网络安全事件调查员及IT安全审核员们的研究一次又一次地表明：网络系统中最薄弱的链条几乎始终是人为错误，有人无知、有人大意、也有人明知故犯。对此，昆明亭长朗然科技有限公司网络安全顾问董志军表示：保护企业数据资产的“最重要”因素是什么呢？可以肯定的是，行业杂志和“技术渠道”经常在宣传最新的IT安全解决方案。但是，尽管这些解决方案可以大大有助于加强系统网络，但许多解决方案仍需要专门的IT人员，甚至可能是顶级IT大咖来进行配置和维护。这就造成很多针对大型机构的IT安全解决方案只在项目招投标中得到了展示，真正的使用情况非常不乐观，安全控管系统被闲置或弃用的比例非常之高。

中小型企业的情况更加严重，他们面临着与大型跨国集团公司同样的网络安全威胁，却又缺乏资源来雇用强大IT队伍，实际的情况是，中小型企业几乎付不起IT安全专员的薪资。对于这些客户而言，防御网络攻击要求最佳地利用资源，并且很少有技术或其他方式的解决方案比受过良好安全训练的员工更具成本效益。在高速信息驱动的环境中尤其如此，在现代化的企业工作环境中，电子邮件和上网流量占了IT基础架构的大部分需求。

于是，大多数黑客都在努力利用电子邮件和不良网站渠道，来诱使用户单击恶意链接或开启恶意文件，进而暗中安装病毒、蠕虫、特洛伊木马、键盘记录程序、勒索软件和其他恶意软件。试想：当通过一封简单的电子邮件就可以轻松完成入侵，得到自己想要的东西时，何必要花费数小时、数天甚至数周的时间来尝试破坏公司的外围安全防御系统呢？

因此，各类型组织机构必须进行针对全员的信息安全意识培训，并定期向全体职员更新和推送有关新出现的威胁和手法，以帮助员工们做好准备，使其成为抵御信息威胁的第一道安全防线。那么，我们应该从哪些方面着手，开始信息安全意识培训计划呢？如下，我们向您分享几条重要的议题，它们是安全意识培训教育业界总结出来的常规实践。

一、人身安全与环境控制

安全意识不仅涉及公司计算机或移动计算机设备中的内容。员工应意识到源于工作场所物理方面的潜在安全问题。这包括工作空间意识以及物理场所安全。

工作空间问题的示例包括：

• 访客或新员工偷看员工输入密码（亦称为“肩窥”）
• 允许声称自己是设备设施检查人员、清洁工或其他不寻常人员的访客进入（亦称为“假冒身份”）
• 将密码留在桌子上的纸片上
• 离开工作电脑时，并且不使有密码保护登录

物理场所安全可以涵盖建筑物的物理出入方面，包括启用钥匙卡的门锁、消防灭火器和适当加固玻璃的锁定和安全监控系统等等。

但是，即使这些看似不可阻挡的防御措施，要让其生效，也必须添加安全意识组件。例如，要让员工在进入园区或大楼时，看到陌生人在门前闲逛必须警惕。当员工使用他们的钥匙卡并打开门，他们的身后有人在门关上之前随之进入，就会发生一种被称为“尾随”的技术。还有一种相关和类似的违规行为，入侵者在员工的帮助下进入，例如声称自己丢失了钥匙卡，或装作携带重物的挪不出手的访客，请求员工或保安为他们“开门”。

物理安全性的维护和保养不仅对维护人员很重要，而且对普通员工也很重要。例如，如果您注意到即使没有适当的授权，启用了钥匙卡的门也可能会被卡住而处于打开的状态，或者安全摄像机似乎已损坏或关闭，请务必将此信息报告给适当的部门和人员。

二、可移动媒体介质安全

对于员工来说，在停车场中、大楼外捡到可移动的U盘驱动器或外置硬盘驱动器，将其带入内部并插入计算机以查看其属于谁的或里面有什么文件，这种情况比人们想象要普遍得多，不幸的是往往该设备中已被植入了恶意软件，用以销毁或接管他们的计算机，或加密文件以进行勒索。私有设备和公司设备的安全使用至关重要，未经授权的可移动媒体可能会引起数据安全问题、恶意软件感染、硬件故障和版权侵害。

所有工作人员必须接受足够的安全意识教育，有知晓有关不请自来的可移动媒体介质可能带来的威胁，并且禁止访问任何杂散介质（例如外部硬盘驱动器），即使这些介质位于安全系统上也是如此。

三、自带计算设备政策

自带计算设备涵盖了员工可能在工作环境中使用的个人计算机资产。它们可能包括可用于窃取敏感数据的移动设备、音频播放器、数码相机和各种其他便携式电子设备。

自带计算设备也是“IT消费化”的一部分，通过这种方式，个人消费者级别的硬件和软件被带入组织机构的内部。确保自带计算设备的安全性是一项艰巨的任务。但是，企业机构可以通过实施主动的安全培训计划来实现这一目标。该安全培训计划应为员工们提供以下最佳实践：

从安全角度来看，每个移动设备都不是100％安全的。尽管移动设备的安全性是如苹果和谷歌等厂商非常关注的问题，但是仍有大量工作是需要做的。不加安全锁定的设备比锁定的设备更容易受到攻击。组织机构应建立可接受和禁止使用的设备列表。安全人员必须核实每个自带计算设备都在可接受的列表内，不在列表内的所有其他的设备应该被禁止使用。

除了设备本身之外，还应指定设备上允许的应用程序。许多免费的移动应用程序都是不安全的。自从应用商店成立以来，恶意软件活动一直以用户为目标。因此，组织机构应为员工们提供有关受感染和未感染应用程序的安全培训，并鼓励他们仅使用允许列表中的那些应用程序。

所有员工都应意识到自己的自带计算设备受到不断安全监控的事实，并且任何恶意活动都可能警告安全管理。此外，自带计算设备策略应包括密码保护，以在盗窃或损坏时保护关键数据。当然，也应使用最新的防病毒程序保护每台自带计算设备，并且保护这些设备系统和应用程序的更新。

四、电子邮件和及时消息诈骗

电子邮件和及时消息诈骗涉及欺诈性和不请自来的电子邮件或即时通讯消息，它们会诱使用户获得免费优惠、虚假的商业机会、有担保的贷款或信贷、健康和饮食计划等等。据公安部门权威说法，诈骗者经常借助热点事件，利用网络钓鱼邮件欺骗了许多职场人员。

各类型组织机构的安全培训计划必须包含一些提示，以帮助员工们了解电子邮件和及时消息骗局，并教育他们如何避免这些骗局。以下是常规情况下员工们应了解的：

• 不要信任不请自来的电子邮件或QQ、微信、短信等消息
• 不要轻信通过电子邮件请求修改支付账号或付款的请求，尤其是在与领导确认之前
• 启用垃圾邮件、不良短信等过滤
• 正确配置您的电子邮件客户端
• 安装防病毒和防火墙程序并保持最新
• 不要单击电子邮件、短信或社交媒体消息中的陌生链接
• 当心邮件附件和网传文件。如果您是从一个看起来像朋友的朋友那里得到的，请使用其他不同的渠道，与他们联系以确保他们确实发送了

五、电信诈骗

电信诈骗被定义为故意欺骗用户的虚假或欺诈行为。攻击者通常通过虚假来电显示号码，并编织各种各样的骗局来伤害员工。这些骗局包括：网络贷款、代办信用卡、网络交友赌博和投资、兼职刷单、购物退款等等。公安机关反诈骗经常提醒人们冷静核实，谨防受骗。

一个有用的培训计划应教会员工们有关电信诈骗的知识。员工们不应轻易信任骗局，而应学习如何应对。在工作中，仅应信任经过安全部门验证并与公司业务相关的电子邮件、电话及消息。如果有任何可疑的电子邮件、电话或消息，请立即通知IT安全部门。

总结与补充

当然，强大的IT安全课程只是任何综合信息安全计划中的一个组成部分。所有组织都必须部署一系列外围防御措施，包括防火墙、防病毒软件、计算机系统上的最新等等。

总之，员工在保障业务成功中扮演着至关重要的信息安全作用。未经培训和疏忽大意的员工可能使企业面临多重数据泄露的危险。因此，组织必须采用可行的信息安全意识培训计划，其中应包含阻止网络安全事件发生所需的基本准则。上述的几项常规安全意识培训议题都是昆明亭长朗然科技有限公司的大量客户在信息安全管理实践中探索出来的，希望这些宝贵经验能够帮上您和您所在的工作单位。

昆明亭长朗然科技有限公司专注于帮助各类型组织机构提升员工们的信息安全意识，我们帮助客户策划和制定安全意识培训计划，并提供各种安全意识课程内容资源，以及安全宣教教育活动的支持。欢迎有兴趣和有需要的客户，以及合作伙伴联系我们，洽谈业务合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

搞信息安全，需要找到恰当的平衡点，不能做安全做到太过，影响业务和信息运作的效率；也不能太弱，没有底线让业务信息时刻处于威胁之下。

实话说，不少信息安全事件也并非孤立的安全违规，违规背后多数都有其深层次的原因，如果违规者了解信息安全相关的规章制度以及可能造成的后果而孤注一掷贸然行事，我们则需深挖之，否则类似的信息安全事件仍会不断发生。

昆明亭长朗然科技有限公司James Dong说：防止内部“泄密”，无疑需要强化保密意识和信息安全观念教育，仅靠文档加密防泄漏系统是封不住人们的嘴巴的。黑客、商业竞争者和不良媒体人员多的是渠道。

拜托，黑客和不满雇员与竞争对手联合坑害公司的案子很常见，信息安全的一项重大威胁来自商业竞争对手，他们不仅窃取客户信息和产品研发资料，更会利用财务信息来制造新闻。所以，信息安全远不是信息科技部门的事儿，不经意随便露出的一角都可能被竞争对手恶意利用，强化全体员工的信息安全意识教育，是信息安全负责人及高管们的重要职责。信息安全意识培训计划的关键，是要通过一些信息安全案例来引起员工们的思考，而不仅仅是告诉他们赤裸的答案——应该怎么做。

公开的市场交易不顺畅，人们只能走私下的交易渠道，这反倒促进了社会迈向更深的“潜规则”，地下交易也衍生出虚假报道以及腐败等行为，进而让有效的监管变得更不容易，与之关联社会隐性问题会变得更多。做信息安全管理也能吸取经验教训，要让员工们的正常信息访问和使用需求得已轻松满足，不要过分使用安全技术控管手段来压制工作相关的网络和信息系统应用，要公开那些公司认为不安全的信息系统使用方式，并获得最终用户的理解和支持，建立适当的信息安全需求及问题沟通反馈渠道，站在用户的角度和安全政策的立场想安全与效率，不局限于某个具体的安全管理平台或技术规范，定会灵活快速地处理信息安全相关的问题，同时又满足了用户的业务要求。亭长朗然公司警告称：一味盲目的使用计算机安全技术控管手段压制，可能引起用户的怠工，让业务效率受损；也可能引发最终用户恶意躲避或越过安全控制措施，甚至变身“特洛伊木马”，从内部发起破坏行为。

这是全民自媒体的新媒体时代，人们宁愿通过社交媒体和志同道合的人们触碰。媒体大佬们，该清醒一下了，想想问题的根源何在，以及如何有效疏导。信息安全管理委员会，也需要从中获得灵感，需要让所有员工了解到，即使出于正常的业务创新或市场拓展之目的，也要在公司的信息安全管理制度框架下进行，可能会让增长速度变缓，但是却能带来长期稳健的发展。公司大起来，规章制度多少可能会压制一些个人英雄主义，血气方刚的年轻人想有一番作为，去创造不同，但不能恣意破坏和践踏现有的信息安全秩序，否则伤到的不仅是自己，更是公司众多同事、股东和客户。而要让这引进初出茅庐的职场新员工了解信息安全的关键要义，只能通过员工信息安全意识培训计划来推进，要让员工明白在社交媒体上，和工作相关的内容，哪些可以讲，哪些不可以讲。

要说哪些公司一点儿没有问题，也是掩人耳目，在这个人情社会中，有哪家公司没有点违规操作和内幕交易呢？话虽然这么讲，但是源头上的不干净并不能是借口。成千上万员工代表着公司，从概率上讲，少数员工中肯定有不良的甚至违法的行为，会给公司的形象信誉造成负面恶劣影响，加上不当竞争者恶意中伤，媒体扇风起火肆意放大，想逃离舆论毒箭有时是很难的。但是上市公司高管们需要证明自己尽职尽责，在公司治理、风险管理、信息安全控管和员工职业道德建设等方面有所作为，无疑需要做好表率，在方针政策层面签署高端文件以示支持，并积极赞助和支持相关的信息安全意识宣传推广活动。

我们要谈谈信息安全与法规遵循，有公司员工违纪便称是员工个人行为，这简单就是掩耳盗铃；称对员工监管不力，也是托词，以公司一份子——员工的身份犯了错，就是公司的责任。管理层要勇担职责，要代表公司向受害方致歉，并在公司内部对涉事员工进行处理。当然，信息安全管理委员会更需要让员工们知道的是：影响恶劣的，除了公司的严厉处罚之外，违反国家法律的，更是要交给司法机关处理。

公安机关办案，你敢挑战警方，很不当，等待的只有重罚。正确的方式是好好配合警方，与警方密切合作。要让员工们理解和接受自身的信息安全职责以及规章制度，甚至违反国家法律的后果，也只能通过适当的信息安全培训教育课程来实现。

在此，关于对信息安全与法规遵循方面的认识，昆明亭长朗然科技有限公司创作了多部在线信息安全意识教育课程，欢迎有兴趣的朋友联系我们进行预览和访问。如需定制化的教程，欢迎和我们联系洽谈业务合作。