俗话说“春种一粒粟，秋收万棵籽”，“一年之计在于春”，春天是忙碌耕耘的季节，对信息安全行业的从业人员们来讲也是如此。各类组织的安全管理团队纷纷开始制定新的一年的安全目标、战略和实施计划，希冀能积极面对各类不断演变的安全威胁、通过各类安全控管措施，降低组织所面临的安全风险，进而达到保障业务的安全持续运作的总体目标。

然而，想在年终大会上进行工作总结时好好展示一把信息安全部门对于组织业务成功的伟大贡献并不容易，来自各个业务部门的高阶管理层会关注到部门内外相关的严重的计算机信息安全事故、由于安全事件给业务正常运作带来的不利影响如停工时间、客户流失、商业信誉损失、机会损失等等。

虽然我们并不能完全杜绝安全事故在组织内的发生，甚至即便我们的安全团队进行了适当的安全应急响应措施，最大限度地挽回了潜在的损失，仍然不免会被高阶管理层误解，甚至受到批评和指责，问题的根源何在？即使不是高管们刻意刁难，能投入更多的钱，请最牛的高手，实施最为领先的安全系统，也还面临着安全与效率的平衡问题。

不要以为高管们不懂得安全，他们可能确实不会配置防火墙，甚至工作电脑中了毒也还要求助于IT帮助台，然而他们对于您制定安全的控管目标和战略会有很大帮助，想在信息安全方面制定出满足SMART标准的目标并不容易，特别是安全控制目标缺乏行之有效的衡量标准，所以没能进入到组织核心决策层的信息安全管理负责人员永远可能会低一头，因为业务高管可能会轻易给信息安全工作的成绩给出或好或差的判定。

再问一次，问题的根源何在？如果安全管理负责人不想让团队的后期努力付诸东流，一年下来却发现白忙活了一场，就应该现在反思一下。

对于绝大多数组织机构而言，安全不会是核心的商业竞争力，无论如何信息安全管理负责人难挤到核心层，或许您要辩解说核心层的高管才应该为安全负责，这就对了！那您有没有想，既然高管和业务部门要为安全负责，那要专门的信息安全团队和人员干嘛？

好！到这里，聪明的您应该明白问题根源所在了，就是安全不仅是信息部门的事情，安全需要高管以及各个业务部门成员的参与，实际上，保障信息安全是组织所有成员的职责，所以让所有员工都参与进来吧！

信息安全负责人及部门成员再不应该继续像无头苍蝇一样埋头于技术的安全控管系统，应该多与各业务部门沟通协调，帮助他们了解基本的安全理念，帮助他们找出组织层面和部门层面的重要信息资产，帮助他们认识到这些信息资产所面临的安全威胁，帮助他们并和他们一起讨论及制定安全风险控制措施……

有了高阶领导层和业务部门管理层的参与，员工们也更有了主人翁精神，这才是真正在做安全，这种安全是和业务紧密相关的，不管叫风险管理、业务安全、公司治理什么的，总之，信息安全团队的价值得到了更大的发挥，而不再是配置个网络安全系统，控制了员工的网络使用行为，又引起了员工的消极对抗等等这些较低的安全管理行为。

所以，在制定安全战略时，要考虑更多与业务部门管理层及全体用户的沟通和交流，要为此分配资源，要给出足够的安全预算，要制定全体员工的安全意识培训计划……

武汉大学计算机学院副教授、信息安全博士彭国军称：信息安全是三分技术，七分管理！相对于某些安全设备投入而言，加强员工的信息安全意识，使其能够及时感知安全威胁并合理规避风险，更有意义和效果！

有信息安全从业人员觉得安全沟通不容易，用户要么忙忙碌碌重视不过来安全，要么做贼心虚刻意躲避安全……实际上，通过安全意识培训来加强沟通和理解是最佳的途径，昆明亭长朗然科技有限公司在这方面积累了丰富的经验，帮助了众多客户成功地通过安全意识培训，进而建立起组织内的安全文化，增强了企业的凝聚力和竞争力，亭长朗然公司欢迎对这些有兴趣的客户来电来邮件进行咨询。

我们总结一下，制定信息安全管理的目标、战略和计划时，要考虑到信息安全是为了保障公司的业务持续，是为了保护组织的成功，所以，信息安全不单是安全部门的职责，更不能信赖单独的技术控管措施，加强同高管以及各业务部门的沟通协调，Involve他们到一条船上，也让所有员工参与进来，方可共建成功的安全体系，也方可共享信息安全建设的胜利果实。

昆明亭长朗然科技有限公司专注于信息安全意识培训素材资源的创作，我们也为各类型的客户提供安全意识咨询与技术服务，欢迎有兴趣和需要的客户及伙伴们联系我们，洽谈业务合作事宜。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

云计算时代来临，移动计算终端也越来越普及，传统的重点依靠网络安全技术控制手段来保护公司的关键信息资产的方法面临挑战。

云计算本身的安全更多要依靠大型的云计算提供商以及技术合作商，即使大型组织拥有私有云，但核心的安全技术还是依赖于平台提供商，所以拥有绝对数量的终端安全成为不少厂家特别是互联网服务商争夺的战场。

然而，互联网服务商提供的终端安全方案并不完全适用于大中型组织，抛开此前爆出的安全丑闻，让信息安全管理者忧心重重不讲，这些厂家提供的终端安全往往是其互联网业务的附属品，它们的目的是为了抢夺市场，增加客户粘性，最多保护互联网用户的个人安全，而并非保护商业组织的安全。

最终用户也不再相信会有更多的防火墙、入侵检测及防御或者安全加密来保护他们的关键系统和数据，他们甚至会认为，这些技术控制纯粹是在浪费金钱，网络接入点无处不在，只要有进入系统的权限，人们可以在任何时间，任何地方自由地获取、处理和分享各类机密的商业数据。

所以，信息安全的成功，对终端用户的依赖越来越大。信息安全管理也需要比以往任何时候更加关注终端用户的安全意识和安全行为。

传统的方法之一会使用高压手段，通过建立苛刻的信息安全惩罚制度，赋予经理们下属违规的连带责任，派以频繁的、必出战果的安全检查行动，甚至利用让违规者抓违规者的令牌传递方法。在安全意识教育方面，使用血淋淋的安全事件教训，配之违规一次，奖金泡汤，诛连经理的场景来教育员工，使员工生活在信息安全的白色恐怖之中。

然而这种通过白色恐怖来恫吓员工，企图让员工遵守信息安全规定的做法并不是很好的信息安全管理方法，人们的工作激情受到了打击，协同合作的氛围越来越淡，员工及部门之间的信任关系也受到了重创，企业文化负责人提辞呈了……

另一传统方法是使用铺天盖地的信息安全推广广告，将安全标语、安全漫画等贴进每一个角落，希望借此能不断地熏陶，能唤醒员工们的信息安全防范意识。

可是忙碌的员工哪有时间关心这些东西？在他们眼中，这些和日常工作有什么关系呢？最终他们在安全的行为方面没有明显的变化。

问题在哪里，您需要如何做？您需要像营销天才一样，向员工推销您的安全政策，您不仅需要信息安全方面的专家、沟通管理的专家，您还需要顶级的内容策划设计师、心理和行为学大师以及营销管理大师，最后，您还需要将这一拨人有效地整合起来，形成一个紧密工作的团队。