一项调查报告称，由于欺诈性电子邮件造成的损失高达800亿元，这凸显了员工们打开收件箱时，不得不面临的重大风险。从媒体披露的些许个案来看，钓鱼邮件可能会导致严重的数据泄露或经济损失。对此，昆明亭长朗然科技有限公司网络安全专员董志军表示：钓鱼邮件非常猖狂，能被媒体公开的，无疑只是冰山一角。对于普通的职场工作人员来讲，只要工作邮箱被公开，就难免被不法分子收集到，进而被钓鱼分子盯上。好在防垃圾邮件系统可以辨识并过滤掉大部分的钓鱼邮件，然而总是难免有漏网之鱼，并且总有一些防不胜防的个性化定制化的钓鱼邮件，即所谓的“鱼叉式网络钓鱼”。

您所在工作单位的员工们是否了解潜在的网络安全风险，以确保他们安全地使用互联网、电子邮件、社交媒体和工作信息系统呢？如何能够识别网络钓鱼威胁或保护数据免于失窃呢？

部署不良消息检测及过滤系统，如垃圾邮件防范技术、网站分类过滤软件和上网行为控制软件等，可以在一定程度上遏制钓鱼邮件及诈骗消息进入员工们的电脑，也可以在一定程度上防止员工们访问到危险的钓鱼网站。但是，这并不足够，原因很简单，道高一尺，魔高一丈。网络不法分子不停地研究突破现有安全防线的新方法，比如，根据一份网络文摘，基于对近年来索赔数据的分析调查结果，勒索软件正成为企业网络损失的一个越来越常见的原因。

勒索软件带来的成本付出远不止支付赎金。与谈判和支付赎金相关的技术和法律费用可能会使解决问题的成本增加三倍或四倍。费用超过几十万的情况并不少见，对于关键的业务流程越来越依赖的数据来讲，如果没有备份，在被加密后，要想完全重建几乎不可能。这正是可以被不法分子牢牢卡住的咽喉。虽然防范勒索软件也有一些技术方案，比如防病毒、防恶意代码措施等等，然而仍然会有勒索软件不断变态，使用新的特征，躲避基于代码基于行为特征的检测。

正确防范之道是在实施技术控制措施的同时，强化人员安全意识和养成良好的安全行为习惯。然而，这并不容易。根据一项严肃的测试结果，在来自各行各业的员工们中，有大量不及格的网络安全答题。即使接受过安全培训的员工们，在参与课后的网络安全主题测试，包括对常见网络安全威胁的理解时，也只有较少比例的人员能够答对80%。这种情况真的很不够好。为改变现状，各类型的组织机构都需要加强对员工们进行信息安全教育，以增强他们对网络安全风险和问题的理解和认识。

信息安全教育的目的不仅仅是为了传播知识或通过考试，更为了改变员工们的安全行为，如果工作单位希望改变职工们的行为，网络安全培训必须定期涵盖一些常规的主题。此外，既然意识和培训计划的最终目标是改变人类行为，而不仅仅是检查合规性（法律遵从情况）。要做好这些，需要认真的思考、周密的计划、清晰的沟通等等。一项好的安全意识计划必须认识到培训和意识之间存在微秒的差异。两者之间的主要区别不仅仅在于用词，更在于培训可以为人们提供知识，意识才能改变人们的行为。当然，我们不必在用词方面过于较真，也它们混为一谈也无妨，否则就是玩文字游戏搞语言腐败。

有些组织机构会强迫人们改变他们的行为，但是人们却不知道为什么需要改变。例如，使用密码策略相关的技术，可以强制用户重置密码，但这并不意味着人们不会循环和重复使用他们的密码。因此，一项有效的安全计划不仅仅要告诉人们应该怎么做，也要告诉人们为什么要那样做。否则，就像很多不知运作原理，只会模仿操作的人员一样，在日常的简单工作中虽然没有问题，但是一旦碰到意外的情况，就会不知所措。

安全专家表示，信息技术领导者应该密切关注数据安全问题。降低数据泄露风险，固然需要许多技术方面的安全防护措施，比如加密、验证、访问控制、日志监控与审计措施等等。此外，也还需要很多管理方面的安全措施，比如数据安全管理制度、分类分级方法、风险评估制度、脱敏管理制度、权限申请及管控流程、备份制度、合规审计、事故应急响应等。当然还有人员方面的安全措施，比如培训管理制度措施、个人信息保护制度等。

虽然最终用户经常因无意中点击恶意链接而受到指责，但过错的并不总是在员工方面，特别是在员工没有足够的安全相关知识的情况下。即使IT人员也不例外，安全人员研究发现：关键数据在没有密码保护的情况下，通过错误配置或上传到公共的代码库而暴露的情形很常见，许多组织机构因此很快就成了头条负面新闻的主角。

总之，人为错误占信息安全事件原因的很大份量，特别是在常规的技术型安全管控措施都已经实施了的情况下，网络不法分子更倾向于利用“人性的弱点”，即发起社会工程学攻击或网络钓鱼。所有这些错误的根源在于缺乏对个人行为如何产生风险的认识，这就是为什么安全意识、教育和培训必须灵活、持续且有料的原因。

昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。