搞信息安全，需要找到恰当的平衡点，不能做安全做到太过，影响业务和信息运作的效率；也不能太弱，没有底线让业务信息时刻处于威胁之下。

实话说，不少信息安全事件也并非孤立的安全违规，违规背后多数都有其深层次的原因，如果违规者了解信息安全相关的规章制度以及可能造成的后果而孤注一掷贸然行事，我们则需深挖之，否则类似的信息安全事件仍会不断发生。

昆明亭长朗然科技有限公司James Dong说：防止内部“泄密”，无疑需要强化保密意识和信息安全观念教育，仅靠文档加密防泄漏系统是封不住人们的嘴巴的。黑客、商业竞争者和不良媒体人员多的是渠道。

拜托，黑客和不满雇员与竞争对手联合坑害公司的案子很常见，信息安全的一项重大威胁来自商业竞争对手，他们不仅窃取客户信息和产品研发资料，更会利用财务信息来制造新闻。所以，信息安全远不是信息科技部门的事儿，不经意随便露出的一角都可能被竞争对手恶意利用，强化全体员工的信息安全意识教育，是信息安全负责人及高管们的重要职责。信息安全意识培训计划的关键，是要通过一些信息安全案例来引起员工们的思考，而不仅仅是告诉他们赤裸的答案——应该怎么做。

公开的市场交易不顺畅，人们只能走私下的交易渠道，这反倒促进了社会迈向更深的“潜规则”，地下交易也衍生出虚假报道以及腐败等行为，进而让有效的监管变得更不容易，与之关联社会隐性问题会变得更多。做信息安全管理也能吸取经验教训，要让员工们的正常信息访问和使用需求得已轻松满足，不要过分使用安全技术控管手段来压制工作相关的网络和信息系统应用，要公开那些公司认为不安全的信息系统使用方式，并获得最终用户的理解和支持，建立适当的信息安全需求及问题沟通反馈渠道，站在用户的角度和安全政策的立场想安全与效率，不局限于某个具体的安全管理平台或技术规范，定会灵活快速地处理信息安全相关的问题，同时又满足了用户的业务要求。亭长朗然公司警告称：一味盲目的使用计算机安全技术控管手段压制，可能引起用户的怠工，让业务效率受损；也可能引发最终用户恶意躲避或越过安全控制措施，甚至变身“特洛伊木马”，从内部发起破坏行为。

这是全民自媒体的新媒体时代，人们宁愿通过社交媒体和志同道合的人们触碰。媒体大佬们，该清醒一下了，想想问题的根源何在，以及如何有效疏导。信息安全管理委员会，也需要从中获得灵感，需要让所有员工了解到，即使出于正常的业务创新或市场拓展之目的，也要在公司的信息安全管理制度框架下进行，可能会让增长速度变缓，但是却能带来长期稳健的发展。公司大起来，规章制度多少可能会压制一些个人英雄主义，血气方刚的年轻人想有一番作为，去创造不同，但不能恣意破坏和践踏现有的信息安全秩序，否则伤到的不仅是自己，更是公司众多同事、股东和客户。而要让这引进初出茅庐的职场新员工了解信息安全的关键要义，只能通过员工信息安全意识培训计划来推进，要让员工明白在社交媒体上，和工作相关的内容，哪些可以讲，哪些不可以讲。

要说哪些公司一点儿没有问题，也是掩人耳目，在这个人情社会中，有哪家公司没有点违规操作和内幕交易呢？话虽然这么讲，但是源头上的不干净并不能是借口。成千上万员工代表着公司，从概率上讲，少数员工中肯定有不良的甚至违法的行为，会给公司的形象信誉造成负面恶劣影响，加上不当竞争者恶意中伤，媒体扇风起火肆意放大，想逃离舆论毒箭有时是很难的。但是上市公司高管们需要证明自己尽职尽责，在公司治理、风险管理、信息安全控管和员工职业道德建设等方面有所作为，无疑需要做好表率，在方针政策层面签署高端文件以示支持，并积极赞助和支持相关的信息安全意识宣传推广活动。

我们要谈谈信息安全与法规遵循，有公司员工违纪便称是员工个人行为，这简单就是掩耳盗铃；称对员工监管不力，也是托词，以公司一份子——员工的身份犯了错，就是公司的责任。管理层要勇担职责，要代表公司向受害方致歉，并在公司内部对涉事员工进行处理。当然，信息安全管理委员会更需要让员工们知道的是：影响恶劣的，除了公司的严厉处罚之外，违反国家法律的，更是要交给司法机关处理。

公安机关办案，你敢挑战警方，很不当，等待的只有重罚。正确的方式是好好配合警方，与警方密切合作。要让员工们理解和接受自身的信息安全职责以及规章制度，甚至违反国家法律的后果，也只能通过适当的信息安全培训教育课程来实现。

在此，关于对信息安全与法规遵循方面的认识，昆明亭长朗然科技有限公司创作了多部在线信息安全意识教育课程，欢迎有兴趣的朋友联系我们进行预览和访问。如需定制化的教程，欢迎和我们联系洽谈业务合作。

在办公室里转悠一下，您会发现大部分人在电脑面前忙忙碌碌。当然如果您的公司有远程工作的，您可以想像出员工们在家里、在路上、在酒店、在客户、供应商或合作伙伴场所工作的情形——他们手持笔记本电脑、平板设备或智能手机，在展示、处理或传输着重要的信息。

不管您是否意识到这些，事实是员工们而并非仅仅是安全团队在保护着公司应对着诸如黑客攻击之类的信息安全事件。

您和您的IT安全专业团队可以配备最领先的安全创新科技，但是如果您公司的员工们如果不去正确应用这些创新技术，不去实施最佳计算机安全实践，事态可能远远比您想像那么严重。

各类组织机构的战略远景和目标各不相同，专业IT成员和安全团队的数量也大相径庭，所以需要让员工们理解如何保护信息数据的安全，并且采取正确的安全行动，因为组织机构以及各种重要的数据值得这样去做。

为了确保您的公司能够应对业务所面临的基本的安全威胁，您的员工们至少应该具备基础的信息安全能力，而安全防范能力不是天生就有的，公司信息技术和安全部门应该通过教育手段来帮助员工获取这些能力。

尽管安全是一个博弈的过程，在面对无比厉害的黑客高手之时，几乎没有任何组织可以完全避开，不过通常的业务不会令普通的公司成为黑客的攻击目标。所以呢，只要员工们的安全能力能够粗略地应对大众化的黑客和病毒袭击，紧跟或超越业界最佳实践水平，便在正确的方向，能够满足保障业务安全的需求。所以，在安全技能的培训内容方面，我们建议您也不需要一口吃个胖子，抓出重点几条内容，强化模拟场景式的训练，方可获得最佳效果。

如下是我们根据多年的经验和对安全现状及趋势的分析和理解，整理出来的三条员工必备之、主管必训之安全技能：

一、小心无线网络连接

无线网络接入是远程工作员工们的最爱，但是公共的无线热点也可能是网络犯罪分子的陷阱网络接入点，因为它们通常对数据、邮件、密码以及其它通过它传输的敏感信息并不进行加密。

所以，我们应该教育员工们这一点，并且告知他们在陌生地点遇见陌生WIFI信号时，应该向权威机构进行合法WIFI的确认。如果没有选择只能使用公开的无线热点之时，应该启用个人防火墙和关闭文件共享服务，以防止攻击者连接到无线终端设备并进行进一步的渗透攻击。

更重要的一点是要保障数据通讯的安全，想让移动工作员工使用加密的通讯，只需简单告知他们在连接WIFI之后立即启用安全的网络连接，如起用虚拟专用网络VPN。VPN技术和产品已经非常成熟，如果您的公司还没有启用VPN，那么则应该立即行动起来，采购和部署从几百块到几万块不等的VPN设备，或者在云计算时代，如果您的公司并没有理想的互联网接入线路，您也可以考虑租用商业化的公共互联网安全服务，这些服务不仅包含VPN，也包含防病毒、防网络黑客、防数据泄露、在线数据存储和分享等等。

二、负责任地使用电子邮件

网络犯罪分子和垃圾虫们在通过邮件帐户攻击最终用户方面越来越老道，恶意的信息窃贼总是尝试让邮件接收人通过种种方式来泄漏公司和个人信息，而这些，往往都在员工们所不知晓的情况下悄然地进行。

大量商业信息通过邮件发来发去，邮件诈骗事故屡见不鲜，为了保护重要的商业信息，您需要建议员工们：
在开启邮件附件或点击邮件内相关链接之前进行必要的判断，如果比较可疑，就不要开启。
特别小心.exe之类的可执行文件，因为在开启它们之后会立即执行恶意程序。
使用复杂的邮箱密码，以防止黑客侵入邮箱并且实施犯罪活动。

三、聪明地使用智能终端设备

IT设备变得越来越移动化和消费化，这使得员工们可以轻松地在私人设备上运行工作任务，高效率的同时也带来了一些安全问题，比如为攻击者开放了新的入侵大门，所以说智能手机和平板设备等便携式移动计算终端让数据安全的管理变得更加复杂。

我们需要制定和发布适当的自带计算设备BYOD策略，以便员工们能够知道在什么时候以及如何将他们的私人移动设备用于工作事务。移动计算安全策略应该包含针对智能终端的安全指引，比如密码锁定政策、公司支持的以及不允许用于工作的终端设备（型号）、应用程序安装及管理指南、安全事件报告流程、设备跟踪以及远程数据删除建议等等。

最后，我们要补充一下，即使能够做到上述三项，并非能够保障业务安全万无一失。不过话说回来，尽管安全专家们在安全事故之后往往会说安全防范是系统化的体系工作，这并没不仅仅是借口。人人都知道事后诸葛亮算不了什么，但是我们的确需要员工们拥有更多的防范技能，不过这需要给人们时间来吸收、理解和支持。