在一场研讨会上，网络安全“红衣教主”周鸿祎称：反病毒为主的网络安全时代已经过去，以往的产品技术都不好使了，现在得用新的方法，要协同联防，把数据、知识、还有人员等要素结合起来，形成网络安全大脑。

传统上，公司很容易在技术层面实施安全管控措施，以达到特定的安全管控目标，但是在整体上，可能会管理控制了这一点却影响了那一点，根本原因是员工们可能对这些技术措施不理解，进而不认可、不遵守。比如，公司设置了防火墙以防止外来的网络安全威胁，可是有的内部员工却刻意绕过防火墙的控制和保护，为外部威胁打开一个新的口子。对此，昆明亭长朗然科技有限公司企业安全文化研究员董志军表示，安全控管的核心是人员，要做好人员的安全控管，让人员发挥积极的安全防御价值，形成人力资源“防火墙”，我们有必要在文化层面进行安全意识建立的推动。

对于很多公司来说，只要预算批准了就可以进行产品和服务的采购，但要形成一个组织的安全文化，就需要花很多时间。有一点和所有的项目都相同的，就是安全文化建设也是一个从上至下的工作体系，最重要的是高层领导要能够接受这样的想法，并且能够支持。高层领导往往不知道信息安全对公司的实质好处在什么地方，甚至觉得只是花钱，那这样高层领导就不明白信息安全的实质价值，要再推动安全文化建设的进程就很困难了。

其次，刚开始的时候，如果进行重大的改革，由于惯性的原因，一定会造成很大的反弹，那么在刚开始改变的时候，建议先从小范围开始推动。在推动的过程中，不管是相关的案例、行业做的法、或是主管机关的要求等等，都要及时地将相关资讯信息传递给相关人员，也可以加上我们单位需要注意的事项，这样逐步达成共识之后，后面才比较容易推动到其他部门。另外，要让高层领导自己要知道企业安全文化的养成，绝对不是一件短时间可以达到目标的工作，而需要不断投入，才会慢慢地渐入佳境。

没有所有员工的切身参与，公司就不能够有效实施信息安全管理体系并对其信息资产进行有效保护，安全意识培训就是促使员工们认知到信息安全的重要性并积极参与安全实践的重要途径。因此，安全文化建设需要聚焦员工们日常工作和生活中的信息安全细节问题，普及性地提供信息安全良好行为的建议，使员工们能够正确认识和处理身边的安全问题。随着员工们的安全意识得到提升，公司安全文化建议的推动会逐渐进入新的高度。

总之，人是信息安全中最薄弱的环节”，提高员工们的信息安全意识是企业安全工作、建立企业安全文化的最重要任务之一。只有员工们的安全意识得到了提升，安全策略和要求才能被理解和支持，各类型的安全控管措施才能真正有效。

昆明亭长朗然科技有限公司多年来专注于安全、保密及合规宣传方面的研究工作，我们创作了大量的培训课程及宣教作品，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务合作的机会。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

小型企业的IT经理购买并实施昂贵的安全技术，希望能够避免网络攻击。但是他们往往忽视了一件关键的事情：员工是他们网络安全策略中最薄弱的环节。根据昆明亭长朗然科技有限公司的一项研究，成功的网络攻击中有85％是通过网络钓鱼邮件发起的，这其中又有90％是从毫无戒心的员工那里窃取的信息而进行的。CNCERT的一项统计表明：导致数据泄露的恶意软件中，有66％是通过恶意电子邮件附件安装的；28％的网络攻击涉及内部人员，而68％的安全事件是人为错误的结果。

既然网络攻击大部分源自于网络钓鱼。那什么是网络钓鱼呢？网络钓鱼是一种社会工程形式，涉及发送声称来自信誉良好的个人和/或机构的电子邮件，并诱使接收者透露诸如银行详细信息或密码之类的敏感信息，或诱使用户单击某些恶意构建的网址。网络钓鱼的技术门槛低，发动起来很容易，并且经常以脆弱的“人性”为目标。尽管在传统上，恐惧感、好奇心和乐于助人的天性是黑客利用最多的人类情感，但如今，成功的网络钓鱼尝试针对的是人类对娱乐、社交互动和奖励/认可的需求。对此，昆明亭长朗然科技有限公司网络安全研究员董志军补充说：这一点其实很容易理解，根据“马斯洛需求层次”理论，人类的情感需求很丰富，随着社会发展和人们生活水平的提高，各种情感需求如“社交需求、尊重需求和自我实现需求”都会开始大量涌现。

需知，网络钓鱼并非总是以电子邮件的形式出现，它也可能通过微信等社交媒体并搭配伪造的网站进行，看起来钓鱼网站与原始的网站域名非常相似，但是钓鱼网站会捕获人们的机密信息。此外，网络钓鱼的渠道还可包括试图收集机密信息或说服受害者转移资金的电话或短信。因此，我们需要认真应对网络钓鱼尝试，不过，单靠IT安全技术并不能阻止利用社会工程学技术操纵人们泄露机密信息的网络攻击。

那么，有什么好招儿应对网络钓鱼攻击吗？从战略上讲，利用人类情感需求的攻击，还需从人类情感入手进行防范，这是非常复杂的，我们不能让人们都变“坏”，但是却可以让人们防止他人的“坏”。从战术上讲，让人们理解这些人性、心理和情感方面的需求，理解“坏人们”可能如何利用它们，以及我们该如何防范。要实现这些，无非需要从人员要素入手，一种最有效、廉价的方法便是安全意识培训，实施安全意识培训计划可以帮助员工们提高对网络攻击的认识，提高对网络安全最佳实践的了解。那么，什么是安全意识培训和安全意识培训计划呢？

安全意识培训是对员工进行网络安全最佳实践教育的正式过程。它应教会员工如何识别欺诈性电子邮件和有害网站，并防止单击恶意链接或泄露机密数据。安全意识培训计划包括在线培训材料、基于计算机的交互式安全培训材料、员工签署培训文档确认信息安全准则、真实网络攻击的案例模拟、游戏化的练习等等要素的组合。

欧洲网络安全局一项调查表明：设计和实施定期安全培训计划以对员工进行安全最佳实践教育的组织，在过去两年内遭遇的与用户相关的数据泄露风险（如网络钓鱼）降低了48％。因此，创建引人入胜的持续安全意识培训计划将给组织机构带来许多安全方面的好处。昆明亭长朗然科技有限公司专注于帮助各类型机构建立有效可行的安全意识培训计划，我们有大量的高质量安全意识宣教培训内容资源，如果您需要我们帮忙策划安全意识宣传活动，或者需要安全培训课程资源，请不要客气地联系我们。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898