各位同仁，各位朋友，大家好！

我叫董志军，目前在昆明亭长朗然科技有限公司工作，致力于帮助企业构建坚固的人员信息安全与保密意识体系。过去多年，我身处酒店和旅游行业，从信息安全主管一路成长为首席信息安全官，亲身经历了无数信息安全事件，也见证了信息安全在行业发展中的重要性。今天，我想和大家分享一些我的经验和思考，希望能引发大家对信息安全问题的更深刻认识，共同为行业打造一个安全、可靠的未来。

信息安全，绝不仅仅是技术层面的防护，更是一场关乎组织文化、人员意识的系统工程。在过去我所经历的事件中，技术漏洞固然是入侵的通道，但往往是人员意识的薄弱，为攻击者敞开了大门，成为事件发生的根本原因。

一、 警钟长鸣：两起典型事件的教训

为了更好地说明问题，我结合我职业生涯中经历的两起事件，与大家分享一些深刻的教训。

事件一：网络间谍的“隐形渗透”

当时，我们是一家大型连锁酒店集团的信息安全主管。某天，我们发现内部网络存在异常流量，疑似被外部势力渗透。经过深入分析，发现一名员工，他是一名负责采购的部门经理，在未经授权的情况下，利用工作账号下载了大量敏感文件，并将其通过加密方式发送到了境外服务器。

起初，我们以为这只是一个孤立的事件，但后续调查显示，该员工在一段时间内，通过巧妙地利用权限管理漏洞，逐步获取了更多敏感信息，并将其出售给网络间谍。

这起事件的根本原因，并非技术漏洞的缺失，而是员工对信息安全风险的认知不足，以及对公司信息保护制度的漠视。他认为自己只是在“方便工作”，却忽略了其行为可能造成的严重后果。

事件二：凭证攻击的“致命诱惑”

在一次大型旅游节庆期间，我们遭遇了一次严重的凭证攻击。攻击者通过精心设计的鱼叉式网络钓鱼邮件，成功骗取了一名财务主管的用户名和密码。随后，攻击者利用这些凭证，入侵了公司的财务系统，窃取了大量的客户资金信息。

更令人痛心的是，该财务主管在收到钓鱼邮件时，并未及时向安全部门报告，而是认为这只是一个普通的营销邮件，没有引起足够的警惕。

这起事件再次警醒我们，即使是最先进的安全技术，也无法抵御人员意识的薄弱。攻击者往往会利用人性中的弱点，精心设计诱饵，引诱员工犯错。

这两起事件都告诉我们，信息安全并非技术问题，而是人性的考验。只有提高员工的安全意识，才能有效防范各种安全威胁。

二、 意识是地基：信息安全工作的全方位考量

信息安全工作，绝不能只关注技术层面，更要从战略、组织、文化、制度、监督、改进等多个维度进行全方位考量。

1. 战略制定：明确目标，顶层设计

信息安全战略的制定，应该与企业的整体发展战略保持一致。要明确信息安全的目标，包括保护核心资产、防范安全风险、保障业务连续性等。同时，要制定详细的实施计划，明确责任分工，确保战略能够落地执行。

2. 组织建设：构建安全团队，明确职责

信息安全团队是信息安全工作的核心力量。要建立一支专业、高效的安全团队，负责信息安全战略的制定、安全技术的部署、安全事件的响应等。同时，要明确每个部门的信息安全职责，确保信息安全工作能够覆盖整个组织。

3. 文化建设：营造安全氛围，提升意识

信息安全文化是信息安全工作的灵魂。要营造一种人人关注安全、人人参与安全的氛围，让员工认识到信息安全的重要性，自觉遵守安全规定。可以通过各种形式的宣传教育、安全培训、安全竞赛等活动，提升员工的安全意识。

4. 制度优化：完善安全制度，规范行为

完善的信息安全制度是信息安全工作的保障。要制定完善的安全制度，包括访问控制制度、数据保护制度、安全事件响应制度等。同时，要定期审查和更新这些制度，确保其能够适应新的安全威胁。

5. 监督检查：定期评估，及时发现

定期进行安全评估，可以及时发现安全漏洞和安全风险。可以通过渗透测试、漏洞扫描、安全审计等方式，评估信息安全防护体系的有效性。同时，要建立完善的监督机制，确保安全制度能够得到有效执行。

6. 持续改进：学习新技术，优化流程

信息安全是一个不断变化的过程。要持续学习新技术，优化安全流程，提升安全防护能力。可以通过参加行业会议、阅读安全报告、进行技术交流等方式，了解最新的安全动态。

三、 技术赋能：行业应用场景下的安全控制

除了上述组织和文化建设之外，技术控制是信息安全工作的重要组成部分。针对酒店和旅游行业，我建议部署以下三项技术控制措施：

1. 多因素认证 (MFA)： 酒店行业涉及大量客户信息和财务数据，多因素认证可以有效防止凭证攻击。除了传统的用户名和密码之外，还可以增加短信验证码、指纹识别、安全令牌等多种认证方式，提高认证的安全性。

2. 数据加密： 保护客户信息和财务数据的安全至关重要。对于敏感数据，例如信用卡信息、身份证号码等，必须进行加密存储和传输。可以使用AES、RSA等加密算法，确保数据在存储和传输过程中不会被泄露。

3. 入侵检测系统 (IDS) / 入侵防御系统 (IPS)： IDS/IPS可以实时监控网络流量，检测潜在的安全威胁。当检测到恶意攻击时，IDS/IPS可以自动发出警报，并采取相应的防御措施，例如阻止恶意流量、隔离受感染的系统等。

四、 意识建设：创新实践，引发共鸣

在信息安全意识建设方面，我积累了一些经验，希望能与大家分享。

1. 互动式安全培训： 传统的安全培训往往枯燥乏味，难以引起员工的兴趣。我们可以尝试采用互动式培训方式，例如安全案例分析、安全游戏、安全竞赛等，让员工在轻松愉快的氛围中学习安全知识。

2. 模拟钓鱼演练： 模拟钓鱼演练可以帮助员工识别钓鱼邮件和恶意链接。通过模拟钓鱼攻击，我们可以测试员工的安全意识，并及时发现薄弱环节。

3. 安全知识竞赛： 定期举办安全知识竞赛，可以激发员工的学习兴趣，提高安全意识。竞赛内容可以包括安全知识问答、安全案例分析、安全漏洞挖掘等。

4. “安全小贴士”活动： 在公司内部刊登“安全小贴士”，可以提醒员工注意安全风险，并提供实用的安全建议。

5. 故事化安全宣传： 将安全知识融入到故事中，可以更容易地吸引员工的注意力，并提高记忆效果。例如，我们可以讲述一些真实的安全事件，并分析其背后的原因，让员工从中吸取教训。

六、结语：携手共筑安全未来

信息安全，是一项长期而艰巨的任务。它需要我们每个人的参与，需要我们共同努力。希望通过今天的分享，能够引发大家对信息安全问题的更深刻认识，共同为行业打造一个安全、可靠的未来。让我们携手共筑信息安全之盾，守护行业发展的基石！

在合规性管理领域，昆明亭长朗然科技有限公司提供一站式的指导与支持。我们的产品旨在帮助企业建立健全的内部控制体系，确保法律法规的遵守。感兴趣的客户欢迎咨询我们的合规解决方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

现在几乎很难找到没有安装防病毒软件和企业防火墙的大中型组织了，然而道高一尺，魔高一丈，即便是Verisign、RSA、索尼、北电、赛门铁克等等这些科技大腕的安全防范体系都相当脆弱，普通企业的安全现状更是令人担忧，这使众多组织的信息安全负责人不得不开始反思传统的信息安全防范战略。

在过去这十多年里，我国的计算机网络信息安全产业随着互联网和信息化大环境的成熟而迅速成长起来，成千上万个安全控制相关的科技产品问世，有大批趁着好势头急剧成长的安全公司，更有抓住机会成功上市的安全行业领头羊，拜改革开放和科技创新之赐，现在多数用户的在安全控管方面的任何一项现实问题，几乎都有大量的技术解决方案来应对。

然而，针对各种各样安全问题的大多数解决方案都停留在技术层面，厂商多数很清楚并不能完全信赖技术措施，技术措施的生效需要适合客户的使用环境、也需要客户相关人员对技术产品的完美配合。

在当今的社会，这简直就是无法实现的，因为世界不可能再回返到一个稳定的时代，组织所面对的将永远是不确定和无法控制的环境，即使科技创新不断追赶，也永远会落后几拍。

在大环境的变化上，即便是我们谅解安全厂商，也面临客户相关人员对技术产品的操作和使用之上，即使我们暂不讨论厂商在安全控管产品的价值和成效上是否有太夸张的溢美之词，要让相关人员理解和接受安全技术产品的控管并不容易，所以结果是，多数组织部署了大量的安全控制措施，却并没能让这些控制措施发挥效力，进而让很多控管系统形同摆设或束之高阁，举例接合防病毒和防火墙来讲，便是防病毒系统被停用或没得到更新，防火墙策略配置不当或存有漏洞。

那么，担负重任的信息安全经理总监们该如何呢？国际环境和区域形势复杂多变，我们在政治上讲科学发展观，在安全管理上讲科技安全观，科技是一项工具，安全观念的转变才是致胜之道。

毋庸置疑，现在即使科技仍在不断发展，并不够成熟和完美，但是已经且会继续吸引我们的注意力，我们以往忽视，而现在亟须加强的是如何能让科技这项工具发挥积极正面的效力，无疑要达到这点儿，需要我们以及安全技术的操作者和使用者们转变安全观念。

千万不要以为通过产品的使用培训便可使安全产品发挥效力，几乎没有实施了安全项目之后没有对用户进行培训的例子，这足以证明厂商的产品操作和使用培训是不够的，深层次的原因是信息安全的成功更多信赖全员的意识认知，而不仅仅是操作技能。

这一点儿，在中国、在信息科技和安全领域更是如此，我国在IT高科技领域的基础研究很落后，本地的成功企业多数是借助本土优势，占领了高端的应用层面，这就造成一个问题是整个社会大部分人们对科技产品的原理和概念不清楚，却在一天天照葫芦画瓢般使用它们，通常按步就搬的使用不会出现大的问题，可是稍微环境一变，就可能引发笑话甚至灾难。

在信息安全领域，也是如此，如果不让用户了解基本的安全观念，企图通过简单的安全防护产品的操作使用培训来保护用户，肯定是不够的，用户不能深入理解，肯定就不会从内心支持，更不可能在环境变化时与时俱进的改变。

转变观念不是一会儿两会儿可以达成的，不过，重在坚持，昆明亭长朗然科技有限公司推出了多个系列化的安全意识教育方案，能够帮助客户全方位、立体化、持续不断地对员工进行信息安全意识教育培训，如果您有任何关于信息安全管理中人员的认知培训问题或需求，欢迎联系亭长朗然公司的安全意识培训专员。