不少信息安全管理策略都要求员工离开位子时，退出登录，或者锁住电脑屏幕，以防被他人非授权使用。

这项信息安全政策历史悠久，在工作站安全领域或办公室安全领域，它几乎成了继安装防病毒软件和安全补丁之后的一大安全常识。然而，这么基础的信息安全实践，仍然不被多数中国的组织机构所严格遵守。昆明亭长朗然科技有限公司信息安全管理体系观察员董志军说:我们探访过许多“离位不锁屏”的国内组织机构，他们却在积极布置双因子身份验证、或者购买入侵渗透测试服务。

诚然，在信息安全技术应用方面，我们一直在紧追世界领先水平，然而，在安全管理方面，我们却落后世界一大截。这种“重技术产品、轻管理实践”的现状是如何形成的呢?亭长朗然公司董志军表示:这同国内客户的信息安全消费观念有关，传统上，大家觉得有套网络安全系统，特别是硬件设备，摆在数据中心或机房那儿，才是安全。其实，这不仅只是面子工程的需要，更是一种无知的体现。而早期的网络安全厂商，更是多强调产品的硬件性能，而忽略产品的使用配置和日常运维，因为客户往往更愿意买设备，而不是买服务。最终形成了一种错误的观念:人们认为保障安全，就得上设备，而以往的旧设备是保障不了新形势下的安全需要的。

大型互联网厂商如BAT等将信息安全领域内的专业技能人才挖去了不少，这是一批懂得信息安全真理的精英。在互联网竞争日益激烈的态势下，这批精英人物根本不理会传统网络安全厂商的那套做法，相反，他们更多强调的是在互联网产品中内嵌安全功能，产品安全了，才能有更好的市场竞争力，而其它厂商的东西根本不能或者很少能够符合自家的商业环境。

说到底，无论是乙方厂商，还是互联网大腕，都没有多少从业人员会真正关心信息安全管理实践。而这两部分人群，往往是业界人肪较广、影响力较大的，他们的过于重视技术，而忽略管理的片面言论和行动，无疑给整个产业带来大量的负面影响，让广大客户被误导。

难道业界就没有中立的信息安全观点了吗?亭长朗然公司董志军说:在利益圈子内的人的话不可全信，但至少可以综合听取一些不同的声音，比如听技术人员谈管理，听管理人员谈技术。听一听专注于信息安全管理咨询的厂商，以及培训教育的厂商，看他们如何看待信息安全技术与管理的关系。

很多大型机构，“电脑开着，人却不见了”的情形比比皆是，他们的网络信息安全能够固弱金汤吗?他们是国家的一个个细胞单位，国家网络能够安全吗?为什么在这种情况下，传统的网络安全厂商不去提醒他们的客户改进这一点呢?因为这不符合他们的利益，这是一群自私的家伙们，口口声声说要保障客户的信息安全，却对这么严重的安全事故视而不见。因为他们知道，如果透露了这个信息安全管理问题的严重性，真正的根源被找了来了，信息安全问题获得解决了，自己的财路同时也断了。

类似的情况也是如此，很多机构一直拼命卖设备，而不帮助客户用好设备，就是怕客户的设备使用好了之后，抵御了大多数的攻击，就对购买新设备不再有兴趣了。而在甲方，不少信息安全人员也是混饭吃的，不去研究如何好好利用现在的信息安全基础设施，而总是想着借新项目的机会捞取个人好处，这是多么悲哀的一件事儿啊!

当然，我们不能要求所有的安全从业人员都是活雷锋，很多情况下，信息安全人员或无奈，或坦然，或自保，或力争……无论如何，都是在生活、工作压力之下拼打在这世界中。其实，当我们看到组织内的其他人、甲方客户、或其他的组织机构中有“电脑开着，人却不见了”的现象时，我们只需动动嘴皮子，委婉地劝说一下。这样，既积累了信息安全功德，赢得了他人的理解和信赖，更是一份信息安全从业者的良心和尊严。

在昆明亭长朗然科技公司的不断坚持下，不少客户已经走出一个误区，开始对信息安全服务变得越来越接受，而国家的产业政策也支持购买服务。也有不少客户开始强化对员工的桌面安全检查，锁屏成为一项关键的检查点。这虽然是我们的一小步，但却也是提升民族信息安全管理水平的一大步。接下来，我们相信信息安全产业的巨变将要来临，您准备好了吗?如果您还不大明白为什么不能“电脑开着，人却不见了”，或者明白这个道理，却不知如何向他人讲解，那您都需要学习一下我们的信息安全管理基础课程！这门培训课程是公开的，当然出于知识产权保护的原因，我们有在视频中加入公司的LOGO。如果您有需要使用其中的内容，特别是对中层管理人员进行信息安全意识方面的培训需求，这个课程中的内容还是很适合的。欢迎您联系我们洽谈采购。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898

如果没有适当的实施员工意识和培训的政策、程序和工具，就根本无法实施有效的信息安全计划。这是因为，学习通常包含三个关键要素：

1.意识，用于激励和提醒学员（员工、受众），了解对他们的期望。
2.培训，用于教授技能或掌握所需工具的过程。
3.教育，是支持或作为职业发展过程所需的专门、深入的教学。

了解了学习的三个要素，方能理解人员在信息安全计划中所扮演的角色和作用，以及如何利用这些要素来建立意识计划，如何细分学员以及如何确保使用恰当的安全知识信息内容，如何能采取适当的手段有效地将信息内容传达给学员。

信息安全价值管理

信息安全相关政策、标准、流程和规则的开发仅仅是有效的信息安全计划的开始。如果没有适当的规章来确保员工了解他们对组织信息资产的权利和责任，那么再强大的安全体系结构将变得效率低下。

安全专家经常在实施“完美”的安全计划之后，很惊讶地发现竟然失败了，原因在于他们忘记了将安全控制产品或技术“售卖”给他们的用户。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：所有需要用户参与或者会影响到用户的安全管控产品或技术，都需要获得用户的理解和支持才能发挥预期的效力。因此，为了获得成功，信息安全专业人员必须找到一种将产品和技术“售卖”给用户的方法。

多年以来，信息安全专家们都自认为是企业的管理人员，希望部署更多安全管控设备，比如防病毒、防火墙管理、终端接入管理、上网行为管理、账户权限管理、补丁漏洞管理和入侵检测管理等等。殊不知，企业中几乎所有员工都是某种意义上的管理人员。员工们都会认为自己已经学会了工作所需要的知识，所有的“管理”工作都是在为组织增加价值，就像大的高管们的任务是确保实现企业的业务目标和使命一样。然而，信息安全专业人员没有做到的，也往往是最需要做的就是“售卖”信息安全服务。

信息安全专家们必须检查安全服务，例如风险分析、政策、流程、标准、漏洞评估和业务连续性计划等等，并确定每种服务如何支持业务目标。在提高效率之前，您需要评估团队提供的沟通服务，并对“售卖”策略进行管理。简单说，现在的用户“很难伺候”，安全专家们必须拿出安全控管的商业价值，方能让用户理解、接受并配合相关的安全控管。否则，用户们只需说一句“这破烂儿安全系统阻碍了业务的成功运作……”，就足以让信息安全专家们无言以对，进入退缩和懊悔的状态，进而让安全管控设备下线。

安全意识计划的首要目的便是将安全价值信息传达给人们。

安全计划的关键要素

机密性、完整性和可用性是信息安全的三要素，也是安全计划的驱动力。对于可用性而言，有效的信息安全计划致力于确保组织的信息及其处理资源在授权用户需要时可用。机密性和完整性的目标并不仅限于将坏人拒之门外。它们还可以确保有业务需求的人员可以访问执行其工作所需的资源。机密性可确保建立控制和报告机制，以快速、准确地检测问题或可能的入侵。

有效的安全计划必须考虑组织的业务目标和使命，并确保尽可能安全地实现这些目标。了解用户的需求是建立有效的信息安全计划的第一步。意识计划必须加强这些目标，只有这样，才能使安全计划更易为员工们所接受。

与安全政策、标准和流程一样重要的是安全计划的体系结构和支持安全计划的基础结构，不过，麻烦的问题是，在现实中，大多数员工并没有时间，也不希望阅读这些文档。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：这不见得完全是坏事儿，要从高高在上的战略目标和神圣使命，下沉到影响日常工作效率的安全控管细节和安全要求，需要将有进行有效拆解和关联的智慧与技艺。

信息安全计划有五个关键要素，必须展示给受众们，它们包括：

1.信息安全是业务流程的重要组成部分的概念
2.确定执行安全计划的人员的不同角色和职责
3.确定信息以及应用程序、系统和业务流程的安全敏感性
4.实施基本的安全概念例如职责分离、需要了解和最小特权原则的业务原因
5.高级管理层对信息安全计划目标的支持

安全意识计划的次要目的便是将安全计划之关键要素传达给人们。

行动起来推动安全计划

在开始向同事们“售卖”信息安全之前，您得先将其出售给自己和高管，然后才能推及用户。

首先，您需要说服自己，所做的事情会为组织增值。在谈及有关信息安全问题的课程时，我总是要求安全专业人员完成一件事，以帮助组织实现其业务目标或使命。这就是应以非安全、非技术、非审计的术语，使用业务部门经理听得懂的语言来表达信息安全价值声明。

其次，许多信息安全专业人员直接或间接地向被执行者（受安全控管措施影响的人员）展开营销，这会引起员工们的抵触，就如同他们收到了垃圾邮件或骚扰电话一样。正确的方式是通过高管（如首席执行官、首席财务官、首席信息官、首席安全官等）来失去。这样，才更有其“合法性”和“权威性”，因为员工们相信高管们的要求是支持组织的业务目标和使命的。

然后，确保用户们及时、有效地访问信息安全服务资源，告知受众您是如何在帮助他们安全地完成自己的工作。如同您应对管理层那样，您也必须将这些安全服务以用户们能理解的语言呈现出来。切记：安全要求或审核要求不是业务流程的一部分，只有业务目标或任务要求才是。因此，当我们在提供信息安全服务时，必须使用管理层使用的术语。

安全意识计划的第三目的便是将安全要求以人们懂的语言传达给人们。

总结语

信息安全的目标必须服务于业务目标，信息安全不是闭门造车搞技术控制，而是为了保护信息资产的管理活动，不管是从信息安全价值管理、目标管理还是过程管理来讲，信息安全意识计划都必不可少。本文是指导性的论述，如果您对我们的观点有看法，欢迎不要客气地联系我们。昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构强化信息安全意识沟通，我们有大量的信息安全意识宣教素材资源，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务方面的合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898