根据安全意识报告，超过80%的安全意识专业人员具有信息安全或信息技术背景。不到 15%的人拥有培训、营销或沟通等软技能的背景。这就暴露出安全意识工作面临的一个困境：现有人才在安全意识的技术部分是没有问题的，但是却缺乏用户行为改变的软技能。

作为安全意识培训的项目主管，我参与过数百个组织的安全意识宣教建设活动，帮助数百万员工了解信息安全的理念和要义，通过供应链传播、职场流动和员工家庭与亲友们的辐射作用，这将带动数亿国民提升和强化安全防范意识，无疑有助于建立一个更安全更和谐的网络社会。

我们一直说，安全文化需要的是潜移默化，暴风骤雨似的宣传“运动风”来的快速也去的忽然，这正是在建立全面的意识计划需要防止的，文化建设是为了改变人员的不安全行为，这注定是一场长期而艰苦的战争，非运动式的战斗和战役所能取得的。 由于网络安全专业人员（包括意识领导者）精通技术技能，因此他们了解需要改变哪些行为，但是在如何尝试改变这些行为方面却表现不佳。毕竟，人无完人，术业有专攻。

改变一个人的行为是很难的，安全意识培训不应该如此。一般来说，许多组织都会犯“认知超载”的错误，即向员工倾倒太多知识内容，以至于他们在学习后没几天就完全忘记了。这听起来是不是有点熟悉的味道？好的办法是保持安全意识培训的简短而轻松，并专注于真正能够降低风险的内容。因此，需要负责人员提前花时间确保学员的参与度和内容的相关性，避免认知超负荷。

类似日常生活中人们行为改变的触发因素，安全行为的改变也源自安全认知的改变，有些员工会在安全事件发生后自省，然而这种代价太高。前车已覆，后车当戒。学习并吸取他人的教训，避免重蹈覆辙，是当今职场人士几乎都具备的生存能力。这就需要我们加强沟通，去展示一些安全事件案例，去发动一些模拟攻击，借机向受众解释为什么他们应该关心网络安全。然后，我们需要用简单的语言传达我们需要他们做什么，并确保人们能够表现出这些行为。然而，说起来简单，做起来难，很多IT或安全专业背景的人士都会受到知识诅咒的困扰——他们对某件事非常了解，却因为自己是专家而无法准确地沟通传达。我们看到很多媒体主持人在专家面前侃侃而谈，而专家却显得很笨拙，就类似这种情况。因此，我们需要投入一定比例的时间来琢磨沟通事宜，来改进传达关键意识信息的方式。

沟通不是单向的，对于全员安全意识计划来讲，专家的单打独斗并不足够，这就需要协同合作，与各个利益相关者沟通的内容以及沟通方式对于获得支持、认同和行为改变至关重要。建立可靠的计划需要大量不同的技能以及与不同部门的协调。 例如，与沟通部门合作以帮助员工参与，与人力资源部门合作以更好地了解目标群体，与法律和审计部门合作以确保培训计划合规。一起合作的人员越多，成功的机会就越大。当然，沟通合作的群体也可以是外部咨询服务团队，毕竟术业有专攻，有了外部的专业资源的加入，更利于探索启动安全意识计划，该计划不仅可以扩展行业人脉资源，还可以在整个行业中树立安全意识工作的标杆。

信息安全意识专业人才缺乏问题的解决方案是创建安全意识计划。该计划旨在教育员工了解网络安全的重要性，以及他们保护自己免受网络攻击的各种方法。该计划还应重点教育员工了解其行为的后果，例如打开网络钓鱼电子邮件或泄露个人账户的密码。当然，计划也不能忽略变化，即有应对措施。如下我们将简要谈一谈。

网络钓鱼：这里的重点是我们需要交互式的模拟行为，以便人们了解网络钓鱼攻击的迹象、检测到此类攻击时应采取的措施，以及如何报告此类攻击。需要重点关注的是阻止攻击所需的安全行为，而不是模拟钓鱼测试。不幸的是，模拟网络钓鱼不仅是许多意识计划的开始，同样也是结束。要知道，网络钓鱼培训是建立整体安全意识计划的重要组成部分，但其本身还不够。

密码安全：密码安全最关键的方面是人们如何使用密码。更广一点说，人们如何保护他们的身份免于盗用，他们是否与同事分享密码？他们是否为每个站点设置唯一的密码？是否使用密码短语和密码管理器？因为使用一些助记的小窍门和小工具是解决个人密码安全的基本行为要素。当然，也要教导用户启用尽可能安全的身份验证解决方案比如：生物特征鉴别和两步（双因素）验证。

意外应对：虽然恶意的攻击行为是不可避免的，但是大多数的安全问题都是由简单的员工事故或疏忽引起的。例如：将手机忘在出租车上、随意共享文档而没有意识到其中包含高度敏感的数据、或者由于邮件客户端中的自动完成功能将收件人设置为错误（但相似）的人员而意外向其发送邮件。这些问题需要人们养成谨慎对待安全并加强安全检查的行为习惯。

搞好这三项，就有了一个良好的开端，重要的是管理组织内部和周围人员带来的风险，这种风险文化不是一朝一夕能够建立的，文化不仅仅是行为，还包括人们对网络安全的看法、态度和信念。文化以及融入情感的过程对于技术人员来说可能是一个挑战。现有的企业文化对于沟通和协作方式以及最终成功安全改变行为起着关键作用。企业文化有外向和内向两大类，开放式的外向文化（例如科技公司中的文化）通常更喜欢让员工们按照自己的时间表观看和消费的幽默内容，而保守式的内向文化（例如保险、金融和政府）通常更喜欢让职员们阅读的更温和或“专业”的内容和材料。因此，我们需要研究企业文化，了解组织的价值观和信念，为信息安全意识计划规划提供信息。与人力资源人员进行交谈，他们通常最了解组织的文化以及如何影响安全意识计划。

总之，创建成熟的意识计划，需要利用技术技能和以人为本的软技能。大多数安全意识专业人士在技术方面没有问题，通过解决软技能方面的问题，无论是发展自身技能、跨部门协调还是引进外部人员，都将在改变安全行为和组织文化方面大有帮助。最后是小广告时间，笔者就职于昆明亭长朗然科技有限公司，专注于为各类型的组织机构提供信息安全意识产品和服务，我们有大量的知识内容和平台工具，欢迎有兴趣的人员联系我们，洽谈合作事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com

世界各地的人们正在通过网络进行互动，这是网络空间中时刻发生的事情。与此同时，我们需要记住，网络攻击一直在发生，而且这些攻击的肇事者通常针对同一个人和团体。例如，黑客可以从组织机构的计算设备窃取数据，他们可以使用该信息向用户的系统发送恶意代码。对此，昆明亭长朗然科技有限公司网络安全研究专员董志军表示：不要心存侥幸，任何组织、任何人员都可能会成为黑客的攻击目标。虽然目标坚定的黑客攻击（网络犯罪）很难阻止，但是我们总是有正确的方法来防范和应对，进而减少可能的损失，其中包括采用可靠的安全软件和遵从良好的作业程序。

请记住，黑客经常使用扫描探测及入侵渗透工具来破坏计算设备或窃取其他敏感数据，但是在安全管控措施到位的情况下，他们的很多方法都是无效且徒劳的。不要话说回来，人员因素导致的安全问题成为近年来业界担忧的根源。越来越多的证据表明，组织网络安全面临的最大威胁来自内部。举例来讲，员工经常通过共享密码、使用公共无线网络发送敏感信息或不保护社交媒体帐户的隐私而使组织面临黑客攻击的风险。人类是复杂的，员工们并不像系统那么听从计算指令，因此人性的弱点难以像安装更新那样轻松修复。

虽然可以在遭遇安全事件之后进行救治，但是外谚云“安全总比后悔好”。除了作为对整体业务成功的长期投资之外，旨在修复人为错误根源的意识和培训是任何明智的信息安全方法不可或缺的重要组成部分。安全意识培训是一项旨在帮助员工更好地了解周围环境并针对组织的安全需求做出更好决策的计划。在信息安全方面，它是一项启发人们思考自己正在做什么以、想要做什么以及应该怎么做的思维工具。安全意识让人们更加了解周围环境的安全需求，对如何保护自己和组织有基本的了解。

安全意识，尤其是培训，并不是（总是）免费的，那么我们如何证明费用合理呢？ 让我们来看看五个潜在的商业利益。

降低信息安全阻力。如果有足够的意识和培训，员工可以更好、更有效、更高效地使用安全控制措施。对于初学者来说，让其理解和接受如防火墙、防病毒、密码规则等的存在是有充分理由的；唯有理解和接受了，他们才不太可能忽略、绕过或禁用它们。例如，了解我们为什么需要长密码，以及如何选择强而好记的密码或口令短语，可以更轻松地确保安全。员工拒绝透露或分享他们的密码是通过意识和培训获得的另一项安全控制目标。

改进的信息安全、隐私和合规性。意识和培训的最直接好处来自对组织信息安全工作的改进。例如，如果员工不知道、不关心并且懒得遵守，那么办公桌清洁政策几乎毫无价值。这就需要提升安全意识！该政策的存在本身就是管理层意识到这一需求的标志，而其清晰度、重点和激励有效性取决于该政策是否被充分了解。作为整个组织范围内信息风险管理方法的一个组成部分，安全意识和培训可以实现所有其他安全控制，并支持实现广泛的业务目标——包括遵守隐私、会计、治理和其他法律和规定。

避免或降低信息安全事件、漏洞等造成的成本。与一般组织相比，具有安全意识的员工在训练有素的安全专业人员的支持和指导下，不太可能遭受信息安全事件、隐私泄露、计划外停机等。知道要注意什么的员工不太可能落入明显的骗局或忽视可疑的早期迹象。他们相当于熟练的司机，在适当的时候格外小心，在路况好的时候能够取得大胆的前进。而且，由于员工的发现和适当的反应，真实发生的安全事故都可能更短被报告、损失也更有限。在识别和报告事件之前，事件响应无法开始，这两者都取决于员工知道在没有延迟的情况下该做什么。

提高声誉和更高的可信度。如果大多数员工都具有安全意识，那么局外人和访客就会认为该组织显然非常重视安全和隐私。从有人到达场所或访问公司网站的那一刻起，就会有一些安全线索，一些是显而易见的，例如警告标志和安全证书，而另一些则更微妙，例如有效地遵循安全工作流程。人与组织互动方式的差异会影响他们愿意相互依赖的程度。信任是商业的主要因素，也是组织声誉和品牌的重要组成部分。在商业世界中，良好的企业形象很重要！

对异常情况的感知意识 。“态势感知”几乎是第六感，很难准确解释为什么有些邮件或电话“不太合适”，尤其是在每种情况都不同的情况之下；因此，不可能针对要注意的内容定义精确的规则。许多网络钓鱼邮件都以非特定的问候语开头，例如“尊敬的客户”，但有些则没有：鱼叉式网络钓鱼攻击通常使用收件人的姓名，通常还带有其他信息，旨在让发件人看起来像是同事、熟人或朋友。更重要的是，除非员工做出适当的反应，例如不打开附件或单击链接，并且可能寻求帮助以查看消息，否则即使暗示错误也无济于事。

上述列举了主要的安全意识的目的和价值，当然，组织不一定必须为安全意识材料和培训活动付费，但是员工会天真、无知且没有动力。为了方便起见，安全控制将被忽视、遗忘，有时甚至被禁用或绕过。那么组织将显得不可信，其声誉和底线都因本应预防或减轻的事件和违规行为而受到损害。

那么有什么安全意识培训的训练方法？通常，培训是通过培训计划来规划的，例如，可以规划安全意识课程内容，定期进行内部培训，可以由内部专员或聘请外部顾问、讲师或类似机构提供。考虑到标准的现成培训可能并不适合所有人员，因此根据不同类型的受众微调内容也可能有意义。当然也可以尝试现场培训，搭建一些互动式的体验展台，让员工积极参与网络安全意识计划。

如同企业文化建设一样，对于组织内部的安全专员来讲，安全意识培训其实无处不再，还可以使用多种方法，例如：

• 让员工参与文档开发——在发布政策和程序文档之前，请员工们提供意见。
• 较短的演示会议——在会上解释正在发布的新政策和程序，征求员工们的意见，澄清所有误解。
• 内部网刊或时事通讯——简单的故事（尽可能多的例子）可以帮助员工理解为什么信息安全很重要。
• 通过内部论坛进行讨论——发起和参与由信息安全事件引起的具体问题讨论。
• 电子学习——创建在线培训课程来解释这些安全主题的重要性，并培训员工。
• 动画视频——一种非常强大的演示方法，可以通过电子邮件、内联网等方式分发它们。
• 聚会时间——使用一些定期会议（例如聚会、周年纪念等），简要介绍信息安全最佳实践。
• 日常的面对面交流——无论走到哪里，无论遇到谁，都可以推销信息安全理念。
• 发挥内容创意——奖励员工创作包括图片和视频等意识内容，可激发兴趣、启发内力和激励行动。

切记安全意识计划不是搞几次就能完结或一阵风刮过就算了的运动，它需要不断地重复和改进，当然也需要不断创新的内容和玩法。在这方面，昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的电子图片、动画视频、互动游戏和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com