现在几乎所有的信息安全管理负责人都认识到只依赖技术方面的安全控管是不足够的，与此同时，在流程和人员方面的安全控管越来越受到信息安全总监和经理们的青睐，尤其是针对全体员工的安全意识培训计划逐渐成为信息安全管理工作的重点。

由于信息安全意识教育是比较“软性”的安全控管措施，也没有相关的国际国内标准可以遵循，所以通常被认为比较难以衡量安全意识培训计划的成效。实际上多数组织在进行一两次大规模的安全意识培训活动之后，发现整体安全状况的改进并不十分理想。

为什么有些安全意识培训活动并达到所期望的效果呢？昆明亭长朗然科技有限公司的安全意识培训顾问Bob Xue说：当我们与多数安全意识培训计划负责人进行接触时，都会获得信息安全意识教育至关重要的积极反馈，然而谈论到安全意识培训活动成功的经验和失败的教训时，会强烈感知到客户的迷茫和无力。

在分析了林林总总的原因之后，亭长朗然公司的Bob总结了几条成功实施信息安全意识培训计划的关键要素，并且分享如下：

1.获得最高层的支持，信息安全管理中有Top Down Approach“至上而下”方法论，信息科技、安保中心、人力资源、员工培训等部门的负责人会认识到信息安全意识教育的重要性，但是并不能代表C-level的高管们也有同样的认识。获得高管们支持的办法并非需要太多的说服工作，但是要注意让信息安全意识计划的学员们知道高层对信息安全的重视，可以邀请一些高管，让他们现身对全体员工谈一谈信息安全，将高层要传达的安全讯息录制成安全意识教育视频。这种安全意识教育视频录制活动的好处是让高管们获得了重视信息安全、工作尽职尽责的美誉，中间经理层和员工们也更能接受最高管理层传递的信息安全理念。有了最高层的支持，就如同拿到了在组织范围内进行信息安全意识教育的“尚方宝剑”，不需要花费太多动员工作在中层经理主管和基层员工们身上。

2.安全意识教育计划和安全意识培训内容要结合实际的工作环境，每家组织都是独特的，不仅表现在组织架构和安全文化方面，就信息安全管理方面而言，每家组织需要保护的关键信息资产也各不相同，所使用的信息系统、工作流程和安全策略也各有差异。在制定安全意识教育方案时，一定要考虑到业务环境和信息环境，通用的安全意识教程可供参考，但是不能有太大的期望，毕竟不够定制化的服务更加贴身，更符合实际。

3.明确信息安全责任，讲一大堆信息安全对组织重要性的大道理往往会令基层员工有“听天书”的感觉。信息安全关乎所有人的职责，关键要通过信息安全意识培训计划，让全体员工了解到自身所要担负的安全角色和职责，不同部门和工种的员工的安全角色可能会有稍许差别，管理层的安全责任更加重大。安全意识教程要注意覆盖到所有部门和工种的员工，再结合起员工们的日常安全作业流程，简单而直接地告知哪些行为可以接受，哪些行为不可接受，方可让安全方针政策得到员工们的理解、消化和落实。

4.鼓励员工们积极向上的安全行为，让全体员工了解和履行安全职责可以保护自身范围内和部门级别的信息安全，同时组织范围内的安全环境也还需要全体员工参加共建。倡导正确的安全理念和积极向上的安全文化，并不是玩虚的，信息安全管理负责人需要拿出部门资源来引导员工积极参与信息安全策略和作业流程的建立和优化，更需要奖励为组织的整体安全文化建设做出杰出贡献的个人或部门，比如对发现业务流程或信息系统安全漏洞的员工给予物质奖励；对积极正确响应安全事故、帮助组织降低业务安全风险的员工进行精神表彰等等。积极向上的安全文化不仅是安全意识计划的追求目标之一，反过来也会促进安全意识计划的成功实施。

5.向员工们提供足够的安全支持资源，安全意识教育不应该只是搞个课堂培训、张贴一些标语海报、发放些信息安全意识传单。大部分的员工还是想在遇到信息安全问题的时候能够有正确的表现，只是有时确实不知道碰到问题时该如何处理。这就需要信息安全管理负责人能够提供尽可能多的资源给到员工们，设置组织内部“信息安全网站”是个不错的方法，可以将组织相关的信息安全策略、标准文档、安全流程指南，常见问题等等放置到信息安全内部网站上，供员工们在有疑问时自助查询。当然，还应该放置一些安全教程资源内容以及信息安全部门或团队的联系方式，以便有兴趣、需求或疑问的员工能随时学习或咨询。

6.采用有趣的互动性的安全意识教程，命令与控制型的单向灌输的教育方式已经不适合多数现代组织，一成不变的安全意识沟通方式也难吸引员工们的眼球。员工安全意识培训负责人需要不时换些花招，不时来一些安全意识电子期刊、一段安全培训卡通视频、一小段安全漫画、一个安全疑问及解答等等可能并不足够，因为缺乏互动。一个在线安全意识互动活动、一部在线安全意识培训课程、数十道安全意识测试题、三五个安全场景挑战等方式会让员工在参与过程中进行思考。只有他们进行了信息安全相关的“思考”之后，才会Know Why“了解为什么”在信息安全方面需要这样做，而不仅仅是Know How，该如何做。也只有员工们深刻理解了“为什么”之后，他们才能在各自独特的工作环境之内应用正确的安全理念。

简言之，那些只使用些酷眩的海报、月历和鼠标垫那些小玩艺儿便可进行信息安全意识教育的期望必定变成失望。想要成功进行信息安全意识培训计划，除了坚持不断执行上述几点关键要素之外，还是不断坚持和循环执行，这正呼应了信息安全管理体系ISMS的导入方法，即将PDCA持续改进的理念和方法应用于信息安全意识教育计划之中。

昆明亭长朗然科技公司不仅提供安全意识培训计划方面的咨询顾问服务，更能提供安全意识培训教程的量身定制设计、开发和制作。我们的专业信息安全意识推广经验和互动式的安全意识教程模板，可以为客户的信息安全意识计划带来大量的成功因子，欢迎与我们联系，即使是随便聊一聊信息安全管理相关的话题也会让双方受益。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

根据安全意识报告，超过80%的安全意识专业人员具有信息安全或信息技术背景。不到 15%的人拥有培训、营销或沟通等软技能的背景。这就暴露出安全意识工作面临的一个困境：现有人才在安全意识的技术部分是没有问题的，但是却缺乏用户行为改变的软技能。

作为安全意识培训的项目主管，我参与过数百个组织的安全意识宣教建设活动，帮助数百万员工了解信息安全的理念和要义，通过供应链传播、职场流动和员工家庭与亲友们的辐射作用，这将带动数亿国民提升和强化安全防范意识，无疑有助于建立一个更安全更和谐的网络社会。

我们一直说，安全文化需要的是潜移默化，暴风骤雨似的宣传“运动风”来的快速也去的忽然，这正是在建立全面的意识计划需要防止的，文化建设是为了改变人员的不安全行为，这注定是一场长期而艰苦的战争，非运动式的战斗和战役所能取得的。 由于网络安全专业人员（包括意识领导者）精通技术技能，因此他们了解需要改变哪些行为，但是在如何尝试改变这些行为方面却表现不佳。毕竟，人无完人，术业有专攻。

改变一个人的行为是很难的，安全意识培训不应该如此。一般来说，许多组织都会犯“认知超载”的错误，即向员工倾倒太多知识内容，以至于他们在学习后没几天就完全忘记了。这听起来是不是有点熟悉的味道？好的办法是保持安全意识培训的简短而轻松，并专注于真正能够降低风险的内容。因此，需要负责人员提前花时间确保学员的参与度和内容的相关性，避免认知超负荷。

类似日常生活中人们行为改变的触发因素，安全行为的改变也源自安全认知的改变，有些员工会在安全事件发生后自省，然而这种代价太高。前车已覆，后车当戒。学习并吸取他人的教训，避免重蹈覆辙，是当今职场人士几乎都具备的生存能力。这就需要我们加强沟通，去展示一些安全事件案例，去发动一些模拟攻击，借机向受众解释为什么他们应该关心网络安全。然后，我们需要用简单的语言传达我们需要他们做什么，并确保人们能够表现出这些行为。然而，说起来简单，做起来难，很多IT或安全专业背景的人士都会受到知识诅咒的困扰——他们对某件事非常了解，却因为自己是专家而无法准确地沟通传达。我们看到很多媒体主持人在专家面前侃侃而谈，而专家却显得很笨拙，就类似这种情况。因此，我们需要投入一定比例的时间来琢磨沟通事宜，来改进传达关键意识信息的方式。

沟通不是单向的，对于全员安全意识计划来讲，专家的单打独斗并不足够，这就需要协同合作，与各个利益相关者沟通的内容以及沟通方式对于获得支持、认同和行为改变至关重要。建立可靠的计划需要大量不同的技能以及与不同部门的协调。 例如，与沟通部门合作以帮助员工参与，与人力资源部门合作以更好地了解目标群体，与法律和审计部门合作以确保培训计划合规。一起合作的人员越多，成功的机会就越大。当然，沟通合作的群体也可以是外部咨询服务团队，毕竟术业有专攻，有了外部的专业资源的加入，更利于探索启动安全意识计划，该计划不仅可以扩展行业人脉资源，还可以在整个行业中树立安全意识工作的标杆。

信息安全意识专业人才缺乏问题的解决方案是创建安全意识计划。该计划旨在教育员工了解网络安全的重要性，以及他们保护自己免受网络攻击的各种方法。该计划还应重点教育员工了解其行为的后果，例如打开网络钓鱼电子邮件或泄露个人账户的密码。当然，计划也不能忽略变化，即有应对措施。如下我们将简要谈一谈。

网络钓鱼：这里的重点是我们需要交互式的模拟行为，以便人们了解网络钓鱼攻击的迹象、检测到此类攻击时应采取的措施，以及如何报告此类攻击。需要重点关注的是阻止攻击所需的安全行为，而不是模拟钓鱼测试。不幸的是，模拟网络钓鱼不仅是许多意识计划的开始，同样也是结束。要知道，网络钓鱼培训是建立整体安全意识计划的重要组成部分，但其本身还不够。

密码安全：密码安全最关键的方面是人们如何使用密码。更广一点说，人们如何保护他们的身份免于盗用，他们是否与同事分享密码？他们是否为每个站点设置唯一的密码？是否使用密码短语和密码管理器？因为使用一些助记的小窍门和小工具是解决个人密码安全的基本行为要素。当然，也要教导用户启用尽可能安全的身份验证解决方案比如：生物特征鉴别和两步（双因素）验证。

意外应对：虽然恶意的攻击行为是不可避免的，但是大多数的安全问题都是由简单的员工事故或疏忽引起的。例如：将手机忘在出租车上、随意共享文档而没有意识到其中包含高度敏感的数据、或者由于邮件客户端中的自动完成功能将收件人设置为错误（但相似）的人员而意外向其发送邮件。这些问题需要人们养成谨慎对待安全并加强安全检查的行为习惯。

搞好这三项，就有了一个良好的开端，重要的是管理组织内部和周围人员带来的风险，这种风险文化不是一朝一夕能够建立的，文化不仅仅是行为，还包括人们对网络安全的看法、态度和信念。文化以及融入情感的过程对于技术人员来说可能是一个挑战。现有的企业文化对于沟通和协作方式以及最终成功安全改变行为起着关键作用。企业文化有外向和内向两大类，开放式的外向文化（例如科技公司中的文化）通常更喜欢让员工们按照自己的时间表观看和消费的幽默内容，而保守式的内向文化（例如保险、金融和政府）通常更喜欢让职员们阅读的更温和或“专业”的内容和材料。因此，我们需要研究企业文化，了解组织的价值观和信念，为信息安全意识计划规划提供信息。与人力资源人员进行交谈，他们通常最了解组织的文化以及如何影响安全意识计划。

总之，创建成熟的意识计划，需要利用技术技能和以人为本的软技能。大多数安全意识专业人士在技术方面没有问题，通过解决软技能方面的问题，无论是发展自身技能、跨部门协调还是引进外部人员，都将在改变安全行为和组织文化方面大有帮助。最后是小广告时间，笔者就职于昆明亭长朗然科技有限公司，专注于为各类型的组织机构提供信息安全意识产品和服务，我们有大量的知识内容和平台工具，欢迎有兴趣的人员联系我们，洽谈合作事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com