大人警示小孩要注意什么，小孩儿都会理解并照做吗？答案并非如此，实际上，在公司信息安全管理领域，也是这样。

公司信息安全管理团队通常会强化对员工们进行必要的信息安全意识教育，但是很多安全管理者发现效果可能并不如意。即便是那些在信息安全意识推广活动中投入了漂亮的安全信息提示贴、精美的员工安全手册或有趣的FLASH故事动画，问题何在呢？昆明亭长朗然科技有限公司安全意识顾问董志军最近和一位信息安全总临聊起这个话题，如下是他的一些简单自述。

这家公司每年都有数万的信息安全意识培训预算，安全意识活动也搞得有声有色，但是员工们的安全行为却仍然不见大的改观。在接到咨询电话后，我和这位信息安全总监约好一早九点见面。

我向其询问了一些简单的信息安全管理方面的实践，了解到虽然公司的新入职员工需要参加全面的信息安全意识教育课程学习，全体员工也会被要求每年度定期刷新信息安全知识，但是对未遵守信息安全相关要求的行为，却没有任何的惩罚。我又问起了学员的信息安全课程参训率和在线考试的通过情况，几乎是100％的好。

我同他开玩笑说：“您觉得这是信息安全政策沟通不到位，还是执行力不到位呢？”对方苦笑回答：“开放包容充满人性化是我们公司的文化，我们很少会对员工进行惩罚，即使有安全事故，也会更多的反思公司方面的问题。”

这真是家伟大的科技公司，和日本台湾的苛刻管理模式大不相同，公司的业绩却是响当当，员工工作起来却很随意，上午10点半了，还可以看到衣衫不整的员工姗姗来迟。科技界竞争激烈，我有些怀疑这么懒散的员工们是否拥有必须具备的信息安全保密基础理念，以防范商业间谍和竞争者们来窃密。

我把我的怀疑讲了出来，信息安全总监微笑着说：你那边不是提供信息安全意识方面的渗透测试服务嘛！你来扮演个社工黑客，玩一玩诈骗电话和钓鱼邮件吧！我说：这正是我来拜访的目的啊！

于是我们就开始了一项信息安全意识模拟入侵项目，在简单而正式地签定保密协议以及授权书之后，我获得了包括姓名、工号、部门、电话号码和邮箱的员工通讯录、标准软件清单、信息系统名称以及登录界面截图。在简单熟悉了公司的IT环境之后，我便开始了入侵准备工作，我的设备包括一个内部分机号码，一部手机卡，一台位于互联网上的电脑和一台连接到公司内部的个人电脑，我的目标随机抽取五名员工，通过黑客手段，来获得他们的系统帐户和密码。

要说我已经连接到了公司内部网络，要发起一些基于网络层面的入侵嗅探简直太轻易。但是这种方法被信息安全总监禁止了，我也不想让人们以为我只是个技术极客，我需要向人们展示更大的可能性。五名员工已经随机选好，我打算假冒成IT/FI/HR等服务部门通过内线来套取他们的帐户和密码；假冒成客户、社保局、公安局和电信运营商工作人员通过外部手机来套取公司信息，我还伪造了一封钓鱼邮件，并且仿制了两个钓鱼网站。

现在让我说一说我的成绩吧！通过内线，我成功地拿下了两名员工；而通过外线，我只获得了一点皮毛信息；不过配合使用钓鱼邮件以及网站，我获得了所有人的帐户和密码！

当我把成绩展示给信息安全总监的时候，他瞪大了眼睛，忽然赞叹地说：我们太需要你的帮忙了！我们需要更多的员工来亲身体验！接着他把那五名员工叫了过去，向他们说明了这次钓鱼活动，展示了获取的帐户和密码，提醒他们注意信息安全，并要求他们回去立即改掉密码。

我插了一句说：应该鼓励这些同事将亲身的安全经历分享出来。信息安全总监说：这主意太好！亲身体验并且分享经验是最好的教材！

大人告诉小孩该怎么做，小孩儿没有照做，却在亲身经历了错误之后，改过了。通过信息安全意识模拟攻击测试，我们可以让这种错误的代价降至最低。欢迎访问我们的安全意识渗透测试服务介绍页面了解更多内容。

信息安全管理中最弱的环节是用户们的安全意识，而要提高用户们的安全防范意识可并不容易。毕竟“天下最难的事情是将别人口袋里的钱拿到自己口袋，以及将自己脑袋里的思想装进别人的脑袋里。”

难也要上， 我们要提升用户以及客户的安全意识，需要正确的方法。昆明亭长朗然科技有限公司的安全意识培训师Alice Wong称：环顾全球，欧美国家喜欢讨好用户，日韩港台倡导娱乐用户，而大陆内地最爱恐吓用户。唉，谁叫这一代人都是厦（吓）大的呢？

说笑完毕，言归正传，现在的世界交流强过于以往历史上的任何一个年代，信息安全意识教育管理方法也会随着经贸交流、文化交流、跨国公司人员流动和互联网资讯流动而不断演变。我们只需遵守全球范围内被广泛接受的安全意识方法，加之对自己企业环境和内部文化的理解，灵活应用即可。

接下来，让我们分享一些一家来自中国的全球性跨国公司在安全意识教育方面的做法，希望对信息安全管理和培训负责人有所帮助。

跨国公司有数万名员工，数个事业部，分布于不同国家不同站点，中国人员大本营分布于三个城市、欧洲及中东大本营分布于两个城市的三个站点、美洲大本营分布于两个站点、除中国外的亚太地区大本营也分布于两个国家的四个站点，此外还有数百个国家的小型分支机构。

向所有能够接触到信息资产的员工们推销信息安全方针政策，在全球分布架构下，大的站点都有兼职的信息安全讲师，专门通过现场课堂培训对新进员工进行安全意识教育，小站点往往缺乏对员工进行必要的培训，要么就近派到附近大站。

来自中国的这家公司的业务在不断扩张，我们不得不考虑全球一体化中的员工安全意识教育问题，好在英文是通用的沟通语言，我们决定使用创新的在线电子学习方案，这种方案大小站点都可使用，除了为中国大本营特别开发中文之外，其它海外站点全部使用英文。大型站点由原来的讲师担任协调员，小型站点由本站的管理秘书提供协调员，负责在本站员工的沟通协调和学习推进工作。

强制推广培训的遵循，在获得总裁的大力支持下，通过人力资源副总裁，利用全球员工目录，将学习考核情况尽数掌控。除了测试团队之外，顺利是先在高阶管理层推进在线学习，再到中层，直到基层经理主管们。在管理层全部通过之后，协调人员在面对基层员工进行推广时，可以轻松获得员工管理层的理解和支持，工作推进便容易多了。

在学习过程中，通过在线学习系统，安全管理团队、培训讲师、站点协调人员以及经理层很容易知晓部门人员的参训进度和考核通过情况。学员可以随时随地通过在线课程进行安全意识学习，在学习完成之后通过在线测试来检验学习情况。

一次大范围的针对全体员工的信息安全意识推广活动就在一个月内取得92%的通过率，第二个月底达到到最初设定的99%的目标。所有员工都在线签署了公司安全协议，同时也获得了大量的反馈，以用于衡量安全教育计划的有效性和支持后续不断的改进。

在信息安全意识和思想教育方面，我们并不停留于此，我们建立了内部安全沟通网站，增加了Web2.0互动功能，安全响应团队的及时解答让员工们能够获得及时的安全指导。

我们也定期提供新鲜教育素材配之安全通告，并通过邮件方式推动到全体员工，以不断刷新员工们的安全理念。同时，为了让建立一股能够反应业务需求和全球态势的安全正气，我们在网上举办了一些安全文化交流活动，鼓励领导层和员工们结合具体工作实际来谈信息安全。

我们不但不恐吓用户，对犯错用户采取教育为主的措施，让他们抽出时间再次参加学习和通过考试，同时也要求他们做出一些反省——书写心得报告并参与下一次的安全检查工作。此外，我们还设立了全球信息安全奖励基金，用于表彰信息安全领域的杰出贡献者和公司信息安全文化的积极倡导者和实践者。虽然我们的预算有限，但是这活动显然激励了员工们对信息安全工作的热情。

鉴于时间和水平的限制，分享暂时就到这里。昆明亭长朗然科技有限公司也制作了一部给信息安全培训者的在线教程，不用注册可以免费聆听。