小型企业的IT经理购买并实施昂贵的安全技术，希望能够避免网络攻击。但是他们往往忽视了一件关键的事情：员工是他们网络安全策略中最薄弱的环节。根据昆明亭长朗然科技有限公司的一项研究，成功的网络攻击中有85％是通过网络钓鱼邮件发起的，这其中又有90％是从毫无戒心的员工那里窃取的信息而进行的。CNCERT的一项统计表明：导致数据泄露的恶意软件中，有66％是通过恶意电子邮件附件安装的；28％的网络攻击涉及内部人员，而68％的安全事件是人为错误的结果。

既然网络攻击大部分源自于网络钓鱼。那什么是网络钓鱼呢？网络钓鱼是一种社会工程形式，涉及发送声称来自信誉良好的个人和/或机构的电子邮件，并诱使接收者透露诸如银行详细信息或密码之类的敏感信息，或诱使用户单击某些恶意构建的网址。网络钓鱼的技术门槛低，发动起来很容易，并且经常以脆弱的“人性”为目标。尽管在传统上，恐惧感、好奇心和乐于助人的天性是黑客利用最多的人类情感，但如今，成功的网络钓鱼尝试针对的是人类对娱乐、社交互动和奖励/认可的需求。对此，昆明亭长朗然科技有限公司网络安全研究员董志军补充说：这一点其实很容易理解，根据“马斯洛需求层次”理论，人类的情感需求很丰富，随着社会发展和人们生活水平的提高，各种情感需求如“社交需求、尊重需求和自我实现需求”都会开始大量涌现。

需知，网络钓鱼并非总是以电子邮件的形式出现，它也可能通过微信等社交媒体并搭配伪造的网站进行，看起来钓鱼网站与原始的网站域名非常相似，但是钓鱼网站会捕获人们的机密信息。此外，网络钓鱼的渠道还可包括试图收集机密信息或说服受害者转移资金的电话或短信。因此，我们需要认真应对网络钓鱼尝试，不过，单靠IT安全技术并不能阻止利用社会工程学技术操纵人们泄露机密信息的网络攻击。

那么，有什么好招儿应对网络钓鱼攻击吗？从战略上讲，利用人类情感需求的攻击，还需从人类情感入手进行防范，这是非常复杂的，我们不能让人们都变“坏”，但是却可以让人们防止他人的“坏”。从战术上讲，让人们理解这些人性、心理和情感方面的需求，理解“坏人们”可能如何利用它们，以及我们该如何防范。要实现这些，无非需要从人员要素入手，一种最有效、廉价的方法便是安全意识培训，实施安全意识培训计划可以帮助员工们提高对网络攻击的认识，提高对网络安全最佳实践的了解。那么，什么是安全意识培训和安全意识培训计划呢？

安全意识培训是对员工进行网络安全最佳实践教育的正式过程。它应教会员工如何识别欺诈性电子邮件和有害网站，并防止单击恶意链接或泄露机密数据。安全意识培训计划包括在线培训材料、基于计算机的交互式安全培训材料、员工签署培训文档确认信息安全准则、真实网络攻击的案例模拟、游戏化的练习等等要素的组合。

欧洲网络安全局一项调查表明：设计和实施定期安全培训计划以对员工进行安全最佳实践教育的组织，在过去两年内遭遇的与用户相关的数据泄露风险（如网络钓鱼）降低了48％。因此，创建引人入胜的持续安全意识培训计划将给组织机构带来许多安全方面的好处。昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划，我们有大量的高质量安全意识宣教培训内容资源，如果您需要我们帮忙策划安全意识宣传活动，或者需要安全培训课程资源，请不要客气地联系我们。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

网络安全事件带来的痛苦何时才能结束呀？当您一次一次从网络环境中赶走黑客或清除掉内部威胁时，您会发现，这是一件永远没有终点的战斗。原因其实很简单，网络攻击永远不会结束，黑客和内部威胁可能会随时重新开始。不过也正是因为如此，网络安全组织和人员才有其长期存在的客观必要。

很多数组织都认为，当黑客入侵您的网络时，就会开始有数据泄露事件。但是实际上很久以前数据泄露就已经开始了，其中包括糟糕的安全行为习惯、错误的安全配置、对安全隐患的轻视、少得可怜的安全预算、以及对旧设备的依赖或没及时安装安全补丁等等。

网络安全事件发发生不见得是一件坏事，因为它会唤醒人们对安全的重视，并且是实实在在的安全意识学习。当发生安全事故后，相关人员都对信息安全感兴趣一段时间，这有助于人们吸取教训，找出安全弱点并采取补救行动。

不过，并非所有机构能真的获救，很多组织遭遇安全事故后，虽然能够及时恢复，但是经常不知道问题是如何发生的，邀请的网络安全渗透测试专家团队也给不出使人信服的答案。对此，昆明亭长朗然科技有限公司网络安全顾问董志军表示：技术人员喜欢孤立、片面地看安全事件本身，而不进行综合、全面的考虑，这固然是受职位的限制，更多的情况是对安全事件起因的不了解。网络安全攻击事件有一个完整的生命周期，虽然并非偶然的，但是也需要多种必要条件，比如该修复的安全补丁没有及时安装、该强化的安全配置却没有进行、错误的将配置文件放置于公开地点、通过网络或社交媒体发布了本该保密的信息……

在遭受例如品牌损毁、信誉丧失，以及销售放缓、客户流失的恶果之后，现在，安全团队知道必须将时间花在安全更新和部署新技术上，可能会要求资金不足的团队在六个月内执行一项为期三年的安全计划，当然欲速则不达，这通常是不可能的任务。

有效的网络安全植根于强大的组织文化，它重视一致且专注的安全实践和行动能力，治其表不难，难在治其本。要使网络安全战略发挥作用，需要制定全面的安全计划，包括技术上的安全控制措施，更需要管理安全以及人员安全。

当来自外部的黑客、病毒等无法利用网络层面的技术漏洞入侵时，便会开始利用管理与人员的漏洞。因此，安全预算不能仅仅花在购买新设备上，更需要考虑提升管理层以及全员的信息安全与保密意识。这不是技术问题，却是很严重的问题。不是花钱请技术高超的人员就能轻易解决的，需要时间来让人们在安全方面不再自大自满、充满警惕，更需要时间让人们摈弃不良的不安全的旧习惯，逐渐适应新的安全要求和提升对安全威胁的敏感度。

我总是和网络安全负责人员说，处理掉一起安全事故，不是结束，而是另一个新的开始。我们应该考虑，如何防止另一起安全事件再发呢？借机建立和提升信息安全管理体系，将信息安全纳为优先事项，投入必要的资金和资源，不仅仅是直接用于安全和保密的资源，不仅仅是为了满足合规的要求，更需要实际行动，比如强化网络安全管理组织，设立信息安全工作改进计划，制定网络安全可量化的指标，设置人员安全绩效考核，定期进行安全管理沟通等等。

建立信息安全意识计划往往是第一步行动，即如果没有完好科学的安全认知，就无法拥有良好的信息安全。如果没有良好的安全决策，就无法保护自己的组织。安全意识计划包括管理层和员工层。

管理层可以不懂具体的技术实现，但是如果没有基本的安全管理理念，不晓得安全原理，那可能迷失方向，瞎指挥的同时又怪下属们能力不足、工作不力，同时对如何管理风险的信念也是如此。

员工们如果没有基本的计算设备安全、信息数据安全保护理念，他们会随便使用计算机设备，主动引入病毒并成为黑客的带路人，甚至还会主动向外界泄露机密信息。

使安全成为整个组织的习惯和心态，从高管到组织的每个层面。这需要时间培育，需要资源配置，需要制度配合，需要管理加强，更需要意识培训。

最后，即使您今天没有安全预算，也要将所有这些内容纳入为期三年的安全计划。包括制定好信息安全管理策略、必要的安全规章制度，有效的安全沟通计划等等。在保护组织的品牌、销售和客户忠诚度方面，信息安全扮演着越来越重要的角色，这些都源于组织上下对信息安全的重视态度和认知能力。

网络安全是一起永无止境的战争，网络犯罪分子越来越狡猾，他们转向组织的脆弱点——缺乏安全意识的高管和员工，利用他们，搞一搞社工诈骗和网络钓鱼，比苦心研究网络系统的技术弱点要容易的多。因此，要想赢，就得做好打长期战争的准备，更要认识到这并非军人对入侵者的战争，而是一场发动全员的人民战争，并非信息安全团队对黑客和病毒的技术战争，而是全体职员对各类安全威胁的全线网络安全战争。

要记得未来的网络安全战争，我们必须要建立全面的网络安全防线，昆明亭长朗然科技有限公司推出了安全前线，旨在帮助各类型的组织机构构建强大的人员安全防线。我们的方法是强化对全员的安全意识教育，包括在线学习、安全测试等等，我们提供大量的课程素材资源，包括动画视频、互动游戏、电子课件、宣传图片等等，欢迎有兴趣和需要的客户联系我们，洽谈业务合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898