现在几乎很难找到没有安装防病毒软件和企业防火墙的大中型组织了，然而道高一尺，魔高一丈，即便是Verisign、RSA、索尼、北电、赛门铁克等等这些科技大腕的安全防范体系都相当脆弱，普通企业的安全现状更是令人担忧，这使众多组织的信息安全负责人不得不开始反思传统的信息安全防范战略。

在过去这十多年里，我国的计算机网络信息安全产业随着互联网和信息化大环境的成熟而迅速成长起来，成千上万个安全控制相关的科技产品问世，有大批趁着好势头急剧成长的安全公司，更有抓住机会成功上市的安全行业领头羊，拜改革开放和科技创新之赐，现在多数用户的在安全控管方面的任何一项现实问题，几乎都有大量的技术解决方案来应对。

然而，针对各种各样安全问题的大多数解决方案都停留在技术层面，厂商多数很清楚并不能完全信赖技术措施，技术措施的生效需要适合客户的使用环境、也需要客户相关人员对技术产品的完美配合。

在当今的社会，这简直就是无法实现的，因为世界不可能再回返到一个稳定的时代，组织所面对的将永远是不确定和无法控制的环境，即使科技创新不断追赶，也永远会落后几拍。

在大环境的变化上，即便是我们谅解安全厂商，也面临客户相关人员对技术产品的操作和使用之上，即使我们暂不讨论厂商在安全控管产品的价值和成效上是否有太夸张的溢美之词，要让相关人员理解和接受安全技术产品的控管并不容易，所以结果是，多数组织部署了大量的安全控制措施，却并没能让这些控制措施发挥效力，进而让很多控管系统形同摆设或束之高阁，举例接合防病毒和防火墙来讲，便是防病毒系统被停用或没得到更新，防火墙策略配置不当或存有漏洞。

那么，担负重任的信息安全经理总监们该如何呢？国际环境和区域形势复杂多变，我们在政治上讲科学发展观，在安全管理上讲科技安全观，科技是一项工具，安全观念的转变才是致胜之道。

毋庸置疑，现在即使科技仍在不断发展，并不够成熟和完美，但是已经且会继续吸引我们的注意力，我们以往忽视，而现在亟须加强的是如何能让科技这项工具发挥积极正面的效力，无疑要达到这点儿，需要我们以及安全技术的操作者和使用者们转变安全观念。

千万不要以为通过产品的使用培训便可使安全产品发挥效力，几乎没有实施了安全项目之后没有对用户进行培训的例子，这足以证明厂商的产品操作和使用培训是不够的，深层次的原因是信息安全的成功更多信赖全员的意识认知，而不仅仅是操作技能。

这一点儿，在中国、在信息科技和安全领域更是如此，我国在IT高科技领域的基础研究很落后，本地的成功企业多数是借助本土优势，占领了高端的应用层面，这就造成一个问题是整个社会大部分人们对科技产品的原理和概念不清楚，却在一天天照葫芦画瓢般使用它们，通常按步就搬的使用不会出现大的问题，可是稍微环境一变，就可能引发笑话甚至灾难。

在信息安全领域，也是如此，如果不让用户了解基本的安全观念，企图通过简单的安全防护产品的操作使用培训来保护用户，肯定是不够的，用户不能深入理解，肯定就不会从内心支持，更不可能在环境变化时与时俱进的改变。

转变观念不是一会儿两会儿可以达成的，不过，重在坚持，昆明亭长朗然科技有限公司推出了多个系列化的安全意识教育方案，能够帮助客户全方位、立体化、持续不断地对员工进行信息安全意识教育培训，如果您有任何关于信息安全管理中人员的认知培训问题或需求，欢迎联系亭长朗然公司的安全意识培训专员。

针对大型网站的黑客攻击令多数注册用户的机密数据如邮件地址和密码等外泄，各类媒体对这些密码泄露事件也大肆渲染，唯恐天下不乱，而各路安全公司也乘势煽风点火，推销安全产品，不过具有讽刺意味的是，不少知名的媒体网站和信息安全公司同样也难逃被黑客攻击带来巨大损失的噩运，一时间，人们谈黑色变，人心惶惶。

同时不可否认的是，安全事故也有其积极正面的意义，灾后重建会拉动社会对安全控管的需求，创造新的商业和就业机会，还能刺激安全科技创新，然而对于多数受灾并不太严重的组织，最重要的还是：人们的安全意识得到了提升，安全觉悟得到了提高，这比什么都重要，人心齐，泰山移，不需要人人都有高深莫测的防黑技艺，只需普及一般的安全常识，便可让大多数黑客知难而退、无功而返。

不过，别以为看看别家遭黑客袭击，在安全方面遇到了灾难事故，自家就可以从中吸取到足够的失败教训，而且，大多数人并不会因为旁观了一把就会将安全意识提升到充足的水平。

最基本的，几乎所有的业务部门的总监经理主管们都知道：安装防病毒软件可以防范恶意代码。然而，知晓防病毒软件必须得到及时更新的并不多见，知晓即使防病毒软件得到了及时更新，却仍有可能不及新型恶意代码的出现速度的则更是凤毛麟角。

昆明亭长朗然公司在2011年进行的一项企业员工安全意识调查结果表明：高达96％的受访者仍然将防病毒软件视为最重要的信息安全保障措施，然而同样是96％的受访者却仅仅只愿意全盘扫描那些被怀疑或确认受到感染的电脑，只有接近2％的员工会在电脑出现异常时检查防病毒软件是否得到了启用和更新。

当然，我们不能渴求用户个个都成为信息安全专家，毕竟多数用户的首要工作职责还是为公司创造产值，并非防范病毒、击退黑客或者保护信息系统和信息数据的安全。但是如果普通信息系统用户连基本的计算机安全常识都不具备的话，在科技变革日新月异的时代，再厉害的安全技术防范措施也会显得苍白无力，甚至无济于事，因为多采用一项创新科技，就会多带来一些安全隐患，在安全威胁日益增多的时代，尤为如此。

再以我们的这项企业员工安全意识调查为例，计算机的病毒防范理念尚如此之不容乐观，其它的计算终端呢？便携式移动计算设备呢？智能手机、平板电脑呢？即时通讯和社交网络应用呢？社会学工程攻击呢？诸如此类的安全防范理念，多数普通用户几乎没有一点儿概念，当然结果就是大量的安全威胁通过利用这些渠道成功入侵了企业的内部网络、渗透了关键的信息系统、窃取了重要的机密数据、影响了业务的正常运作、甚至导致了重大的失败……

诚然，为了保障信息安全，各类型的组织或多或少部署了不少的安全产品或技术流程，如防火墙，入侵侦测与预防、数据丢失防范、访问控制与安全评估等等，这些安全产品或技术流程往往包含多种安全控管措施，可以实现多种控管目标，确实有必要实施一些，然而想靠这些来实现保障组织安全的总体目标显然不够，一方面各类控管措施都是针对各类角色的各种行为，控管措施的实施者、操作者、使用者或受影响者可能并不理解或认同这些控制目标和措施，这可能会严重影响到安全控管的效果，所以，这些不同的角色都需要接受适当的安全培训，最终接受并支持这些控管措施；另一方面，从安全管理角度讲，安全专家们也常说做好安全需要3P，People，Process，Product，即人员、流程和产品，这里面People即人员是最首要的，甚至有极端的安全技术极客们如世界顶级黑客米特尼克等等宣称，当今组织可以不建立标准化的安全流程和制度、不安装指定的防病毒软件产品，只需加强员工基本的信息安全意识。虽然安全技术极客们艺高人大胆，而且基本的安全意识观念中已经包含遵守安全流程和使用防病毒的必要性，但是安全极客们的这番话仍然显示出信息安全意识教育的重要性。

也正是不断曝光的网络安全事故引起人们对信息安全意识的关注，也正是因为信息安全意识越来越受到人们的重视，各类型组织开始不断加强员工的安全意识培训和安全文化教育，甚至有公司还始将信息安全意识培训当成新员工入职的必修课，而且每年都对全体员工进行安全意识再培训，传统上只重视网络信息安全设备和硬件的公司纷纷认识到这并不足够，开始将部分安全投资转向针对全员的信息安全意识。

亭长朗然科技有限公司的资深安全培训讲师Alice称：在发达国家，几乎所有的组织都有将员工的安全意识培训纳入到安全管理工作之中，政府及各类安全组织更是积极推进整个社会的信息安全意识建设水平，知名安全厂商如McAfee和Symantec等等也早都推出针对企业用户的在线安全意识培训课程；而在我国，只有极少数组织会将针对全员的安全意识培训列入日程，在线的即通过电子学习方式进行的信息安全意识培训则更是方兴未艾，虽然是新生事物，但是无疑在线培训有其独特的优势——可以让员工随时随地自由学习，更能快速实施大规模培训，并且及时获得培训的绩效，这种新颖的方式值得大家去尝试，特别是那些尚未进行过课堂现场培训的客户更应一步到位，就好似在当今的非洲大地上，人们不用拉固定电话直接使用移动手机那样，大跨步体验现代科技带来的便利和高效。