科技创新日新月异，安全势态不断变化，旧的安全威胁依然存在，新型安全威胁也不断涌现。

网络和通讯使信息传递更为畅通和便利，同时也使犯罪分子更容易发起攻击，装配防病毒软件以及保持系统安全更新已经成为终端用户不可缺少的安全防范措施。短信和电话诈骗活动，在移动电话普及之前，大众连基本的概念都没有，经历了快速泛滥、严打整治之后转战异国他乡，不过至今仍然阴魂不散。

在网站安全方面，前赴后继，层出不穷的漏洞被攻击者利用，挂马、窃密、篡改内容、拒绝服务诸现象仍然不断上演。

近来，企业及家庭计算系统面临的安全威胁不减，而移动互联网应用火爆，新型的攻击借助僵尸程序和系统漏洞开始进行恶意广告、手机吸费、窃取机密等活动，而厂商和用户不得不在程序的更新上花费大量时间。

在人们不断重复这些安全修复动作之时，有没有想想应该吸取什么教训？安全管理专家们可能在专注于搭建和完善各类管理体系制度和工作流程，安全技术专家们在努力实施更多控管方面的技术措施，然而却没有多少人想到这些流程和技术的实施者和使用者因素，只有他们的安全水准能达到一定的程度，安全相关的流程和技术才能发挥实际作用。

安全专家们被组织雇佣的首要目标是保障组织的安全，组织的员工们不能都像国家领袖一样，个个配备安保和秘书人员，安全专家们数量也有限，不可能为所有员工提供贴身的安全服务，所以员工们需要具备保护自己和组织安全的基本能力。

要改进员工的安全水平，提升员工的安全能力，无疑需要加强安全意识教育或安全认知培训，安全专家们可能觉得搞员工培训效果难以彰显，当然，员工的安全水平和能力提升并不会像查杀了厉害的病毒或让被黑系统重新上线那么能引人关注和赞叹，然而如果员工在所有的系统上都使用相同的脆弱密码，安全专家们的长远工作能轻松得了吗？能上一个新的台阶吗？

再想想，为什么要关注安全意识教育呢？因为大量的安全事故发起的根本原因来自于组织内部，在网络边界部署企业防火墙可以抵挡多数外部威胁，这些例子比如：没有安全保密概念的员工有意或无意地将机密数据张贴在行业论坛或社交网络中、新入职的客户人员被假冒的客户忽悠了系统的账户和密码、半路被小偷扒去的个人移动设备上发现员工随手复制的公司机密文件、扔进垃圾桶的商业计划和产品研发文件被倒卖给商业间谍、访客在参观完公司之后顺手偷拍下白析上未擦拭的内部会议内容和未及时取走的打印传真资料、尾随员工进入公司内部的窃贼乘午餐时段背走未上锁的笔记本电脑和员工的手机……

从上面几例中我们可以看到：多数内部原因引起的安全事故并不是员工的本意，当然我们也不排除对组织心存不满的员工故意搞破坏，多数情况是由于对安全的无知、粗心大意、对安全规则的遗忘或忽视而造成的，要改变这些，唯有从加强安全意识培训，提升员工的安全素养开始。

尽管员工安全认知的培养不是一天就能达成目标的，也难以立即通过安全培训立即看到大的安全转变，然而，让安全培训成为企业安全流程的重要部分，不断加强教育，是必走之路，也是人们在不断修复安全漏洞之时应该好好反思的经验教训。

几十年的和平环境让人们的安全防范意识日渐淡漠，而在个人隐私数据的保护上，大量的数据泄露事故使网民们逐渐开始觉悟。

在企业安全防范上呢？我们相信各类公司的目标通常都是在向客户提供价值的同时获得利润，而现代企业要实现这目标，借助信息化几乎成了必选之路，信息化带来便利和高效的同时，也会带来安全隐患，信息系统和信息数据可能被摧毁或窃取，商业价值和利润更可能被挤压或掠夺。

防范安全事故已经远不仅仅是安全保卫部门或信息技术部门的职责，为了实施破坏或窃取机密，公司的所有员工、供应链、合作伙伴甚至客户都可能成为攻击者利用的对象，坚定的攻击者或称可持续性威胁更是不会放过公司的任何一项安全弱点。

因此，公司需要这些人员积极参与到信息安全事务中来，需要他们了解自己可能成为攻击者的目标或桥梁，进一步了解自己在公司成功中所担负的安全职责，以及掌握防范攻击的基本知识和保护公司信息安全的基础技能。

要做到上述这些，无非需要公司的安全负责团队加强同最终用户的沟通，当然现代组织中的沟通方式有很多，最终用户可能也各有偏好，所以我们建议各公司能交叉并用各类沟通方式或沟通渠道。

我们今天主要讨论通过信息安全周这种方式来加强与最终用户的安全意识沟通，相比周而言，更小的时间范围内进行安全意识推进可能属于“安全日”，而更大一些的则是“安全月”。

“安全日”时间短，可以灌输的安全话题也有限，不过一年可以有多个安全日，为每个安全日找出重点的安全话题，如“隐私保护日”，“信息安全日”，“计算机安全日”，“互联网安全日”，“无线安全日”，“社交网络安全日”等等，公司安全沟通负责人员也可灵活地根据安全状态，比如将比较严峻的急需沟通的安全培训内容纳入到安全日活动中。

“安全月”通常一年进行一次即可，“安全月”最好能避开忙碌的季度末或年度末，因为有较长的时间，所以安全话题可以涵盖几乎公司安全相关的所有内容。“安全月”活动能使最终用户获得较全面的安全防范知识体系，通常也能获得较高的员工的参与率，问题是成本过高，两次“安全月”之间的间隔时间过长。

而“安全周”正好处于“安全日”和“安全月”两者之间，可以取两者之长，而弃两者之短，所以“安全周”成为大型跨国公司推进信息安全沟通的首先渠道。

如何举办一场成功的“信息安全周”活动呢？重要的是在策划，公司内外相关的员工都有了解安全基础、进而保护自身以及公司安全的需求和意愿，这是非常积极的信号，“信息安全周”安全意识推广活动的策划人员要牢记一项宗旨，就是满足这些相关用户对信息安全的求知欲望。我们提出几点建议供分享：

1.安排丰富多彩的安全意识促进节目，挂几个安全展板，摆几个桌子派几名员工向参观者发放安全培训相关资料、签字并领取小礼品是很老的套路了，这些套路都会有一些效果，但是现今的参观者有太多更好玩儿的东西，他们并不会太主动关注这种落后的形式想表达的内容。在节目的策划方面，无疑应当向娱乐行业学习，但是也不要太离谱，比如搞什么容易引起争议的信息安全主题演唱会，不过倒是可以弄些表演类的信息安全小品如安全意识情景剧等等，安全互动游戏如信息安全挑战赛等等。

2.开展评选活动，除了对各节目评选之外，也让各部门派代表，展示本部门的安全精神风貌和安全操作实践，由各部门管理层代表及安全负责人员组成的评选专家进行点评，即能调动员工层的积极性，又能满足各部门的总监经理们的求胜心理，同时相信他们也会从这活动中了解信息安全管理的重要性，并在部门工作中支持和倡导积极的安全文化。

3.在企业安全网站中同步发起虚拟的安全意识促进活动，使用微博、博客等方式转播实体活动盛况，加强与用户的的即时通讯及网上互动沟通，推广安全意识的电子学习内容和资源，同步开展相关安全课题的在线培训及沟通。

4.设置能促进安全意识的相关奖品，当然是公司未标配的需要少许花费的，比如防偷看屏幕的安全视频屏、安全意识桌面小饰物如印有安全标识和联系方式的鼠标垫、安全小台历、电脑锁、加密U盘、USB指纹识别器、家用IP摄像头、智能手机安全软件等等，还有，更不能忘了为优秀的安全部门、团队和个人颁发奖状进行激励。

最后，在同最终用户的互动沟通的“安全周”活动中，举办的安全负责人也可以收获很多，重要的是总结相关经验，通过互动，能够找到公司安全管理中的弱点，及时修复这些安全弱点很必要，此外互动也能帮忙找到“安全周”意识培训活动可以改进的地方，为后续的安全工作以指导，相关的安全活动记录也应该保存，企业安全网站也应进行相关安全培训内容的存档，以便日后向安全监管机构或其它关心公司安全意识培训的其它组织展示和证明。