大家好！我叫董志军，目前在昆明亭长朗然科技有限公司工作，致力于帮助企业提升人员信息安全意识。在过去，我曾身处能源互联网行业，历经风雨，见证了无数信息安全事件，从社会工程学到深度伪造，无不警醒着我们。这些经历让我深信，信息安全不再是技术层面的问题，而是关乎企业发展、行业进步的基石，更与每个人的意识息息相关。

今天，我想和大家分享一些我多年来积累的经验和思考，希望能引发大家对信息安全问题的更深刻理解，并共同构建一个更加安全可靠的行业环境。

一、信息安全事件的“历史课”：意识薄弱，风险的温床

在我的职业生涯中，我亲历了各种各样的信息安全事件。它们如同一个个警钟，敲醒我们对安全防护的紧迫性。以下我选取了四起具有代表性的事件，希望能让大家深刻体会到人员意识薄弱在信息安全事件中的重要作用。

• 社会工程学攻击：钓鱼邮件的“甜蜜陷阱”

  这并非新鲜事，但却屡屡见头。我曾经亲眼目睹一家能源公司高管，因为一封看似来自上级的紧急邮件，点击了恶意链接，泄露了公司内部敏感数据。攻击者巧妙地利用了高管的权威性和紧急性，诱导其降低警惕，最终成功获取了目标信息。这充分说明，即使技术防护再强大，也无法抵御人类的认知漏洞。攻击者往往会利用人们的好奇心、恐惧心、同情心等情感，精心设计攻击方案，让人在不知不觉中上当受骗。

• 垃圾桶潜水：信息泄露的“暗道”

  看似不起眼的垃圾桶，却往往隐藏着巨大的信息安全风险。我曾遇到过一个案例，一名员工在离职前，将包含大量客户信息的纸质文件随意丢弃在垃圾桶中。不法分子通过“垃圾桶潜水”技术，轻松获取了这些信息，并用于非法牟利。这提醒我们，信息安全不仅仅是保护网络，更要重视物理安全，杜绝信息泄露的“暗道”。

• 网络攻击：供应链攻击的“蝴蝶效应”

  近年来，供应链攻击事件频发，对整个行业造成了巨大的冲击。我曾经参与过一个供应链攻击事件的应急响应，攻击者通过入侵一家小型供应商的系统，进而渗透到大型能源企业的核心系统。这充分说明，供应链安全是信息安全的重要组成部分，任何一个环节的漏洞都可能引发连锁反应，造成严重的后果。

• 深度伪造：虚假信息的“魔镜”

  深度伪造技术的发展，为信息安全带来了新的挑战。我曾遇到过一个案例，攻击者利用深度伪造技术，制作了一段伪造的视频，冒充公司高管，要求员工转账。这段视频看起来非常逼真，很容易让人相信。这提醒我们，随着技术的进步，信息安全防护需要不断升级，要警惕各种形式的虚假信息，并建立相应的识别机制。

这些事件都指向一个共同的结论：人员意识薄弱是信息安全事件发生的根本原因之一。即使拥有最先进的技术，如果员工缺乏安全意识，很容易成为攻击者的突破口。

二、信息安全工作：多维度的构建与持续的优化

要构建一个坚固的信息安全体系，需要从管理、技术和文化三个维度入手，并进行持续的优化。

• 管理层面：战略引领与组织保障

  信息安全工作需要得到高层管理者的重视和支持，并将其纳入企业整体战略规划。要建立健全的信息安全组织架构，明确各部门的职责和权限，确保信息安全工作能够得到有效执行。同时，要建立完善的信息安全风险评估机制，定期评估企业面临的风险，并制定相应的应对措施。



• 技术层面：防御体系与应急响应

  技术防护是信息安全的基础。要构建多层次的防御体系，包括防火墙、入侵检测系统、防病毒软件、数据加密、访问控制等。要建立完善的应急响应机制，定期进行应急演练，确保在发生安全事件时能够快速响应，有效控制损失。

• 文化层面：意识培养与行为规范

  信息安全不仅仅是技术问题，更是文化问题。要加强信息安全意识培训，提高员工的安全意识。要制定明确的信息安全行为规范，明确员工在信息安全方面的责任和义务。要营造积极的安全文化氛围，鼓励员工积极参与信息安全工作。

三、安全文化建设：从战略到行动，构建全员安全防护网

多年来，我积累了丰富的安全文化建设经验，以下是一些关键的实践经验：

• 战略制定： 制定清晰的信息安全战略，明确安全目标、安全原则、安全架构等。
• 组织建设： 建立专业的信息安全团队，明确团队成员的职责和权限。
• 文化建设： 开展信息安全意识培训，营造积极的安全文化氛围。
• 制度优化： 制定完善的信息安全制度，包括访问控制制度、数据备份制度、应急响应制度等。
• 监督检查： 定期进行安全检查，发现并修复安全漏洞。
• 持续改进： 根据实际情况，不断改进信息安全工作，提升安全防护能力。

四、技术控制措施：行业应用场景下的关键防护

针对能源行业特有的安全需求，我建议部署以下四项技术控制措施：

1. 工业控制系统（ICS）安全防护： 部署专门的ICS安全设备，进行网络隔离、入侵检测、漏洞扫描等，保护关键基础设施的安全运行。
2. 无人机入侵检测： 部署无人机入侵检测系统，及时发现并拦截未经授权的无人机入侵行为。
3. 数据泄露防护： 采用数据加密、数据脱敏、数据访问控制等技术，防止敏感数据泄露。
4. 供应链安全评估： 对供应链合作伙伴进行安全评估，确保其符合安全要求。

五、安全意识计划：创新实践，提升员工安全认知

安全意识培训是信息安全的重要组成部分。我曾带领团队成功实施多个安全意识培训项目，并积累了一些创新实践经验：

• 情景模拟： 模拟真实的安全事件，让员工在情景中学习安全知识，提高应对能力。例如，模拟钓鱼邮件攻击，让员工识别钓鱼邮件的特征。
• 安全知识竞赛： 通过竞赛的形式，激发员工的学习兴趣，提高安全知识掌握程度。
• 安全故事分享： 鼓励员工分享安全故事，让大家在交流中学习，共同进步。
• 个性化培训： 根据员工的岗位职责和安全风险，提供个性化的培训内容。
• 游戏化学习： 将安全知识融入游戏中，让员工在娱乐中学习。

这些创新实践，能够有效地提高员工的安全意识，并将其转化为实际行动。

结语：安全，是责任，更是未来

信息安全，绝非一朝一夕之功，而是一项持续不断的努力。它需要我们每个人的参与，需要我们共同的努力。让我们携手并肩，共同构建一个安全可靠的信息安全环境，为行业发展保驾护航！

昆明亭长朗然科技有限公司深知信息安全的重要性。我们专注于提供信息安全意识培训产品和服务，帮助企业有效应对各种安全威胁。我们的培训课程内容涵盖最新的安全漏洞、攻击手段以及防范措施，并结合实际案例进行演练，确保员工能够掌握实用的安全技能。如果您希望提升员工的安全意识和技能，欢迎联系我们，我们将为您提供专业的咨询和培训服务。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

各位同仁，各位朋友，大家好！

我是董志军，目前在昆明亭长朗然科技有限公司工作。过去多年，我深耕信息安全领域，从信息安全主管一路成长为首席信息安全官，在高端制造行业摸爬滚打，亲历了无数信息安全事件。这些事件，如同警钟，时刻提醒着我们：信息安全，绝非技术问题，更是关乎行业发展、企业生存的战略核心。

今天，我想和大家分享一些我多年来积累的经验和思考，希望能引发大家对信息安全重要性的深刻认识，并共同探讨如何构建一个坚固的信息安全防线。

一、信息安全事件的警示：人员意识薄弱，风险的温床

在我的职业生涯中，我见证过各种各样的信息安全事件，它们如同一个个案例，深刻地揭示了信息安全领域的复杂性和严峻性。以下我将分享四起具有代表性的事件，并着重剖析人员意识薄弱在事件发生中的关键作用。

• 恶意链接：供应链的致命一击

  几年前，一家大型制造企业遭受了一次严重的供应链攻击。攻击者通过伪装成供应商的电子邮件，发送包含恶意链接的附件。员工在不知情的情况下点击了链接，导致恶意软件感染了企业内部网络。攻击者利用该漏洞，窃取了大量的商业机密和设计图纸，给企业造成了巨大的经济损失和声誉损害。

  这次事件的根本原因在于，员工对钓鱼邮件的识别能力严重不足，缺乏安全意识。即使是看似正常的邮件，也应该保持警惕，仔细核实发件人身份和邮件内容。

• 短信钓鱼：人性的弱点，攻击者的绝佳目标

  曾经有一家汽车零部件制造商，员工频繁收到声称来自公司高层或财务部门的短信，要求紧急转账或提供银行账户信息。由于员工对短信钓鱼的防范意识薄弱，部分员工在没有核实信息真实性的情况下，按照短信指示进行了操作，导致公司损失了数百万资金。

  短信钓鱼利用了人性的贪婪、恐惧和急躁等弱点，攻击者通过制造紧急情况，诱导员工泄露敏感信息。这再次证明了，人员意识的缺失是信息安全事件发生的关键因素。

• 重要数据失窃：内部威胁的隐患

  在一家航空航天企业，一名员工利用其权限，非法下载并复制了大量的机密设计文件，并将这些文件通过私自搭建的云存储服务上传到海外服务器。该员工的动机是个人经济利益，但其行为给企业带来了极大的安全风险。

  这起事件提醒我们，内部威胁是信息安全领域不可忽视的风险。即使是内部人员，也可能因为各种原因，对企业造成损害。加强员工的安全教育和管理，建立完善的权限管理制度，是防范内部威胁的重要措施。

• 零日攻击：技术防御的终极挑战

  几年前，一家电子产品制造商遭受了一次零日攻击，攻击者利用一个未知的漏洞，入侵了企业的核心服务器，并窃取了大量的客户数据和产品设计信息。由于该漏洞在当时尚未被公开，企业没有任何有效的防御手段，损失惨重。

  零日攻击是信息安全领域最严重的威胁之一，它利用了系统或软件存在的未知漏洞，攻击者可以利用这些漏洞进行攻击，而系统或软件开发者往往需要一段时间才能修复这些漏洞。这说明，技术防御需要不断升级和完善，同时也要加强漏洞扫描和及时修复。

二、信息安全工作：全方位、多层次的保障体系

从以上案例可以看出，信息安全并非一朝一夕之功，需要从战略、技术、文化等多方面入手，构建一个全方位、多层次的保障体系。

1. 战略制定：明确目标，顶层设计

   信息安全战略应与企业整体战略保持一致，明确信息安全的目标、原则、范围和责任。战略制定应充分考虑企业的信息资产、风险状况和业务需求，并制定相应的安全措施和应急预案。

2. 组织建设：专业团队，分工协作

   建立一个专业的信息安全团队，明确团队的职责和权限。团队成员应具备专业知识和技能，并不断学习和提升。同时，信息安全团队应与业务部门密切合作，共同推动信息安全工作。

3. 文化建设：安全意识，全民参与

   信息安全文化是信息安全工作的基础。企业应建立积极的安全文化，鼓励员工参与信息安全工作，并提供相应的培训和激励。安全意识应渗透到每个员工的日常工作中，成为一种习惯。

4. 制度优化：完善规范，风险管控

   建立完善的信息安全制度，包括访问控制、数据备份、漏洞管理、事件响应等。制度应具有可操作性，并定期进行审查和更新。

5. 监督检查：定期评估，持续改进

   定期进行信息安全评估，检查安全措施的有效性，并及时发现和修复安全漏洞。评估结果应作为改进安全措施的重要依据。

6. 持续改进：学习借鉴，不断提升

   信息安全领域的技术和威胁不断变化，企业应持续学习和借鉴最新的安全技术和经验，并不断改进安全措施。

三、技术控制措施：强化防御，应对挑战

除了上述综合性措施外，我们还可以部署一些与行业密切相关的技术控制措施，以强化防御，应对挑战。

1. 多因素身份验证 (MFA)：

   MFA 是一种安全措施，要求用户提供多种身份验证方式，例如密码、短信验证码、指纹识别等。即使攻击者获得了用户的密码，也无法轻易登录系统。在高端制造行业，MFA 可以有效防止内部人员的恶意攻击和外部攻击者的入侵。

2. 零信任网络访问 (Zero Trust Network Access, ZTNA)：

   ZTNA 是一种网络安全模型，它假设任何用户或设备都不可信任，需要进行身份验证和授权才能访问网络资源。ZTNA 可以有效防止内部威胁和外部攻击，尤其是在远程办公和云服务普及的背景下。

四、安全意识计划：创新实践，提升认知

安全意识是信息安全的第一道防线。在过去几年中，我带领团队成功实施了多个安全意识计划，并取得了一定的成效。以下我将分享几个创新实践做法：

• 情景模拟演练：

  我们定期组织情景模拟演练，模拟各种安全事件，例如钓鱼邮件、恶意链接、社会工程学等。通过模拟演练，员工可以学习如何识别和应对这些事件，并提高安全意识。

• 安全知识竞赛：

  我们定期举办安全知识竞赛，以寓教于乐的方式，提高员工的安全知识水平。竞赛内容涵盖钓鱼邮件识别、密码安全、数据保护等多个方面。

• 安全故事分享：

  我们鼓励员工分享安全故事，分享他们在工作中遇到的安全事件和经验教训。通过分享故事，员工可以互相学习，共同提高安全意识。

• 定制化安全培训：

  我们根据不同部门和岗位的特点，定制化安全培训内容。例如，对于财务部门的员工，我们重点讲解财务安全；对于研发部门的员工，我们重点讲解代码安全。

结语：

信息安全，是一场持久战，需要我们共同努力。希望通过今天的分享，能够引发大家对信息安全重要性的深刻认识，并共同构建一个坚固的信息安全防线。让我们携手并进，守护数字基石，为行业发展保驾护航！

昆明亭长朗然科技有限公司提供定制化的安全事件响应培训，帮助企业在面临数据泄露或其他安全威胁时迅速反应。通过我们的培训计划，员工将能够更好地识别和处理紧急情况。有需要的客户可以联系我们进行详细了解。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898