各位同仁，各位朋友，大家好！

我是董志军，目前在昆明亭长朗然科技有限公司工作。过去多年，我深耕信息安全领域，从卫星互联网行业的网络安全技术人员，一路成长为信息安全领域的管理层，曾担任信息安全主管、经理、总监乃至首席信息安全官。这段经历让我深刻体会到，信息安全不仅仅是技术问题，更是关乎行业发展、企业生存的战略核心。

我亲身参与并处理过无数信息安全事件，从中间人攻击到海外间谍，从生物识别欺骗到无人机攻击，从机密信息外泄到语音钓鱼，再到黑客入侵……这些事件如同警钟，敲醒着我们：信息安全，绝非可有可无的“加分项”，而是行业发展的基石，是企业长远未来的保障。

今天，我想和大家分享一些我多年来积累的经验和感悟，尤其着重强调信息安全中“人”的关键作用，以及如何从管理、技术和文化等多维度构建坚固的安全防线。

一、 警钟长鸣：信息安全事件的深刻教训

为了更好地说明问题，我结合过往的经验，分享两个具有代表性的信息安全事件，并着重分析人员意识薄弱在事件发生中的重要作用。

事件一：某大型电信运营商的机密信息外泄

当时，我们负责维护该运营商的核心业务系统。一个看似不起眼的内部邮件，却引发了一场巨大的危机。一名员工，因为对信息安全缺乏足够的认识，在邮件中随意泄露了包含客户个人信息、业务流程图、系统架构等大量机密数据。这些信息随后被恶意利用，导致客户隐私泄露，业务运营受到严重影响，企业声誉也遭受了沉重打击。

事后调查显示，该员工并非有意为之，只是对信息安全的重要性认识不足，缺乏安全意识，没有意识到邮件内容可能带来的风险。更糟糕的是，该员工在工作中，经常忽略安全策略，例如使用弱密码、随意下载不明附件等，这些行为都为信息泄露创造了条件。

事件二：某金融机构的语音钓鱼攻击

最近几年，语音钓鱼攻击层出不穷，给金融行业带来了巨大的威胁。我们接到一个紧急通报，该机构的客户被冒充银行客服的电话诈骗，损失金额巨大。攻击者通过精心设计的语音内容，诱骗客户提供银行卡号、密码、验证码等敏感信息。

更令人担忧的是，该机构的员工，包括客户服务人员、系统管理员等，对语音钓鱼攻击的识别能力普遍较弱。他们没有意识到，攻击者可能利用技术手段模仿客服语音，或者利用社会工程学技巧，诱导客户放松警惕。更可怕的是，部分员工甚至主动提供客户信息，为攻击者提供了可乘之机。

这两个事件都深刻地说明了一个道理：技术防护固然重要，但如果人员安全意识薄弱，即使再强大的技术防御体系也可能被攻破。信息安全，最终还是要回归到“人”这个根本。

二、 全面构建安全体系：管理、技术与文化并重

要筑牢信息安全防线，需要从管理、技术和文化三个维度，构建一个全面、立体的安全体系。

1. 管理层面：战略引领与组织保障

• 制定清晰的信息安全战略： 信息安全战略应该与企业整体战略紧密结合，明确信息安全的目标、原则、责任和预算。
• 建立完善的信息安全组织架构： 设立专门的信息安全部门，明确部门职责和权限，确保信息安全工作有组织、有规划、有执行。



• 强化信息安全责任制： 将信息安全责任落实到每个员工，明确每个岗位的信息安全职责，并建立相应的考核机制。
• 加强风险管理： 定期进行风险评估，识别信息安全风险，并制定相应的应对措施。

2. 技术层面：多层次防御与持续监测

• 构建多层次网络安全防御体系： 包括防火墙、入侵检测系统、入侵防御系统、反病毒软件、数据加密、访问控制等。
• 加强身份认证和访问控制： 采用多因素身份认证，严格控制用户访问权限，防止非法访问。
• 实施数据安全保护： 对重要数据进行加密存储和传输，防止数据泄露。
• 加强漏洞管理： 定期进行漏洞扫描和修复，防止黑客利用漏洞进行攻击。
• 建立安全事件响应机制： 制定完善的安全事件响应流程，确保在发生安全事件时能够快速、有效地进行处置。
• 部署技术控制措施：
  • 零信任网络访问 (Zero Trust Network Access, ZTNA): 基于“永不信任，持续验证”的原则，对所有用户和设备进行身份验证和授权，即使在内部网络中也需要进行持续的安全评估。
  • 威胁情报平台 (Threat Intelligence Platform, TIP): 整合来自不同来源的威胁情报，分析和预测潜在的安全风险，并及时采取应对措施。

3. 文化层面：持续教育与安全意识培养

• 开展定期的安全意识培训： 通过各种形式的培训，提高员工的安全意识，使其能够识别和防范各种安全威胁。
• 营造积极的安全文化： 鼓励员工积极参与信息安全工作，并对安全行为进行奖励。
• 定期进行安全演练： 通过模拟攻击和演练，提高员工的安全应对能力。
• 建立安全知识库： 收集和整理各种安全知识，方便员工学习和参考。
• 创新安全意识宣传：
  • 安全故事接力： 鼓励员工分享自己遇到的安全事件和经验教训，形成安全故事接力，寓教于乐。
  • 安全知识竞赛： 定期举办安全知识竞赛，激发员工的学习兴趣和参与热情。
  • 安全主题漫画/短视频： 利用漫画和短视频等形式，生动形象地讲解安全知识，提高员工的理解度和记忆度。
  • 安全“小游戏”： 设计一些互动性强的安全“小游戏”，让员工在轻松愉快的氛围中学习安全知识。

三、 持续改进：安全工作永无止境

信息安全是一个持续改进的过程。我们需要不断学习新的技术和方法，不断完善安全体系，不断提高安全意识，才能应对日益复杂的安全挑战。

四、 结语：共筑安全未来

信息安全，是每个人的责任，也是每个企业的担当。让我们携手努力，从“人”做起，共同筑牢信息安全防线，共筑行业坚实根基，为行业的健康发展贡献力量！

昆明亭长朗然科技有限公司致力于帮助您构建全员参与的安全文化。我们提供覆盖全员的安全意识培训，使每个员工都成为安全防护的一份子，共同守护企业的信息安全。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

各位同仁，各位朋友，大家好！

我叫董志军，目前在昆明亭长朗然科技有限公司工作。过去多年，我深耕信息安全领域，从信息安全主管一路成长为首席信息安全官。这段经历让我见证了信息安全行业的发展，也亲历了无数次信息安全事件的冲击。这些事件，如同警钟，时刻提醒着我们：信息安全，绝非技术问题，而是关乎行业发展、企业生存的根本命题。

今天，我想和大家分享一些我多年来积累的经验和思考，希望能引发大家对信息安全重要性的深刻认识，并共同为构建一个更加安全、健康的行业贡献力量。

一、信息安全事件的教训：人员意识的“黑洞”

在我的职业生涯中，我参与过无数信息安全事件，它们如同一个个鲜活的案例，深刻地印证着一个事实：技术防护固然重要，但人员意识的薄弱，往往是事件发生的“黑洞”。

我挑选了以下三起具有代表性的事件，希望能让大家更深刻地理解这一点：

• 中间人攻击： 某大型金融机构遭遇中间人攻击，攻击者拦截了用户与银行服务器之间的通信，窃取了用户的用户名、密码和银行卡信息。事件调查发现，受害者在公共Wi-Fi环境下登录银行账户，未开启VPN，并且对钓鱼邮件缺乏警惕，轻易点击了恶意链接。攻击者利用这些信息，成功窃取了用户的敏感信息。这充分说明，即使拥有强大的加密技术，如果用户缺乏安全意识，依然可能成为攻击者的“软肋”。

• 换声诈骗： 某知名企业高管被冒充为银行客服人员进行诈骗，损失金额巨大。攻击者通过技术手段模仿高管的声音，并利用高管的身份，成功骗取了企业员工的银行卡信息和密码。事件调查显示，企业员工对诈骗手段缺乏警惕，未能核实对方身份，直接按照指示操作。这再次证明，人员意识的缺失，使得攻击者能够轻易地绕过技术防护，实现诈骗目的。

• 命令注入攻击： 某电商平台在处理用户提交的商品评论时，存在命令注入漏洞。攻击者通过构造恶意的评论内容，成功执行了服务器上的系统命令，导致平台数据泄露和系统瘫痪。事件调查发现，开发人员在编写代码时，未能对用户输入进行充分的过滤和验证，导致了漏洞的产生。这说明，即使技术防护完善，如果开发人员缺乏安全意识，未能从根本上杜绝漏洞的产生，依然可能遭受攻击。

这些事件，都指向一个共同的结论：技术防护是“后路”，人员意识是“主动”。即使拥有最先进的技术，如果人员缺乏安全意识，依然可能成为攻击者的“破口”。

二、信息安全工作的核心：管理、技术与文化协同发展

要构建一个坚固的信息安全体系，不能仅仅依靠技术手段，更需要从管理、技术和文化三个方面协同发展。

• 管理层面： 信息安全工作需要纳入企业整体战略规划，建立完善的安全组织架构，明确各部门的安全职责，并制定相应的安全制度和流程。这包括：
  • 风险评估： 定期进行风险评估，识别企业面临的潜在安全风险，并制定相应的应对措施。
  • 安全策略： 制定明确的安全策略，规范员工的行为，并确保所有员工都了解并遵守这些策略。
  • 应急响应： 建立完善的应急响应机制，以便在发生安全事件时，能够迅速有效地进行处理。
  • 合规性： 确保企业的信息安全工作符合相关的法律法规和行业标准。
• 技术层面： 技术防护是信息安全体系的重要组成部分，需要不断更新和完善。这包括：
  • 防火墙： 部署防火墙，阻止未经授权的网络访问。
  • 入侵检测系统（IDS）/入侵防御系统（IPS）： 监控网络流量，检测和阻止恶意攻击。
  • 防病毒软件： 保护计算机系统免受病毒和恶意软件的侵害。

  

  • 数据加密： 对敏感数据进行加密，防止数据泄露。
  • 访问控制： 实施严格的访问控制，限制用户对敏感数据的访问权限。
  • 漏洞扫描： 定期进行漏洞扫描，及时修复系统漏洞。
  • 多因素认证： 采用多因素认证，提高账户的安全性。
• 文化层面： 信息安全不仅仅是技术问题，更是一种文化。需要营造一种重视安全、人人参与的文化氛围。这包括：
  • 安全意识培训： 定期开展安全意识培训，提高员工的安全意识。
  • 安全宣传： 通过各种渠道进行安全宣传，让员工了解最新的安全威胁和防范措施。
  • 鼓励举报： 鼓励员工举报可疑活动，并提供相应的保护措施。
  • 领导重视： 企业领导要重视信息安全工作，并以身作则，树立安全意识。

三、安全文化建设：从战略到行动，构建全方位防护体系

多年来，我积累了丰富的安全文化建设经验，并将其应用于多个行业。我总结出以下几个关键步骤：

1. 战略制定： 明确企业的信息安全目标，制定详细的安全战略规划，并将其与企业整体战略相结合。
2. 组织建设： 建立专业的信息安全团队，明确各部门的安全职责，并确保团队成员具备必要的技能和知识。
3. 文化建设： 营造一种重视安全、人人参与的文化氛围，并通过各种渠道进行安全宣传和教育。
4. 制度优化： 建立完善的安全制度和流程，规范员工的行为，并确保所有员工都了解并遵守这些制度。
5. 监督检查： 定期进行安全检查，发现并修复安全漏洞，并确保安全制度得到有效执行。
6. 持续改进： 不断评估和改进安全措施，以应对不断变化的安全威胁。

四、技术控制措施建议：强化防御，提升响应能力

基于我多年的实践经验，我建议部署以下两项与行业密切相关的重要技术控制措施：

1. 零信任网络访问（Zero Trust Network Access, ZTNA）： 传统的网络安全模式依赖于内部网络的信任关系，一旦内部网络被攻破，攻击者就可以自由访问内部资源。而 ZTNA 是一种基于“不信任”原则的安全模式，它要求对所有用户和设备进行身份验证和授权，并限制其对资源的访问权限。这可以有效地防止内部网络被攻破，并降低安全风险。

2. 威胁情报平台（Threat Intelligence Platform, TIP）： 威胁情报平台可以收集、分析和共享来自各种来源的威胁情报，例如恶意软件样本、攻击活动和漏洞信息。这可以帮助企业及时了解最新的安全威胁，并采取相应的防御措施。

五、安全意识计划：创新实践，激发参与

安全意识培训是信息安全工作的重要组成部分，但传统的培训方式往往效果不佳。为了提高培训效果，我尝试了一些创新实践：

• 情景模拟： 模拟真实的攻击场景，让员工在实践中学习安全知识和技能。例如，可以模拟钓鱼邮件攻击、中间人攻击等场景，让员工学习如何识别和防范这些攻击。
• 游戏化学习： 将安全知识融入到游戏中，让员工在轻松愉快的氛围中学习安全知识。例如，可以设计一个安全知识问答游戏，让员工通过答题来学习安全知识。
• 故事分享： 分享真实的案例，让员工了解安全事件的危害，并从中吸取教训。例如，可以分享一些著名的黑客事件，让员工了解黑客的攻击手法和危害。
• 定期测试： 定期进行安全测试，例如钓鱼邮件测试、社会工程测试等，以评估员工的安全意识水平，并及时进行补救。

这些创新实践，都旨在激发员工的安全意识，并提高其参与度。

结语：信任的边界，需要我们共同守护

信息安全，绝非一朝一夕之功，需要我们不断学习、不断实践、不断改进。作为信息安全领域的从业人员，我们有责任肩负起这份重任，为构建一个更加安全、健康的行业贡献力量。

让我们携手并进，共同守护信任的边界，为行业的发展奠定坚实的基础！

我们在信息安全意识培训领域的经验丰富，可以为客户提供定制化的解决方案。无论是初级还是高级阶段的员工，我们都能为其提供适合其水平和需求的安全知识。愿意了解更多的客户欢迎随时与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898