问题

在人们谈及网络安全时，领导和官员们讲的是有效控制网络舆论、防范有害信息和保障基础设施的安全；商业企业人士讲的是保护企业免受那些想要窃取数据的犯罪分子的影响。然而，人们本身却是最薄弱的环节，如果该链条被破坏，国家安全和政治稳定可能受到威胁，当然企业的业务可能会瘫痪甚至倒闭。

现状

中国网络安全斗士、360公司董事长周鸿祎曾说：“89％的成功数据泄露事件始于类似鱼叉式网络钓鱼攻击的高持续性威胁。”那么，我们需要注意什么呢？试想，如果您的同事、客户或合作伙伴收到您发来的电子邮件或消息，而实际上您没有发送，那么您和他们都可能就是网络钓鱼攻击的受害者。

您可能会说那些诸如电信诈骗之类的钓鱼攻击多数只会针对个人，或者企业财务人员，因为那样可以广撒网，快来钱。我要说的是您这种说法已经过时了，您需要改变这种旧的认识，更新您的安全意识，因为鱼叉式钓鱼攻击（俗称“钓鲸”）战术已经有好几年的历史，现在日渐进入到企业界，特别是用于盗窃知识产权、战略机密和客户信息。同时，您也应该努力更新内部安全意识教育，更新员工的安全认知脑力，以补齐企业的安全短板。

在昆明亭长朗然科技有限公司，我们希望通过让企业员工成为最强大的链接来改变这种状况，并且我们已经开发了大量的网络安全意识培训材料。市场上有许多网络钓鱼测试工具和网络安全意识计划。不过，大多数都过于老旧，或已过时，因为它们无法跟上网络罪犯的步伐。

出路

对此，企业信息、安全、保密与培训部门，应该让员工了解最新信息并帮助他们，以保护他们免受最新威胁的侵害。如果您使用的是老厂商的旧工具，请切换到我们。我们提供经济实惠、智能且面向未来的方式，可以保护您自己和您公司的业务安全，无论是现在还是未来。

我们拥有大量全球知名的客户，他们对我们的安全意识方案表示赞同，称其是用户友好、有效和负担得起的。降低您所在企业的业务风险并节省您的时间和金钱是必须的，同时，我们还要让您从项目计划中受益，让您的工作得到更高层领导的认可和青睐。

方案

无论您是企业所有者、人力资源经理、IT总监，还是培训主管、安全专员，您都应该努力了解从何处开始进行网络安全培训，我们帮您设计和创建的适合的安全意识提升与更新计划。

我们使用功能强大、久经考验且易于使用的在线学习系统，只需导入学员名录，或者开启账号联动或自注册学习，我们就可以使您的组织处于稳固的网络安全行为轨道，并降低人为因素引发的网络安全风险。

我们每天会使用互联网数百次，包括打开电子邮件、点击链接、访问网站和打开文档等等。我们在没有多想的情况下完成了大部分这些任务，这让犯罪分子有机会利用我们。只需点击诈骗邮件中的链接或访问流氓网站即可。

即使使用最好的安全技术，您和同事们仍然可能成为网络攻击的受害者。这是因为有组织的犯罪分子以全新的和日益复杂的方式瞄准企业中的个人。

当人们成为攻击目标时，您需要改变他们的行为。在狡猾的网络犯罪分子发起的鱼叉式钓鱼攻击面前，您希望所有人都成为“人员防火墙”的一部分。

为了创造持续的安全行为改变，知识比恐惧更有力量。因此，我们让您的团队了解问题以及如何解决问题。我们通过培训、测试、监控和持续的循环改进来实现这一目标。这可以提高您企业员工的网络犯罪防范意识，并确保团队中的每个人都与您站在一起。

未来的网络对抗是全员的，人员防火墙必将成为贵司网络安全的关键部分。通过如下三个关键步骤，昆明亭长朗然科技有限公司帮助您创建、开发、维护和更新人力防火墙。

培训

首先，该计划将分析您的业务，将网络安全意识与最佳实践进行比较。然后，会培训您的团队，通过对他们的行为做出积极的改变来提高您的网络安全性。我们为您创建安全意识计划并实现自动化。该计划涵盖所有员工的培训，从新员工到具有特定职责或岗位的人员（例如，管理团队、涉密岗位或移动员工）。

您可以在培训库中找到所需的所有活动，从海报和游戏到教程和视频。这些活动涵盖了员工需要了解的网络风险的各个方面。有些人需要不到五分钟的时间，而有些人需要半小时或更长时间。该培训记录每位学员所参与培训的详细信息，并为您提供清晰而强大的报告，以帮助您进行管理。

测评

定期测试会了解团队人员是否改变了他们的行为。为了测试您的团队，该计划启动模拟“网络钓鱼”攻击。它通过向收件箱或社交媒体（包括微信）发送电子邮件、网站链接和文档来实现此目的。

如果用户点击了“不安全”链接，测试系统会将他们带到一个安全的网页，告诉他们他们没有通过测试。

该系统记录此种行为并更新风险配置。如果您的团队成员一直未通过测试，您可以为他们提供量身定制的培训，帮助他们养成更好的安全习惯，并坚持下去。

跟踪

该计划为您提供有关您的组织与业界上最好的组织相比的报告。

它根据每位学员在培训中的进度给出一个分数。这使您可以衡量整个企业的进度，并重点关注所有的薄弱环节。

总结

安全威胁态势在不断变化，现在是时候更新您的公司的人员安全意识了，只有这样，方可有效减少人为失误，应对针对人类弱点的有针对性的社会工程学攻击了。

还是如同以往，不管您有任何意见或建议，或者有任何需求或想法，都欢迎不要客气地联系我们。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

会议主题： 全员信息安全意识培训计划讨论

参会人员：

•    李明 (首席信息安全官CISO) – 主持人
•    张丽 (员工培训总监HRD)

会议时间： 5月27日 10:00 – 12:00

会议地点： 公司会议室

记录人： 李明

1. 开场与议程确认 (10:00 – 10:10)

李明： 早上好，张丽。感谢你抽出时间参加这次会议。正如你所知，信息安全对我们公司至关重要，随着威胁形势日益复杂，提升全员的信息安全意识已经刻不容缓。这次会议的主要目的是共同讨论并敲定一个全面的、有效的全员信息安全意识培训计划。

张丽： 早上好，李明。我也非常重视信息安全工作。我们培训部一直致力于提升员工技能和知识，这次培训计划我们会全力配合，确保员工充分了解并掌握信息安全相关的知识和技能。

李明： 很好。今天的议程包括：

•    评估当前信息安全风险状况及培训需求；
•    讨论培训计划的目标、内容、形式和频率；
•    确定培训资源、预算和时间表；
•    明确培训效果评估方式和持续改进机制。

张丽： 没问题，这个议程很周全。

2. 信息安全风险评估与培训需求分析 (10:10 – 10:40)

李明： 首先，我想简要介绍一下我们当前面临的信息安全风险状况。近一年来，我们检测到网络钓鱼攻击数量增加了30%，勒索软件攻击数量翻倍。内部数据泄露事件虽然数量较少，但造成的损失也相当可观。这些事件表明，员工在信息安全方面普遍存在一些薄弱环节。

具体来说，我们发现以下问题：

•    钓鱼邮件识别能力不足： 员工容易点击恶意链接或打开附件，导致恶意软件感染或数据泄露。
•    密码安全意识淡薄： 仍有部分员工使用弱密码或在多个平台使用相同密码，增加了账号被盗的风险。
•    数据处理不规范： 员工对敏感数据的分类、存储和传输缺乏明确的规范，容易造成数据泄露。
•    终端安全意识薄弱： 员工对个人电脑、手机等终端的安全设置和维护意识不足，容易受到病毒、恶意软件的攻击。
•    物理安全意识不足： 办公场所的门禁、文件管理等物理安全措施执行不到位，容易造成数据丢失或泄露。
•    社交工程攻击防范能力弱： 员工对社交工程攻击的识别和防范能力不足，容易被攻击者利用。

基于这些风险和问题，我认为我们需要一个全面、系统的信息安全意识培训计划，来提升员工的整体安全水平。

张丽： 听完你的介绍，我感觉这些问题确实很突出。我们之前做过一些简单的安全知识宣传，但效果并不明显。这次需要一个更深入、更系统的培训计划，针对不同风险点进行有针对性的培训。

李明： 没错。我们需要从根本上改变员工的安全意识，让信息安全成为他们日常工作的一部分。

3. 培训计划的目标、内容、形式和频率 (10:40 – 11:20)

李明： 接下来，我们讨论一下培训计划的具体内容。我认为培训的目标应该包括：

•    提高员工对信息安全威胁的认知： 让员工了解常见的网络攻击手段、攻击后果以及如何识别和防范这些威胁。
•    强化员工对安全政策和流程的理解： 确保员工了解公司的安全政策、制度和流程，并严格执行。
•    培养员工的安全操作习惯： 帮助员工养成良好的安全操作习惯，例如使用强密码、定期备份数据、安全浏览网页等。
•    提升员工应对安全事件的能力： 培训员工在发生安全事件时如何及时发现、报告和处理。

基于这些目标，我认为培训内容应该涵盖以下几个方面：

•    网络钓鱼识别与防范： 如何识别钓鱼邮件、短信和网站，避免点击恶意链接或泄露个人信息。
•    密码安全： 如何创建和管理强密码，避免使用弱密码或重复密码。
•    数据安全： 如何保护敏感数据，避免数据泄露或丢失。
•    终端安全： 如何保护个人电脑、手机等终端的安全，避免病毒、恶意软件的攻击。
•    物理安全： 如何保护办公场所的物理安全，避免数据丢失或泄露。
•    社交工程攻击防范： 如何识别和防范社交工程攻击。
•    安全事件报告流程： 如何及时报告安全事件。
•    合规性培训： 涉及的行业法规，如《网络安全法》、《个人信息保护法》 等。

张丽： 这些内容涵盖了大部分关键的安全风险点。我认为可以采用多种培训形式，例如：

•    在线学习： 通过在线平台提供学习资料、视频课程和测试，方便员工随时随地学习。
•    课堂培训： 组织面对面的课堂培训，由安全专家讲解安全知识和技能。
•    模拟演练： 组织模拟钓鱼邮件攻击、勒索软件攻击等演练，让员工在真实场景中学习应对方法。
•    安全知识竞赛： 组织安全知识竞赛，激发员工学习兴趣。
•    宣传海报和邮件： 定期发布安全宣传海报和邮件，提醒员工注意安全。

李明： 这些形式都很好。我建议可以根据不同岗位的风险等级和员工的安全意识水平，制定不同的培训计划。例如，对技术人员可以进行更深入的技术安全培训，对普通员工可以侧重于通用安全知识和操作技能。

张丽： 这个建议很好。我们可以采用分层培训的方式，确保每个员工都能得到有针对性的培训。

李明： 至于培训频率，我认为每年至少进行一次全面的安全意识培训，并定期进行安全知识更新和提醒。

4. 培训资源、预算和时间表 (11:20 – 11:40)

李明： 接下来，我们讨论一下培训资源、预算和时间表。

•    培训资源： 我建议可以聘请专业的安全培训机构或安全专家来提供培训服务。我们也可以开发自己的在线学习平台和培训课程。
•    预算： 我初步估计，这次培训计划的预算大约在5万元左右，包括培训费用、教材费用、宣传费用等。
•    时间表： 我建议在下个月启动培训计划，先进行在线学习，然后组织课堂培训和模拟演练。具体的培训时间可以根据员工的工况进行安排。

张丽： 5万元的预算是合理的。我们可以与几家安全培训机构联系，比较他们的报价和服务。我会在两周内制定详细的培训计划和时间表，并提交给你审核。

5. 培训效果评估和持续改进机制 (11:40 – 12:00)

李明： 最后，我们讨论一下培训效果评估和持续改进机制。

我认为，培训效果评估应该包括以下几个方面：

•    知识测试： 在培训前后进行知识测试，评估员工对安全知识的掌握程度。
•    行为观察： 观察员工在日常工作中是否能够遵守安全规定和流程。
•    安全事件统计： 统计安全事件的数量和类型，评估培训对安全事件的减少效果。
•    员工反馈： 收集员工对培训的反馈意见，了解培训的不足之处。

张丽： 这些评估方法都很有效。我们可以将评估结果用于改进培训内容和形式，确保培训的有效性。

李明： 是的。我认为，信息安全意识培训是一个持续改进的过程。我们需要定期评估培训效果，并根据评估结果进行改进，确保员工的安全意识能够不断提升。

总结：

李明： 今天的会议非常成功。我们共同讨论并确定了一个全面的、有效的全员信息安全意识培训计划。张丽，感谢你积极参与讨论并提供了宝贵的意见。我期待你的详细培训计划和时间表。

张丽： 谢谢你，李明。我会在两周内完成详细的培训计划和时间表，并提交给你审核。我们会全力配合，确保培训计划的顺利实施。

会议结束。

此会议记录是基于事实进行虚构的，昆明亭长朗然科技有限公司外派安全意识专员李明到客户现场担任虚拟首席信息安全官（CISO），在客户的人力资源培训与发展总监张丽的大力支持下，开启了成功的信息安全意识培训活动。如果您对这个话题有兴趣，欢迎不要客气地联系我们，来聊一聊相关的话题。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898