安全培训和意识活动经常无法获得有效的衡量，也不能以预期的方式改变用户的行为，从而给用户和组织带来风险。对此，昆明亭长朗然科技有限公司安全意识研究专员董志军说：信息安全是一门抽象且不直观的学科，非信息技术或安全管理的员工们通常会对其感到沮丧和困惑。通过说教的方式对受众们进行培训，不管课堂气氛如何，讲师水平高低，都无法引起受众们的积极性，进而让人们以正确的方式处理信息。
通常来讲，信息安全管理体系方法论强调应该培训员工们遵守信息安全相关的政策和程序，以便在实际工作中面临安全问题或状况时做出合理的选择和行动。从理论方法上讲，这似乎无懈可击，然而实际上，要让人们领会安全政策的精神，通过反复的宣教和耐心的讲解，并不难实现；让人们严格遵守安全程序中的要求，通过强力的监管和检查，也可以达到。然而，这种信息安全“制度化”管理在大多数机构都还没能落地和普及，说到底，人类不是机器，忘记、忽略、逃避、越过安全政策精神和程序要求的诱因非常强大，这种情景非常普遍。此外，还有一个问题是这些“制度化”管理在某些攻击情景下并不足够，例如利用人性弱点发起入侵是简单的方法，精心策划的有针对性的鱼叉式网络钓鱼活动几乎可以获得100%的成功。
那么，有什么解决办法呢？虽然，信息安全意识是一门综合性复杂的学科，但是，从社会治理的角度讲，再复杂的问题，也都有应对之策。一种比较好的方案便是经常模拟各种入侵测试，使用精心设计的安全渗透游戏，来建立受众的心理防线。比如，为应对桌面清理方面的安全问题，可以随机让某一团队扮演信息窃贼的角色，对其他团队的桌面进行现场入侵和信息搜集。再比如，使用网络钓鱼模拟测试，对用户们进行大规模的社交工程攻击，看哪些用户能够识别并正确响应。这样，当用户承受压力时，就会养成强大的安全习惯。
要让用户们承担起就有的信息资产保护责任，不让其有任何忽略安全基本要求的借口，就需要在知识层面对其进行安全强化，常规的安全意识宣贯通常可以让用户们获得必要的培训。同时，要让用户们付诸安全防范行动，需要提升其对安全问题的敏感性，这就需要实战经验或锻炼。通常来讲，遭遇一次安全事故给人们的安全敏感性提升，强于十次的宣教活动，不过，安全事故的成本过高，通常难以承受。因此，使用低成本的模拟实战训练，是提升用户对安全敏感性的最佳方法。这个道理就如同模拟的军事战争演习和消防安全演练一样。
模拟安全入侵不仅能够有助于防范来自外部的威胁，同样适合防范内部威胁。内部威胁被认为最难防范而且杀伤力巨大，然而内部人员也最清楚内部的弱点。通过攻防演练，鼓励用户们利用内部弱点，不仅能够发现这些安全隐患，及时采取修补措施，也可以让用户们更深切地认识到内部威胁可能带来的危害，进而更加深入理解和认真遵守相关的安全控管措施。
总之，要改变用户们的安全行为，需要安全意识知识能力、安全态度、责任心、积极性、敏感度以及细心度等多方面的要素有机结合。组织在信息安全方面的成功越来越依赖终端用户，看到这一点，昆明亭长朗然科技有限公司在不断创作信息安全知识培训课程资源的同时，也不断为客户提供安全意识宣教活动和计划方面的服务和支持，以帮助客户建立强大的信息安全意识文化，以及稳固的人员安全防线。欢迎有兴趣了解更多的客户及合作伙伴联系我们，洽谈业务合作。
昆明亭长朗然科技有限公司
- 电话：0871-67122372
- 手机：18206751343
- 微信：18206751343
- 邮箱：[email protected]
- QQ：1767022898
