“合规运营只是信息安全的驱动力之一。”国家互联网信息办公室人事局一名不愿透露姓名的工作人员指出：“使用基于风险管理的方法来推动工作，才是将信息安全与公司治理及商业战略很好结合起来的不二法门。”

让我们来谈谈风险，导出不穷的信息安全事件，似乎不断提醒着人们，互联网不安全。同样，在公司范围内，安全管理团队也经常将风险挂在嘴边，不仅仅是赶时髦，而是在使用科学的方法，来平衡风险与收益，平衡安全与效率。

信息安全事件的层出不穷的背后真正原因是什么？

互联网发展迅猛，对传统商业模式、生活方式带来了彻底的改变，在巨大的挑战面前，我们很多组织都在不断探究着新的商业模式，以期借助灵活的商业模式和快速多变的运营方式，发现新的业务增长点、提高效率和提升竞争力。昆明亭长朗然科技有限公司信息安全咨询师董志军指出：在这个过程中，新的产品、新的服务会不断推出，风险当然也随之而来。风险管理实践的滞后，是信息安全事件导出不穷的根本原因之一。

企业应如何建立健全信息安全管理体系呢？

对于不同类型的组织机构，建立健全信息安全管理体系的方法是通用的，但是亦要考虑到合规因素。因为这不仅仅是一个市场的力量，比如一家国有控股集团与一家外企，在方法论上是类似的，但是在管理体系模型和框架的选择上，可以有不同的风险偏好。通常来讲，国企偏好使用等级保护准则，而外企偏好使用ISO等国际标准。

如何有效管理和降低安全风险呢？

关于如何识别、评估和应对安全风险，其实不用我来多说。董志军笑称：做信息安全管理工作的如果连这点基础理论都不了解，那真是混混了。关键的问题并不在于您懂不懂风险管理，而在于实践。与商业目标结合起来，尽我们的努力，使信息安全不再是商业拓展的绊脚石，而是促进商业的护佑队。

说到底，在参与新项目、新事业的过程中，我们要尽量避免拒绝任何事情，并把所有的事情作为基于风险的决定。这样相关的利益相关者才能根据我们给他们的信息做出实际决策，而不是他们期待我们批准或不予批准。这样，我们所持有的风险观点都保持不变，但是他们对风险的态度会因业务而有所不同。

对风险的应对，无非就是转移、接受、消除和降低，投资信息安全控制措施，来降低风险，显然是最为常见的做法。切记，纯技术不能解决风险问题，工作程序或流程亦不可少，另外，人永远是风险控制中的核心环节。如果人员缺乏有效的风险管理意识和思维，将会导致业务模式设计、系统架构和运营管理等方面从源头上就失去前瞻性考量，造成后期不断暴露出安全漏洞和风险。

如何让商业用户拥有风险意识？

在谈论商业目标和风险控管措施的投入产出之时，我们不仅仅要考虑到应该部署的软、硬件产品和解决方案，也应该知道如何通过投资于人员的风险意识来获得安全回报。董志军指出：在公司全体职员中建立风险意识和风险管理职责，是成本最低且最有效的风险管理措施。

风险意识是与人们的日常生活和工作息息相关的东西。美国哲学家和教育家杜威说：教育应该以生活为目的，在生活的情境里，透过生活去达成。自然，在日常生活和工作中来强化用户们的信息安全风险意识，是最为恰当的场所和做法。

对我们来说，对职场人员进行风险意识教育，非常重要的方法就是分享经验和讲故事。身边人的经验和故事，往往能够引起人们的共鸣，恰当使用这种方式，会让人们永远难以忘记。当然，讲故事和分享经验不仅需要有一个好的口才，更需要能够灵活把握受众的心理特点。

另外一种选择则是使用对话型或故事案例型的动画视频，权威调查表明，那种视觉的冲击、幽默的对话片断，会引发人们大笑，精心勾画的故事片，亦能让受众久久难以忘却，继而沉思信息安全和风险问题。

结语

信息安全事件影响的不只是业务运营的持续性和效率，更有财务上的损失以及声誉上的损害，进一步将影响到客户的安全感和对公司的信心。在信息安全是公司治理的一部分，应该使用风险管理的思维。不管是对商业决策层、安全管理层，还是普通职员，都应该拥有一定的信息安全风险意识。

员工的风险意识和思维，影响风险管理的成败与否。我们必须提高全员的信息安全风险意识和认知，将风险管理的重要性提升到公司生死存亡的高度。使用分享经验和讲故事的方法，借助对话型或故事案例型的动画视频，是提升员工的信息安全风险意识的好方法。

昆明亭长朗然科技有限公司专注于提升人员的信息安全与风险防范意识，我们推出了大量的对话型和故事型信息安全动画视频，欢迎有需要的或有兴趣的朋友联系我们，洽谈合作。

电话：0871-67122372

手机：18206751343

微信：18206751343

邮箱：[email protected]

QQ：1767022898

如果没有适当的实施员工意识和培训的政策、程序和工具，就根本无法实施有效的信息安全计划。这是因为，学习通常包含三个关键要素：

1.意识，用于激励和提醒学员（员工、受众），了解对他们的期望。
2.培训，用于教授技能或掌握所需工具的过程。
3.教育，是支持或作为职业发展过程所需的专门、深入的教学。

了解了学习的三个要素，方能理解人员在信息安全计划中所扮演的角色和作用，以及如何利用这些要素来建立意识计划，如何细分学员以及如何确保使用恰当的安全知识信息内容，如何能采取适当的手段有效地将信息内容传达给学员。

信息安全价值管理

信息安全相关政策、标准、流程和规则的开发仅仅是有效的信息安全计划的开始。如果没有适当的规章来确保员工了解他们对组织信息资产的权利和责任，那么再强大的安全体系结构将变得效率低下。

安全专家经常在实施“完美”的安全计划之后，很惊讶地发现竟然失败了，原因在于他们忘记了将安全控制产品或技术“售卖”给他们的用户。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：所有需要用户参与或者会影响到用户的安全管控产品或技术，都需要获得用户的理解和支持才能发挥预期的效力。因此，为了获得成功，信息安全专业人员必须找到一种将产品和技术“售卖”给用户的方法。

多年以来，信息安全专家们都自认为是企业的管理人员，希望部署更多安全管控设备，比如防病毒、防火墙管理、终端接入管理、上网行为管理、账户权限管理、补丁漏洞管理和入侵检测管理等等。殊不知，企业中几乎所有员工都是某种意义上的管理人员。员工们都会认为自己已经学会了工作所需要的知识，所有的“管理”工作都是在为组织增加价值，就像大的高管们的任务是确保实现企业的业务目标和使命一样。然而，信息安全专业人员没有做到的，也往往是最需要做的就是“售卖”信息安全服务。

信息安全专家们必须检查安全服务，例如风险分析、政策、流程、标准、漏洞评估和业务连续性计划等等，并确定每种服务如何支持业务目标。在提高效率之前，您需要评估团队提供的沟通服务，并对“售卖”策略进行管理。简单说，现在的用户“很难伺候”，安全专家们必须拿出安全控管的商业价值，方能让用户理解、接受并配合相关的安全控管。否则，用户们只需说一句“这破烂儿安全系统阻碍了业务的成功运作……”，就足以让信息安全专家们无言以对，进入退缩和懊悔的状态，进而让安全管控设备下线。

安全意识计划的首要目的便是将安全价值信息传达给人们。

安全计划的关键要素

机密性、完整性和可用性是信息安全的三要素，也是安全计划的驱动力。对于可用性而言，有效的信息安全计划致力于确保组织的信息及其处理资源在授权用户需要时可用。机密性和完整性的目标并不仅限于将坏人拒之门外。它们还可以确保有业务需求的人员可以访问执行其工作所需的资源。机密性可确保建立控制和报告机制，以快速、准确地检测问题或可能的入侵。

有效的安全计划必须考虑组织的业务目标和使命，并确保尽可能安全地实现这些目标。了解用户的需求是建立有效的信息安全计划的第一步。意识计划必须加强这些目标，只有这样，才能使安全计划更易为员工们所接受。

与安全政策、标准和流程一样重要的是安全计划的体系结构和支持安全计划的基础结构，不过，麻烦的问题是，在现实中，大多数员工并没有时间，也不希望阅读这些文档。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：这不见得完全是坏事儿，要从高高在上的战略目标和神圣使命，下沉到影响日常工作效率的安全控管细节和安全要求，需要将有进行有效拆解和关联的智慧与技艺。

信息安全计划有五个关键要素，必须展示给受众们，它们包括：

1.信息安全是业务流程的重要组成部分的概念
2.确定执行安全计划的人员的不同角色和职责
3.确定信息以及应用程序、系统和业务流程的安全敏感性
4.实施基本的安全概念例如职责分离、需要了解和最小特权原则的业务原因
5.高级管理层对信息安全计划目标的支持

安全意识计划的次要目的便是将安全计划之关键要素传达给人们。

行动起来推动安全计划

在开始向同事们“售卖”信息安全之前，您得先将其出售给自己和高管，然后才能推及用户。

首先，您需要说服自己，所做的事情会为组织增值。在谈及有关信息安全问题的课程时，我总是要求安全专业人员完成一件事，以帮助组织实现其业务目标或使命。这就是应以非安全、非技术、非审计的术语，使用业务部门经理听得懂的语言来表达信息安全价值声明。

其次，许多信息安全专业人员直接或间接地向被执行者（受安全控管措施影响的人员）展开营销，这会引起员工们的抵触，就如同他们收到了垃圾邮件或骚扰电话一样。正确的方式是通过高管（如首席执行官、首席财务官、首席信息官、首席安全官等）来失去。这样，才更有其“合法性”和“权威性”，因为员工们相信高管们的要求是支持组织的业务目标和使命的。

然后，确保用户们及时、有效地访问信息安全服务资源，告知受众您是如何在帮助他们安全地完成自己的工作。如同您应对管理层那样，您也必须将这些安全服务以用户们能理解的语言呈现出来。切记：安全要求或审核要求不是业务流程的一部分，只有业务目标或任务要求才是。因此，当我们在提供信息安全服务时，必须使用管理层使用的术语。

安全意识计划的第三目的便是将安全要求以人们懂的语言传达给人们。

总结语

信息安全的目标必须服务于业务目标，信息安全不是闭门造车搞技术控制，而是为了保护信息资产的管理活动，不管是从信息安全价值管理、目标管理还是过程管理来讲，信息安全意识计划都必不可少。本文是指导性的论述，如果您对我们的观点有看法，欢迎不要客气地联系我们。昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构强化信息安全意识沟通，我们有大量的信息安全意识宣教素材资源，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务方面的合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898