在保护网络安全方面，大多数信息安全管理者倾向于只使用访问控制防火墙、恶意软件防范、敏感数据加密、安全漏洞评估与管理、客户信息访问记录等安全措施，通常会忽略一个明显的安全漏洞，就是最终用户的弱点。对此，昆明亭长朗然科技有限公司网络安全观察员董志军表示：传统的网络基础架构安全体系已经非常成熟，这是因为很多组织机构已经投资了尖端的安全软件，并且拥有了出色的IT人才。不过，网络的连通性越来越强，最终用户可以借助强大的网络终端设备，随时随地连接到信息系统、获得并处理信息，这给传统的网络安全架构体系带来新的挑战，并非强化终端计算设备的安全管理就可以解决的，近来，网络钓鱼诈骗、社会工程攻击等等都是很多企业入侵事件的原因。

用户无疑是网络安全防范体系中最薄弱的环节，不过话说回来，也可能是最大的财富。网络大神通常说：在安全性方面，用户既是最大的资产，也是最薄弱的环节。用户了解遵循的流程和策略以及被忽略的流程和策略的真实情况，他们可以成为衡量安全措施有效性的一个很好的指数标和晴雨表。

教育最终用户关于他们在组织安全最佳实践中的作用是加强安全策略的最有效方法之一。为什么网络安全培训教育至关重要呢？有几个原因。技术几乎融入了现代生活的各个方面，包括我们的工作、电话、汽车到房屋。随着智能技术的发展，网络犯罪对我们的生活产生巨大影响的方式急剧增加。不幸的是，问题的范围常常被忽视。这是因为，当我们想到网络犯罪和黑客攻击时，往往会想到是上了全国头条新闻的坏事，例如大规模的网站入侵、身份盗窃和股票操纵。实际上，网络犯罪有无数种方式可以影响人们的个人和商业生活，并且必须意识到，这些犯罪的最严重后果并不总是金钱损失。

想象在不久的将来，大多数人都拥有自动驾驶汽车。再想象一下，即使其中一家汽车公司的网络安全受到破坏，也可能造成昂贵又致命的潜在损害。在技​​术不断以指数级增长的世界中，更相关的问题是，网络安全意识培训该如何进入到组织机构和社会大众，以便引起全民的重视？全国层面的网络安全宣传周流于形式，目标受众往往是没有信息基础的中老年人，缺乏有深度的内容。

昆明亭长朗然科技有限公司开发了大量的安全意识课程，该课程涵盖从如何识别最终用户最常见的威胁到使用强密码到与BYOD相关的风险以及如何防止常见安全漏洞的所有内容。我们将课程框架的重点放在最终用户面临的持续的日常威胁以及如何应对这些威胁上，并结合了动手学习。例如，我们希望最终用户知道网络钓鱼电子邮件是什么样子，以及他们如何检查邮件的的合法性以识别出那些社会工程手段。最终用户在应该了解最佳实践背后的原理时积极参与组织的安全策略，而不是死板地遵循IT安全部门下达的命令。

安全意识教育是双向的，有效的安全教育需要定期的沟通，并且必须共享信息，使安全性对话成为日常业务的一部分可以帮助最终用户理解安全性是每个人都应该关注的问题。通过发送定期的电子邮件公告或时事通讯，并提供更正式的基于计算机或讲师指导的教育和课程，将大大增强沟通的频率和效果。此外，还可以使宣教内容具有针对性，适用于人们的家庭生活，这样，安全意识信息才更容易被理解、接受和保留。

通常来讲，每年进行一次大型的全面的基于在线课程学习的活动，加之每月定期的安全公告或知识更新，每季度混合使用互动的安全测试及教学游戏，加之安全检查及整改行动，即可以达到良好的安全意识沟通效果。员工们即拥有了全面的知识体系并保持年度更新，又能了解到近期的安全态势和吸取安全事故原因，切能在实际工作中加以践行。

总之，人员是网络安全防范体系中的第一道防线，技术往往是最后一道防线。在技术控管方面，应该采用防病毒、反垃圾邮件和数据丢失防护解决方案等等，来监视所有的通信渠道包括电子邮件、网络浏览甚至所有终端设备上的关键信息丢失。不过，永远记住，信息安全管理是基于人员教育，作业流程和技术控管的解决方案的组合，只有三者紧密结合，方可帮助组织最大程度地降低其信息安全风险。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

在历史上，特别是军事领域，截取敌对通讯包括探子所携密件、电台电报等，并进行密文破解是获得机密信息，进而获胜的关键。然而，现代加密技术非常之强，从理论上讲，除非有人发明并使用超级计算机或超速破解软件，否则想破解使用标准加密算法传输的密文，需要几年甚至万年的时间，也就是说，已经几乎不可能了。对此，昆明亭长朗然科技有限公司网络安全宣传业务指导员董志军称：同样的道理可以解释现在大多数黑客都很难成功入侵目标机构的原因，即简单的安全技术防御措施，就可以起到很强的技术防御效果，进而让攻击者需付出极不对等、极不值得的努力。

然而，技术需要正确的部署和使用，错误的防火墙配置或禁用防病毒软件，反而可能给人们带来虚假的自信，进而带来灾难性的后果。此外，还有一种更简单的社会工程学攻击手段，攻击者可以使用该骗术，进而轻松避开那些安全技术防御措施。因此，人员，特别是员工（职员、职工）对于抗击网络入侵和黑客窃密，对于组织机构的安全保密来讲，越发显得重要。

这就是为什么我们需要让员工们了解当今的安全威胁态势，认识到自己在安全保密工作中扮演的重要职责，学会如何通过保护自己进而保护整个组织。让我们举两三个例子。

一、您有没有注意到，在我们身边的同事当中，有很多人会使用第三方软件来保存工作单位的信息，当然，也许您自己也会使用私人邮箱接送工作信息、也许您会使用百度云盘或腾讯QQ文件分享，以便更方便地与同事交流，或者可以在家中访问它们。这样做的后果就是让这些重要的信息数据游离工作单位之外，不再受到组织内部安全措施的保障。

二、您有没有注意到，我们可能会违规使用工作所必须之外的软件工具，比如安装浏览器扩展甚至与同事分享工作电脑或工作账户的密码，以便可以避免一些IT方面的麻烦，而快速解决工作问题或由同事帮忙完成工作任务。这些“特殊”的需求貌似无害，细想起来，可能会埋下一些安全隐患，插件可能含有窃密的恶意代码，不当的分享可能让同事了解了不该知晓的工作秘密。

三、对于IT专业人员来讲，也是如此。在当今的远程办公日趋流程的工作文化中，虚拟专用网络在企业中的使用已经有数十年了。它为人们提供了一种安全、可靠的方式，使人们能够随时随地登录。但是出于加密破解技术不断更新的原因，微软的PPTP协议被攻破了，问题是仍然有很多组织机构仍然在使用PPTP协议的虚拟专用网络服务，如果有足够的时间，黑客将很容易突破该协议的加密通道，进而侦听甚至篡改远程工作人员的网络通信。

我们可能会认为自己很安全，或者认为员工们都会受到安全技术的保障，但事实并非如此。通过采取一些措施，我们可以来解决此问题，以便让我们的员工变得安全。

一、加强安全保密政策体系的建设，所有的组织机构都应该有明文规定的IT信息系统使用准则，准则应该包括不可使用非授权的软件、不可使用未授权的云端存储、不可分享工作账户等等，对于大型的、成熟的组织来讲，这些都是常规的安全实践，未建立相关准则的，应该立即建立并定期审核，以便保持更新。

二、建立一些方便员工们工作使用的系统，比如建立内部的应用软件安装平台、内部的文件交换空间，提升账户申请和审批效率，改用支持新型加密协议的虚拟专用网络设备等等措施。当员工们发现使用组织内部的应用，即便利，又安全，同时在安全准则的规范之下，便不会轻易冒风险选择绕过安全措施。

三、强化安全知识宣教。大多数组织机构在网络安全方面投资不足，可能会导致一些安全问题，但安全问题并不总是由经费不足或技术原因而造成，更多的的行为或文化原因。安全行为或文化的养成需要时间，需要员工们将安全知识付诸实践，并不断重复。

四、在针对信息系统的等级保护工作之外，强化对数据机密级别的划分，在哪些数据是机密的、哪些不是机密的之间应该划清界限。培训员工们，让其了解该如何对待它们，以限制潜在的负面影响。在对待社会工程学攻击窃密方面，让员工们养成确认来电来信来询者身份的习惯，也养成确认双方是否有权披露或获取该信息数据的保密习惯。

总之，如果员工们没有适当的安全知识，不了解工作单位的安全期待和相关的安全工作准则和保密程序，当他们面临时间紧迫的压力时，他们也会毫不犹豫地找到更方便的解决方法，同时也给工作单位带来网络安全弱点和泄密隐患。昆明亭长朗然科技有限公司推出了专门针对职场人员的安全保密意识课程，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898