世界的钥匙。

• 为什么重要？设备感染病毒或被黑客入侵，可能导致个人信息泄露、金融损失。
• 如何做？
  • 安装防病毒软件： 安装可靠的防病毒软件，并定期更新病毒库。
  • 定期更新操作系统： 定期更新操作系统和应用程序，修复安全漏洞。
  • 启用防火墙： 启用防火墙，阻止未经授权的访问。
  • 锁定屏幕： 启用屏幕锁定，防止他人未经授权访问设备。
  • 备份数据： 定期备份数据，以防设备丢失或损坏。
• 不该怎么做？ 不要随意下载安装应用程序，特别是那些来源不明的应用程序。不要使用不安全的Wi-Fi网络连接设备。不要在设备上存储敏感信息。

4. 数据安全：维护你的数字资产

数据是新时代的黄金。保护好你的数据，就等于保护了你的数字资产。

• 为什么重要？数据泄露可能导致个人信息泄露、金融损失、声誉受损。
• 如何做？
  • 加密数据： 对敏感数据进行加密，防止未经授权的访问。
  • 控制访问权限： 限制对数据的访问权限，只有授权人员才能访问。
  • 安全删除数据： 安全删除不再需要的数据，防止数据被恢复。
  • 了解隐私政策： 了解网站和应用程序的隐私政策，知道你的数据将被如何使用。
• 不该怎么做？ 不要随意上传敏感数据到公共网站或应用程序。不要在不安全的网络上传输敏感数据。不要分享你的个人信息给不可靠的人或组织。

5. 信息安全意识的持续提升

信息安全是一个不断演变的领域。新的威胁层出不穷，新的攻击手段不断涌现。只有不断提升信息安全意识，才能在数字时代生存下去。

• 定期学习： 关注信息安全领域的最新动态，学习新的安全知识。
• 参与培训： 参加信息安全培训课程，提高安全技能。
• 分享知识： 与他人分享安全知识，共同提高安全意识。
• 保持警惕： 保持警惕，时刻注意周围的安全环境。

信息安全保密的最佳操作实践：多一分小心，少一分风险

信息安全不仅仅是技术问题，更是道德问题和责任问题。我们每个人都应该对自己的行为负责，并尽最大努力保护自己和他人的安全。

• 遵守法律法规： 遵守国家和地区的法律法规，不得从事非法活动。
• 尊重隐私： 尊重他人的隐私，不得侵犯他人的合法权益。
• 保守秘密： 保守商业秘密和个人隐私，不得泄露给他人。
• 举报违规行为： 举报任何违反信息安全规定的行为。

结语：共同守护数字时代的未来

信息安全意识和保密常识是数字时代生存的基本技能。 只有当我们每个人都提高了信息安全意识，并采取积极的行动来保护自己和他人的安全，我们才能共同守护数字时代的未来。让我们携手同行，构建一个安全、可靠、可信赖的数字世界。

安全无小事，预防胜于治疗。记住，你不仅仅是在保护你的个人信息，你也在保护整个社会的数字安全。让我们从现在开始，行动起来，做一个负责任的数字公民！

昆明亭长朗然科技有限公司致力于提升企业保密意识，保护核心商业机密。我们提供针对性的培训课程，帮助员工了解保密的重要性，掌握保密技巧，有效防止信息泄露。欢迎联系我们，定制您的专属保密培训方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898