成功进行安全意识培训的八大秘诀

通过众多的安全项目实施,亭长朗然公司的安全意识顾问Bob Xue接触了大量的安全意识培训负责人,并且总结出如下八条安全意识成功的秘决:

不要混淆安全意识同安全宣贯
尽管它们都有市场推广的意味,安全宣贯是比较强制性和至上而下的单向宣传,多用于国家层面出台的安全政策和标准的推广,适用于命令与控制型的军事化组织或旧时期的企业管理中。而安全意识Security Awareness则以受众为主,适合以人为本的现代化新型企业管理风格,我们知道英文Awareness除了“意识”之外还有一项强调通过内心的深刻感知来获得自我觉醒的含意,自我觉醒的过程会有很多的心理疑虑产生,这就需要安全理念的受众(通常是公司全体员工)同安全理念的精神导师(安全培训负责人员)进行有效的双向互动。除此之外,安全意识也会照顾受众的独特个性,了解他们在安全认知态度、基础水平和接受能力之间的差异,采取多种有针对性的丰富多彩的培训方式,因材施教。

关注安全效果,而非表现形式
安全培训负责人作为全体员工的安全理念精神导师,要在安全引导上获得成功,需要专注于设定安全意识绩效标准、建立正确的安全战略指导方向、合理分配资源、鼓舞员工的安全士气、激励积极向上的安全行为和促进企业安全文化的建设。显然把握了前进大方向的基础之下,则不需拘泥于具体的表现形式,比如宣传单是用横排还是竖排的好呢?使用制作精美的Flash还是互动的安全挑战小游戏呢?选择或决策的标准无疑是评比这些手段或形式对实现安全绩效目标的贡献能力。

引发内心的思考,而不是娱乐受众
促进员工安全行为的要素之中,来自外界的压力永远不如来自内心深处的动力。安全的核心理念之一是要求员工们保持低调,周立波式的哗众取宠显然可能会使员工暴露更多信息甚至会激怒攻击者和招致更多安全威胁;好大喜功的娱乐视频只会带来喜羊羊和灰太狼式的感观刺激,却让安全思想理念成为娱乐大戏中并不显眼的小配角。娱乐是手段,而不是目的,显然舍本逐末或本末倒置的做法只会致使安全意识教育达不到应有的效果。启迪受众的安全智慧,需要勇敢拒绝快餐文化。能引发受众深思的往往并不是那些又酷又绚的美工动画特效,而是有些看似朴实无华但营养丰富的安全意识维生素,即使用精心设计的互动教程来触动受众的安全神经,以便激发受众的心理思考。

提升安全服务魅力,加强安全思想影响力
安全往往并非多数公司的业务核心竞争力,即使安全理念精神导师拥有较高的安全领导职位和权力,想有效影响员工,仍然需要特别的个人魅力和政治手段,方能在员工面前有足够的安全思想影响力。安全精神导师也会在不断的修炼过程中生长,可以尝试:开发和引进足够的安全意识专业技能,提升自我和借助安全业界朋友圈的安全资质能力,通过公司中高阶经理总监甚至董事会主席的政治影响力来示范最佳的安全实践……

合理引导,将是非判断权交给受众
不要急于给受众正确的答案,实际上在寻求安全与业务便利性的平衡框架之下,往往并没有“绝对正确”的标准答案。公司内部的安全实践比如安全意外事故、安全风险评估和控管措施选择都是很好的利用机会,精心策划,适当引导,让受众自觉自发地进行安全相关的思考、辩论、建议、决策和行动,可以获得受众对安全意识服务的高度认可、尊重以及支持,更可以激发受众的安全自豪感和安全在我的主人翁思想,进而积极参与企业安全文化建设之中。

定义安全愿景,开发安全意识矩阵
每家公司都是独一无二的,通过适当的安全愿景能在理想层面将众人聚集起来,安全意识服务团队、整个公司甚至相关客户以及合作伙伴都知道未来的安全意识态势以及发展方向。在众人知道了安全意识在未来要做什么之后,接着就要按照众人的安全需求和期望开发安全意识矩阵,制定和列出安全意识培训的目标、衡量指标和方法、安全意识计划、安全意识工作的紧要排序、以及安全相关指引等等。

加强部门间沟通协作,共建安全文化
安全意识往往是安全管理的一部分,看似都是比较简单的针对最终用户的工作,实则需要处理和协调复杂的关系,因为安全流程和控制技术要发挥有效作用,和最终受影响和使用它们的人员的安全意识水平密切相关。安全意识培训负责人要多同其它安全职责部门保持定期的接触和沟通,共同探讨在安全相关控管技术和流程体系方面可以进行的最终用户沟通工作。安全技术和管理负责人员往往也都需要最终用户尽可能多的理解和支持他们的工作,而协同工作也能开拓安全意识培训负责人的视野,不仅能从侧面帮助安全意识负责人加强对最终用户安全意识需求和行为特征的理解,更能通过安全技术和流程控管来推动和强化安全意识认知向安全行为习惯的转变,进而帮助共建企业安全文化。

持之以恒,不断改进
世界上最难完成的事情之一是把自己的思想装进别人的脑袋,即便最有影响力的安全精神导师也需要时间还传播正确的安全理念认知。企业安全文化的建立信赖良好安全行为习惯的培养,十年树木,百年树人,这无疑需要一个漫长的过程。安全意识培训负责人只有坚持不懈的努力,定期评估和检验安全意识推广的成效,找出可能的改进点,制定改进计划并根据计划不断循环展开各种规模的安全意识活动。此外,与公司经营相关的安全环境不断变迁,新型安全威胁也不断出现,安全意识负责人也要紧跟时代发展,勇敢尝试新手法,不断创新安全意识课程和内容,进而使安全管理体系不断走向新高,为保障业务持续安全运行创造更大价值。

昆明亭长朗然科技有限公司是全球依先的信息安全意识培训服务提供商,很愿意与各类组织的信息安全精神导师、安全培训总监以及安全意识经理主管们沟通协作,共同探讨安全意识培训的理念和方法,欢迎与我们联系。

电话:0871-67122372

微信:18206751343

邮件:info@securemymind.com

QQ: 1767022898

防病毒理念并非深入人心

自从厉害的黑客制造出电脑病毒的那一天起,防病毒产业就没有消停过,在计算终端方面,不仅适用于各类操作系统的单机版产品不断问世,越来越多的附加安全功能使防病毒软件变身为互联网安全套件。企业用户更是钟爱有强大管理功能的网络版软件,针对各类服务器和网络应用系统的特别版本也深受喜爱,因为它们能够携手终端防病毒,共同建立更为全面的防毒体系。移动互联网和云计算时代,面向移动设备的防病毒产品更是在进行信息安全界市场重新洗牌,基于云杀毒的创新技术和应用可以节约终端的宝贵计算资源……

不过,人们早已经不在关注某款防病毒的功效如何,以及有什么神奇的领先技术,如今厂商再夸夸其谈防病毒软件整合了多少个核心杀毒引擎,有何种神奇的识别未知病毒的能力,人们只会笑而不答,心中暗想:吹牛吹破天有什么意义?防病毒就防病毒,几亿国人都在用免费的绿色产品,网络版也都开始不要钱了……

安装了防病毒之后的故事则更为悲摧,让机器越跑越慢不说,最麻烦的是查杀不了电脑中的病毒,却造成了机密资料外泄甚至招致黑客诈骗。更有许多用户报怨防病毒程序毁坏了不少辛辛苦苦制作的文档,使之无法恢复,而安装了防病毒软件之后一些主要的应用软件失灵或无法正常使用更是家常便饭。

还有一项和国情密切相关的是大量的家庭和个人用户并不愿在操作系统和主流应用软件上面花钱,他们宁可随大众去观看一些充斥着广告的免费视频、或通过傻瓜式的导航网站去凑凑热闹,也不愿有独立的思维和行动去探索互联网,更不会使用简单的操作来收藏钟爱的站点,可以说这是一群又懒惰又蠢笨的网民。黑客不断挖掘着软件系统的安全漏洞,安装安全补丁超越防病毒软件成为保障终端安全的必备工作,利欲熏心的软件厂商才不愿保护盗版软件使用者,他们在软件更新过程中设置正版校验,让这些网民的最基本的安全需求无法得到满足,企图来逼迫他们购买正版。在正常的商业环境之下,消费者可以选择花钱买正版,或转而使用具有竞争性的替代产品,然而这是一片未开化的世外桃园,几个没有正面思维的程序员想借助拯救世人的契机发大财,他们开发出了一种升级功能,可以帮助盗版用户越过微软更新时的正版校验而实现补丁的顺利安装,最终让纯朴的网民上了他们的当,并且帮助软件程序员们组建了巨大的僵尸网络,并且由屌丝华丽变身为高富帅。

软件程序员们想让这些纯朴的网民们永远沉迷其中而便永久免费利用他们的计算资源为自己生财,所以不会告诉他们真相,便让这些网民一直不舍得丢弃用了近十年的XP系统,进一步造成IT消费萎缩,严重影响了信息产业的健康发展,国际大型IT厂商纷纷裁员便是例证。

不过,尽管水火两重天,劣币驱赶良币,那一批软件程序员们不断扩大着自己的队伍,他们要建立一个强大的产业链条,以便能巩固和强化自己的利益,抢占互联网入口是保障广告收入来源的第一战略,于是接二连三的出现了各种网络浏览器,有不少软件程序员们也看到了移动互联网的来临,甚至打起了做手机的主意,他们并不是想真心做手机,而是想通过软件控制手机终端。

再回到防病毒,实际上安全行业内的人都知道,多数防病毒软件就是个界面,核心技术如引擎和病毒代码都由世界上少数几家所维护和控制。未掌握核心技术的厂家有两条关键战略:一是加强市场宣传,二是加强技术服务,实施这两条战略的结果就是吸引和绑住用户。

太多悲摧的防病毒故事使稍有些安全意识的人们开始觉醒,他们果断放弃了各类防病毒软件,而让电脑“裸奔”,“裸奔”总比被人挟持要好吧!不过“裸奔”的代价是隐私没有保护,人们已经不在乎什么隐私了,他们情愿把电脑当成游戏机,心想电脑上的东西都来自互联网,也应该归属于互联网,如果黑客足够厉害,都可以来玩儿,只要我不用电脑来跑钱,谁能偷走我的帐户?

安全专家可能对此不赞同,在他们眼中,无论如何防病毒是最基本的安全保障,除非你是技术极客。这些安全专家没有经历过被“挟持”的灾难,也没有太多悲摧的故事,所以理解不了这些行为也罢了。安全专家的想法也有些道理:上网的过程实际上是各类文件流向终端电脑的过程,这些文件中可能有些是不安全的,需要被过滤,不管是邮件附件还是网页插件。

的确,防病毒虽然有其不足之外,会产生漏网之鱼,也可能会错杀误杀,更可能有假冒的防病毒软件——真正的电脑“挟持”者,但是无论如何防病毒软件能够提供最基本的安全保障,它的不足是否能成为禁用或卸载防病毒软件的借口呢?相信不少组织内的信息安全管理人员会遇到这类事情。员工们对防病毒的理解和认识可能大相径庭,安全管理人员需要做的是无非是提高认识,统一思想,而要实现这点,唯有通过有效的安全意识培训。

相信通过适当的安全意识培训之后,安全管理人员在应对员工企图卸载防病毒软件等不安全行为时,也更能更加胸有成竹;而防病毒理念并非深入人心,那些屡教不改的员工,无非是信息安全思想认识没有达到组织统一要求,自然需要更多的关于信息安全基础知识理论的学习和安全意识思想上的帮助。

“看你这安全认识水平,要不要参加一下安全意识培训班啊?”员工们在实际工作中碰到安全问题时经常说着。而负责安全管理的总监经理们见了面总是寒喧:“你那边病毒还泛滥么?员工安全培训最近搞得怎么样啦?”“最近玩什么哪?有什么安全管理方面的创新吗?”“海报那玩艺儿我们几年前就用腻味了,现在已经用了电子学习课件了呢。”