旨在保障安全的信息技术要比有史以来的任何时候都要先进，与此同时网络安全事件的数量也在不断地创造历史上的新高，如何解释这种悖论呢？昆明亭长朗然科技有限公司安全宣教专员董志军表示：原因其实很简单，人为因素。在国家宏观层面，网络安全靠人民，在单位微观层面，网络安全靠职员，这个道理前些年被安全技术专员们不屑，但最近几年，由于人为因素所直接导致的安全事件高达65％，于是重视员工的安全意识，防止人为错误几乎取得了业界人员的高度认可。

如何应对人为因素造成的网络安全事件呢？在昆明亭长朗然科技有限公司，我们开发了修复“人为错误”的安全意识课程以及安全培训平台，因为对于我们来说重要的是，人员在当今的业务安全环境中扮演着越来越重要的成分。

同时，我们认识到：如果员工们不了解或不认同工作环境中围绕他们的众多安全问题；不了解保障信息安全性的最佳做法；不知道安全事件发生时如何正确应对，那么即使是再好的安全技术平台也将没有办法发挥价值。

在我们以前的博客文章中，我们多次写过如何让员工们成为安全大使、安全达人，并谈到了赋予他们参与安全行动的能力，我们也提到一些建立信息安全意识计划的指导性方法。随着时代的演进，我们需要再进行一些回顾和更新，温故而知新，以融入时代精神，在安全意识宣教领域，不断突破和创新。

废话少说，让我们给您一些有关如何在组织中设置安全意识计划的实用指导。目标是停止将安全性视为由专业人员处理的一系列一次性事件或活动（通常是在事件发生后对事件做出反应），并建立一种积极主动的普遍文化，使员工可以识别安全风险并自行采取措施或酌情升级上报。

构建安全知识库

我们要创建一批员工们需要知道的安全知识库，并在他们需要有关安全问题的信息时进行查询。具体内容可以包含与安全相关的标准、政策和程序。

记得，知识库的建立和完善是一个永远在路上的工作，所以不要等到有了完整的指南后再使用它，否则您将永远不会发布任何东西。从您拥有的内容开始，并在进行过程中不断添加信息。如果有方法可以审查和批准内容的准确性和适当性，您甚至可以鼓励员工提供材料，或者外购通用知识库进行匹配性适用性修改。

我们建议您以电子书或百科的形式发布，因为这些形式比纸质指南更容易更新。如果您决定使用百科，那么员工也可以轻松提交内容。使“知识”易于访问的关键是建立良好的导航和可用性帮助，以及主题关联、链接和详尽的索引。

核心的知识内容应包括：

日常安全实践的最佳做法：包括有关密码安全、桌面清洁、软件下载和安装、个人设备使用、远程工作等主题的政策和最佳做法。

例如，如果某个员工想知道如何下载和安装新软件，请告诉他们如何确保该软件是合法的，如果有需要，可以向谁寻求软件安装许可。

关键联系人：包括紧急事件响应小组成员的姓名和联系方式，以及有关联系时间的指导。

与安全相关的政策和程序，包括安全政策、标准、指导和作业流程，如桌面安全检查标准、差旅安全自查清单、计算机上线安全指南等等。

常见问题解答：提供有关最重要和最常见的安全问题的信息，并提供详细讨论的链接。

设置实时安全沟通

安全“知识库”是不断发展的参考性信息，我们还需要使用各种内部沟通工具以建立更多理解和互信，安全部门“自言自语”肯定不是我们想要的结果。我们建议建立和优化两个沟通渠道：一个用于使员工与可以快速回答安全相关问题的人员保持联系；另一个致力于需要升级的紧急安全问题。

很多机构都有IT服务管理渠道，可以将安全问题用户入口纳入到IT帮助台（呼叫中心）职能内，将紧急安全问题的应对转移到专业安全技术人员。这样，即提高了快速解决安全问题的效率，又能让员工们随时得到一般安全性疑问的解答。

安全意识培训活动

安全“知识库”和沟通渠道是安全意识基础架构的关键部分，此外，我们还需要使用更多动态且引人入胜的方法来将重要安全认知推给员工们。

普通员工不想参加有关信息安全的讲座，特别是80后90后，与其建立沟通和信任的好方法是使用线上培训和线下活动。

培训活动可以涵盖了一系列的安全意识主题，使用模拟场景效果最好，可以在模拟场景中进行演示，这样可能会更有帮助。一切活动都是为了使其变得更加真实和吸引人，这样员工们就越有可能吸取教训并将其应用到实际工作之中。

这些安全意识培训活动的真正价值在于营造开放式交流的文化。对些，昆明亭长朗然科技有限公司董志军强调说：员工们可以通过活动更多思考安全，他们知道的越多，就越会观察和分析，也只有这样，方能做好准备以防止安全事件或在事件发生时做出正确的响应。

安全意识培训活动的举办周期和频率可以自行灵活决定，一般在业务淡季多举办一些，特别日子如假期前举办假期安全课题。一般来说，年度一次全员安全意识电子学习刷新，每年配合国家网络安全周搞一次线下宣传活动，每季度搞一次安全意识主题交互活动和测试，每周发放一些安全动画视频和安全小提示，这些都是在采取努力将安全融入实际工作，安全搞上去了，隐患就会慢慢消失。

活动中需要宣传的内容很多，可能包括：云存储、无线网络安全、差旅信息安全、双身份身份验证、移动应用安装等等话题，当然也应该发布网络犯罪的新趋势，例如最近的增长趋势，新出现的勒索软件、新的社会工程骗术、网络钓鱼邮件的新手法等等。

小结

根据木桶理论，组织机构的安全性取决于安全能力最弱的员工，因此针对员工们的安全培训至关重要。通过创建“安全意识计划”，您可以为持续的安全学习和沟通计划奠定良好的基础，同时不会使员工们负担过多的安全信息。如果安全能成为所有人心智的一部分，则可以合理地期望安全态势得到强化。

使人们尽可能轻松地安全地完成工作，就需要我们为安全问题和疑虑的提出敞开大门，使用“安全知识库”、“安全沟通渠道”、“安全意识活动”这三驾马车来护航。这样，组织机构和员工们就不容易受到“我不知道”的内部威胁。这样，安全专业人员就可以将更多精力用于就对外部威胁。

最后，要确保安全“意识计划”深入到企业文化的各个方面，需要从员工入职到离职的整个生命周期中，不断进行安全认知的刷新和改进。昆明亭长朗然科技有限公司帮助各类型的组织机构，包括各机关单位和公司企业，建立适用的安全意识计划，我们提供全面的多种形式的安全知识内容和在线培训，欢迎有兴趣和需要的客户及伙伴们联系我们，洽谈安全意识方面的采购与合作。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

公司信息安全的管理负责人员都非常明白一个道理，即使实施再多最先进的安全检测、监控和报警等控制措施，仍然有员工可能会“铤而走险，以身试法”，在详细了解员工的种种安全违规行为的深层次原因之后，往往会发现多数问题的根源并非这些员工为了一些私利而冒险，而是他们根本不知道自己的行为会给公司带来安全隐患，这就让信息安全管理层开始检讨与员工进行安全沟通的不足。

的确，保护公司的信息安全不应该仅仅只是安全部门的工作，信息安全更应是全体员工的职责，每位员工都会接触和处理公司的重要信息资产，公司不可能为每位员工配备一名24小时跟随的专职安全人员，所以，不少公司的安全负责团队开始加强与员工进行信息安全沟通，比如协同员工培训部门、员工关系部门和IT部门等等，共同开设安全培训课程，开展安全教育活动，举办信息安全沙龙等等。

公司各个部门的总监经理们也都希望下属员工多参加这些安全活动，因为他们也担负着保护本部门信息安全的职责，下属员工的一些不安全的行为可能会给整个部门带来严重的不良后果。

照理说，有了各级总监经理主管们的支持，会有不少员工报名参加信息安全相关的培训活动，比如安全意识沙龙，毕竟这是接受在岗培训，结识其它部门员工，甚至离开工作岗位享受一段清闲时光的好机会，然而，活动的举办者却经常发现参加者寥寥无几，更无法达到预期的安全意识教育培训效果。

安全培训沙龙的举办者可能会有些许“政令不出中南海”的感觉，甚至在想要么要求公司业务部门强制员工轮流参加，要么放弃这项让员工自主参加的活动。

其实有这样的结局并不应该感到意外，现在有太多好玩儿的了，员工通常面临着不少的工作压力，无聊的员工并不太多，除非员工有这方面的兴趣爱好或直接工作需求，否则非强制性的公司活动很难吸引多数员工的注意力。

有什么好的解决之道呢？如果下定决心要安全培训活动，就要搞出特色，搞出成绩，首先要确保应该接受安全意识教育的员工参加，对安全感兴趣的或者安全部门的员工都不能计算在内，因为他们的安全意识已经有了相当的水平，是那些不想来的或不愿意参加的反而更应受到安全意识教育，如何搞定他们来参加安全沙龙呢？软硬兼施、恩威并济可以派上用场。首先来硬的，同各部门经理主管们协商，确定各部门需参加安全意识培训的人数，具体的参与者名单由部门负责人决定并交安全培训组织人员；再来软的，凡参加安全培训活动的员工都有一份小礼品，学习积极和表现良好的员工有更多的奖励；施恩，有过安全违规记录的员工在接受安全意识培训后可以抵消一次违规行为的记录；显威，不参加指定的培训或参加培训后考核不合格将视为安全违规一次。

如果在公司内难以强制方式获得员工参加安全意识沙龙活动，比如未能获得各部门负责人对强制派人方式的理解和支持，则可放弃举办信息安全意识沙龙活动，转而考虑改用其它更易被员工们接受的方式，前面所讲，现在有太多好玩儿的东西可以吸引员工们的注意力，安全意识培训方案也应考虑到包装成好玩儿的互动方式，比如搞在线电子竞赛、信息安全游戏、安全知识大挑战、安全意识夺宝活动，安全擂主争霸赛等等。

昆明亭长朗然科技有限公司在针对员工的信息安全意识教育培训方面有丰富的实战经验，并且提供样式繁多的安全意识推广活动资源，同时也提供安全文化建设的咨询顾问服务，欢迎在安全培训方面有任何问题的业界朋友们与亭长朗然的安全培训讲师联系。