如果没有适当的实施员工意识和培训的政策、程序和工具，就根本无法实施有效的信息安全计划。这是因为，学习通常包含三个关键要素：

1.意识，用于激励和提醒学员（员工、受众），了解对他们的期望。
2.培训，用于教授技能或掌握所需工具的过程。
3.教育，是支持或作为职业发展过程所需的专门、深入的教学。

了解了学习的三个要素，方能理解人员在信息安全计划中所扮演的角色和作用，以及如何利用这些要素来建立意识计划，如何细分学员以及如何确保使用恰当的安全知识信息内容，如何能采取适当的手段有效地将信息内容传达给学员。

信息安全价值管理

信息安全相关政策、标准、流程和规则的开发仅仅是有效的信息安全计划的开始。如果没有适当的规章来确保员工了解他们对组织信息资产的权利和责任，那么再强大的安全体系结构将变得效率低下。

安全专家经常在实施“完美”的安全计划之后，很惊讶地发现竟然失败了，原因在于他们忘记了将安全控制产品或技术“售卖”给他们的用户。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：所有需要用户参与或者会影响到用户的安全管控产品或技术，都需要获得用户的理解和支持才能发挥预期的效力。因此，为了获得成功，信息安全专业人员必须找到一种将产品和技术“售卖”给用户的方法。

多年以来，信息安全专家们都自认为是企业的管理人员，希望部署更多安全管控设备，比如防病毒、防火墙管理、终端接入管理、上网行为管理、账户权限管理、补丁漏洞管理和入侵检测管理等等。殊不知，企业中几乎所有员工都是某种意义上的管理人员。员工们都会认为自己已经学会了工作所需要的知识，所有的“管理”工作都是在为组织增加价值，就像大的高管们的任务是确保实现企业的业务目标和使命一样。然而，信息安全专业人员没有做到的，也往往是最需要做的就是“售卖”信息安全服务。

信息安全专家们必须检查安全服务，例如风险分析、政策、流程、标准、漏洞评估和业务连续性计划等等，并确定每种服务如何支持业务目标。在提高效率之前，您需要评估团队提供的沟通服务，并对“售卖”策略进行管理。简单说，现在的用户“很难伺候”，安全专家们必须拿出安全控管的商业价值，方能让用户理解、接受并配合相关的安全控管。否则，用户们只需说一句“这破烂儿安全系统阻碍了业务的成功运作……”，就足以让信息安全专家们无言以对，进入退缩和懊悔的状态，进而让安全管控设备下线。

安全意识计划的首要目的便是将安全价值信息传达给人们。

安全计划的关键要素

机密性、完整性和可用性是信息安全的三要素，也是安全计划的驱动力。对于可用性而言，有效的信息安全计划致力于确保组织的信息及其处理资源在授权用户需要时可用。机密性和完整性的目标并不仅限于将坏人拒之门外。它们还可以确保有业务需求的人员可以访问执行其工作所需的资源。机密性可确保建立控制和报告机制，以快速、准确地检测问题或可能的入侵。

有效的安全计划必须考虑组织的业务目标和使命，并确保尽可能安全地实现这些目标。了解用户的需求是建立有效的信息安全计划的第一步。意识计划必须加强这些目标，只有这样，才能使安全计划更易为员工们所接受。

与安全政策、标准和流程一样重要的是安全计划的体系结构和支持安全计划的基础结构，不过，麻烦的问题是，在现实中，大多数员工并没有时间，也不希望阅读这些文档。对此，昆明亭长朗然科技有限公司信息安全管理体系实施顾问专员董志军说：这不见得完全是坏事儿，要从高高在上的战略目标和神圣使命，下沉到影响日常工作效率的安全控管细节和安全要求，需要将有进行有效拆解和关联的智慧与技艺。

信息安全计划有五个关键要素，必须展示给受众们，它们包括：

1.信息安全是业务流程的重要组成部分的概念
2.确定执行安全计划的人员的不同角色和职责
3.确定信息以及应用程序、系统和业务流程的安全敏感性
4.实施基本的安全概念例如职责分离、需要了解和最小特权原则的业务原因
5.高级管理层对信息安全计划目标的支持

安全意识计划的次要目的便是将安全计划之关键要素传达给人们。

行动起来推动安全计划

在开始向同事们“售卖”信息安全之前，您得先将其出售给自己和高管，然后才能推及用户。

首先，您需要说服自己，所做的事情会为组织增值。在谈及有关信息安全问题的课程时，我总是要求安全专业人员完成一件事，以帮助组织实现其业务目标或使命。这就是应以非安全、非技术、非审计的术语，使用业务部门经理听得懂的语言来表达信息安全价值声明。

其次，许多信息安全专业人员直接或间接地向被执行者（受安全控管措施影响的人员）展开营销，这会引起员工们的抵触，就如同他们收到了垃圾邮件或骚扰电话一样。正确的方式是通过高管（如首席执行官、首席财务官、首席信息官、首席安全官等）来失去。这样，才更有其“合法性”和“权威性”，因为员工们相信高管们的要求是支持组织的业务目标和使命的。

然后，确保用户们及时、有效地访问信息安全服务资源，告知受众您是如何在帮助他们安全地完成自己的工作。如同您应对管理层那样，您也必须将这些安全服务以用户们能理解的语言呈现出来。切记：安全要求或审核要求不是业务流程的一部分，只有业务目标或任务要求才是。因此，当我们在提供信息安全服务时，必须使用管理层使用的术语。

安全意识计划的第三目的便是将安全要求以人们懂的语言传达给人们。

总结语

信息安全的目标必须服务于业务目标，信息安全不是闭门造车搞技术控制，而是为了保护信息资产的管理活动，不管是从信息安全价值管理、目标管理还是过程管理来讲，信息安全意识计划都必不可少。本文是指导性的论述，如果您对我们的观点有看法，欢迎不要客气地联系我们。昆明亭长朗然科技有限公司多年来专注于帮助各类型的组织机构强化信息安全意识沟通，我们有大量的信息安全意识宣教素材资源，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务方面的合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

全员信息安全培训的重要性

随着越来越多的数据泄露和黑客事件成为头条热点新闻，越来越多的组织机构开始投入时间和人力研究组织的所面临的威胁、脆弱性、以及可承受的风险级别，在越来越信息化的今天，这一点对于所有组织的成功都至关重要。尽管安全技术专员们可以设置各种方式的安全系统来保护组织机构，但是一项不可忽视的事实是，许多攻击针对的是组织机构最脆弱的地方——员工。因此，对于每家组织而言，了解如何提升员工们的信息安全意识至关重要。如下，昆明亭长朗然科技有限公司信息安全意识宣教创新专员董志军将将向您分享一些信息安全意识宣教方面的技巧和实践，以便帮助各类型的组织机构提升员工们对信息安全的认知，进而建立健全人员安全行为防火墙。

一、保障足够的安全意识资金

巧妇难以无米之炊，保障信息安全，需要了解的最重要概念之一是这是一项长期持续性的工作。新型攻击会每月（甚至每天）都会发生，应对这些攻击采取的防护措施不能仅限于每年一次的培训。如果您每年仅更新一次计算机操作系统和应用软件（修复安全漏洞），那么安全将是一场噩梦。 针对人员的安全意识也是如此。

我们应该将人员安全意识培训视为修补程序。对此，董志军说：“员工亦是组织机构中最重要的资产，需要我们不断对其进行安全投资。如果贵司的员工没有得到及时和持续的安全修补，那么总是会遇到安全漏洞的。”安全培训管理负责人员需要采取多种方法来使用户们随时了解最新的安全态势以及如何应对安全事件。这就需要转变一些观念，不要以为从网络上找一些公开的培训素材转发给员工们就可以了，要让安全意识系统化全面化，不涉嫌侵犯知识产权，花钱采购商业化的内容服务才是硬道理。

二、获得高层对安全意识的支持

在组织中，变革需要从顶部进行。就像所有数字化转型项目一样，如果您找不到一个愿意为自己想做的事情撑腰的拥护者或赞助者，那将是一场艰苦的战斗。实践证明，从下至上实施一项工作所需的工时和费用是巨大的，尤其是安全意识培训计划，从上至上推进信息安全意识工作才是最佳实践标准。

在为员工进行定期的安全意识培训提供依据时，安全管理者需要以高管所能理解的术语与他们交谈。数据泄露是很常见的事情，并且不乏新闻报道涉及对各类型组织机构的危害，如果防范不足，谁都很难幸运避免。如果您正在寻找高管人员的支持，那么需要非常清楚地了解数据泄露和其他网络攻击如何影响生存和发展的底线。安全事件带来的损失比大多数人想象的要大得多，使用一些数字可以使事情变得更切实和易于理解。

三、将安全意识列为优先事项

即使您知道趋势和发展方向，也很难掌握准确的数据泄露事故。尤其是很多组织机构遭遇网络入侵或数据泄露后根本就不愿意进行披露。向团队传达信息安全意识的一种方法是定期分享网络安全新闻。然而更令人震惊的是，大多数网络安全事故在媒体上报道得很少。尽管如此，稍稍用心，仍然能够通过媒体找寻到这样的信息，即每个人都需要在日常工作中考虑到信息安全。

不必要给用户们过多的安全消息来源，否则人们可能没时间去浏览，进而将它们全部忽略。取而代之的是考虑将“新闻中的信息安全”添加到您已经发出的电子邮件或报告中，或者在签名中包含一些可以连续更新的链接。

四、精心挑选安全意识内容资源

不同的组织机构在不同的阶段面临的网络安全威胁也有差异，员工们的安全意识水准和信息安全意识管理体系建设阶段也密切相关。如果从来没有实施过大规模的信息安全意识培训活动，则应该从基础浅显的入门安全知识普及开始；如果已经连接开展了几年，则应该查漏补缺，在保持安全意识刷新的同时，更进一步进行安全意识提升。除了针对全员的大规模信息安全意识培训外，针对新员工的入职培训也是重要的一部分，应该是从一开始就将其纳入整体的信息安全培训流程。

在内容的选择方面，在大规模安全意识培训活动中注意知识体系的全面性，在特定主题的培训活动中注意内容的精确和深度。比如密码安全、网络钓鱼和社会工程学攻击等等，从新员工入职起，就需要涵盖所有这些内容。最关键的是，要确保受众遵守规则，不能仅仅提出要求，还需要向其解释解释为什么这些最佳做法如此重要，也就是为什么要有这些需求。比如，我们想要向员工们在需要帮助时可以求助，就需要提供相应的资源。因此请确保我们正在创建鼓励分享安全信息和经验的工作环境，并避免有人试图掩盖自己的错误并使危险事件变得更糟的情况。

五、检验和改进安全意识培训

如果我们没有给员工们提供在实际环境中进行实践的机会，他们就无法将自己新获得的技能付诸实践。同样，我们不能期望只建立正确的信息安全习惯，而不使他们将这些安全概念付诸实践甚至从错误中吸取教训。“实践是检验真理的唯一标准。”我们要检验信息安全意识宣教培训的效果，就需要和员工们的实际安全行为结合起来，观察和现场考量是最为科学的手段。

无论是使用外部供应商还是通过内部的安全部门来运营，通过“现场模拟”和“桌面清洁检查”等活动，来测试组织内部人员的安全意识和行为，找出存在的问题，为持续改进信息安全意识培训提供重要的输入根据。有的员工可能了解识别网络钓鱼或社会工程学攻击的原理，有的可能就会上当受骗。就像进行消防演习一样，进行常规的模拟钓鱼攻击将帮助员工们从错误中学习。当然，安全管理者也将获得有关组织中最需要改进的地方的数据，从而帮助调整安全意识计划，优化将来的培训课程。人们都讨厌两次掉入同一个陷阱，因此一次成功的模拟攻击可以让人们真正了解到为什么信息安全是如此重要。

总之，搞信息安全意识宣教培训活动，需要一定的预算，需要高层的支持，需要安全管理团队的重视，需要借力外部专业资源，也需要进行衡量和持续改进。虽然看起来需要的资源较多，不过实施起来，信息安全从业者往往会有超出意料的收获。昆明亭长朗然科技有限公司，专注于帮助各类型组织机构建立针对全员的信息安全意识培训体系，欢迎有兴趣和有需要的客户及行业合作伙伴联系我们，洽谈培训系统和课程内容资源的合作。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898