不能否认的是大量的终端计算用户执掌着各类关键数据的安全使用，这远超过信息中心的IT安全经理和下属员工们所能想象，所以这不是任何中央集权式的数据管理管理系统所能覆盖和保护到的。

信息化不得不让这些最终用户访问和使用这些关键的业务数据，即使在终端和大型机时代也是如此，这并不是数据安全管理方面的无奈，而消费类终端计算设备的普及更让业务数据变得无处不在。

信息安全总监和经理们的担子不轻啊，控管安全网关门户和内部安全管理系统往往被视为基础架构安全的一部分，强化各类应用平台和数据库安全无疑是在信息安全管理上前进了一大步，而最终用户端，看似简易，却无疑是信息安全获得成功的“最后一公里”。

如何确保最终用户能够保障其所访问和使用的关键数据呢？昆明亭长朗然科技有限公司James Dong说：建立内部集中式的安全管理系统，比如网络防病毒、补丁系统、信息资产管理和各类终端安全控管系统都有所帮助，但是并不足够，关键的问题在于终端系统的使用主角，即最终用户的安全水平需要得到相应的提升。

在早期的微机时代，信息数据的安全和存储介质密不可分，当年承担数据安全大任的3.5寸1.44M的软盘如今都已经成为进入了博物馆。今天也有一个怪异的现象是很多电脑带有DVD驱动器，即使DVD的容量已经远超3.5寸软盘，但人们已经很少使用它们。因为免费的线上存储都已经有了几个G，而且U盘之类的USB存储已经掉到白菜价。

您是否准备将所有计算终端的USB口都给封了呢？还是准备禁用所有的USB设备进入工作区域？如果在组织内部没有这么强大推动力量，您应该不能过于信任不管哪款终端安全管理工具。

因为数据失窃的渠道除了网络，还有USB设备，更有员工的手机和嘴巴。U盘的丢失或“借用”不是个案，USB设备如智能手机和平板电脑更是大量数据的载体，不封U口，不拿到USB芯片，重要的信息数据就这么分散。

给USB设备中的数据加密是个不错的方案，要让您的员工接受加密的理念，并且会使用加解密方案。

不说运营商和窃听器相中了您公司员工的手机，路人或许都会对电话中所谈的内容感兴趣，您没办法让员工在“指定时间和指定地点”谈论工作事务，您也没办法不让使用移动电话，能做什么呢？教育最终用户通过手机讨论机密信息时注意周边环境，防止窃听呢。

除去通过网络入侵的家伙们，也不USB设备，那些利用社交工程学方法进行电话诈骗的家伙们，冒充公检法、或者客户或者供应商，或拿出利益诱饵，几句话或一个钓鱼附件就放倒了您公司的员工，让其交出关键的信息数据。如何应对？教育员工如何识别和防范社交工程攻击啊。

您公司的员工偶尔也会出差吧？路途中处理紧急事务被周边人偷看了屏幕，或被窃取了笔记本电脑，那您公司的信息数据不一起也丢了吗？应该怎么办？告知员工如何保障在差旅时保障信息安全的最佳实践吧。

您公司的信息数据会随着计算终端到处跑，也会随着员工到处跑，不能囚禁这些数据、终端设备和员工，只能强化安全控管措施和加强对员工们进行足够的信息安全意识教育。

在信息技术飞速发展的今天，信息安全已经成为了关乎国家、企业和个人的重要议题。古希腊哲学家亚里士多德关于人性的洞见，为我们思考现代信息安全管理提供了深刻的启示。他说：”人一旦趋于完善就是最优良的动物，人一旦脱离了法律和公正就会堕落成最恶劣的动物。”这段话揭示了人性的两面性，以及制度和道德对于规范人类行为的重要性。对此，昆明亭长朗然科技有限公司信息安全管理主任董志军表示：信息安全管理和社会治理有很多相通性，将哲学家的这一思想映射到信息安全领域，我们可以深入探讨安全制度、实践和意识在整个信息安全管理体系中的核心地位。

安全意识：信息安全管理的基石

信息安全管理本质上是对”人”的管理。技术手段固然重要，但最终还是要落实到人的行为上。优秀的安全意识能够让组织成员主动遵守安全规章，践行安全最佳实践；反之，薄弱的安全意识则可能导致组织面临各种安全威胁。正如亚里士多德所言，人需要法律和公正的引导才能趋于完善，信息安全管理同样需要制度规范和最佳实践的双重保障。

制度规范：信息安全的”法律”基础

信息安全规章制度就像是组织的”法律”，为员工的行为提供明确的指引和约束：

1. 制度的全面性：需要覆盖物理安全、网络安全、数据安全、人员安全等各个方面，形成完整的制度体系。
2. 制度的强制性：通过明确的奖惩机制，确保制度得到切实执行。
3. 制度的适应性：随着技术发展和威胁形势的变化，及时更新调整制度内容。

然而，仅有制度是不够的。如果员工缺乏安全意识，即使有再完善的制度也可能形同虚设。这就需要通过安全意识培训，让员工真正理解并认同这些制度的价值。

最佳实践：信息安全的”正义”引导

信息安全最佳实践可以理解为行业积累的经验智慧，是对”正确做事”的指导：

1. 技术层面的最佳实践：如密码管理、访问控制、漏洞修复等操作规范。
2. 管理层面的最佳实践：如风险评估、应急响应、持续改进等管理方法。
3. 行为层面的最佳实践：如社会工程防范、个人信息保护等行为准则。

最佳实践的实施同样依赖于员工的安全意识。只有当员工真正理解这些实践的重要性，才能在日常工作中自觉遵循。

安全意识建设的系统方法

要提升组织的整体安全意识，需要采取系统化的方法：

1. 培训教育常态化

• 定期开展安全意识培训，覆盖所有员工
• 根据不同岗位设计针对性的培训内容
• 采用案例教学、情景模拟等多样化培训方式
• 建立培训效果评估机制

2. 文化氛围营造

• 树立安全责任人员的典型
• 开展安全主题活动
• 建立安全问题反馈渠道
• 营造人人关注安全的氛围

3. 考核激励机制

• 将安全意识表现纳入绩效考核
• 设立安全贡献奖励制度
• 对违规行为进行问责
• 建立安全事件追溯机制

安全意识建设面临的挑战

在推进安全意识建设的过程中，常见以下挑战：

1. 认知偏差：部分员工可能认为安全事件”不会发生在自己身上”，导致麻痹大意。
2. 便利性与安全性的矛盾：严格的安全要求可能影响工作效率，引发员工抵触情绪。
3. 培训效果难以量化：安全意识的提升往往难以通过具体指标衡量。
4. 持续性问题：安全意识需要长期维护，但容易随时间推移而淡化。

应对策略与建议

针对上述挑战，可采取以下策略：

1. 强化风险教育：通过真实案例展示安全事件的危害，提升警惕意识。
2. 优化安全措施：在保证安全的前提下，尽可能简化操作流程，提高用户体验。
3. 建立评估体系：设计科学的评估方法，定期测试员工的安全意识水平。
4. 创新培训方式：采用游戏化、竞赛等形式，提高员工参与积极性。

结语

回到亚里士多德的观点，人性既有向善的潜质，也有向恶的可能。在信息安全管理中，我们需要通过制度规范和最佳实践的双重保障，引导和规范人的行为。而安全意识建设则是连接这两个方面的关键纽带，它能够让员工主动遵守制度、践行最佳实践，从而实现组织整体安全水平的提升。

因此，加强安全意识建设不仅是信息安全管理的重要组成部分，更是确保整个安全管理体系有效运转的基础保障。只有将安全意识真正植入每个员工的心中，让其成为自觉自愿的行为准则，才能构建起牢固的信息安全防线，实现组织的可持续安全发展。

作为信息安全管理者，我们要充分认识到安全意识建设的重要性，采取系统化的方法，持续不断地推进相关工作。同时，也要善于创新，不断探索更有效的意识培养方式，让安全文化真正成为组织的核心竞争力之一。

专注于安全意识服务的昆明亭长朗然科技有限公司创作了海量的安全意识培训内容资源，同时不断地推出新内容，并且提供量身定制的安全教育内容生产服务。

我们有千余部计算机网络安全、数据安全、个人信息保护、保密以及合规相关主题的动画视频，以供客户按需求进行适用性的选择。欢迎有兴趣的朋友联系我们，预览我们的产品作品，体验我们的在线系统。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com