安全专员们可能认为使用脆弱密码的员工是傻瓜，难道没有人告诉他们不能使用123456作为密码吗？难道系统没有复杂密码的策略么？

也有IT管理员可能认为被成功进行电信诈骗的员工是笨蛋，他们难道比老太婆还贪迷么？为什么没有人告诉他们天上掉馅饼那些事儿都是骗局？

事实上，北大清华毕业的高智商人群中仍然有一部分使用脆弱的密码，博士生被小学生骗的案子随时见诸于媒体，安全专家们通常假设最终用户有一些基础的安全认知，IT管理员也可能会假设员工们都有一些基本的技术能力。

问题是这些假设只是“假设”，最终用户们可能在某方面是一张白纸，“假设”不是真实情况，“地球人都知道”的“常识”并不为全体员工们所知。事实上，没有基础的知识，根本不存在什么“常识”，所以在安全项目或安全计划失效时，千万不要怪罪于最终用户不了解安全“常识”。

在我们仔细分析问题的根本原因之后，我们会明白安全问题的原因并非最终用户的蠢笨，相反却是IT或安全管理员的不称职。事实上，我们多问一问如何能够防范这些安全事故再次发生呢？得到的答案往往是通过安全意识教育训练来纠正用户的错误行为，防止蠢笨的动作。

所以说，安全意识教育的目的是防止用户出现危害安全的蠢笨行为，换句话说，是让人们在日常工作中应用正确的安全最佳操作实践。

有安全专家可能觉得普及安全意识常识是很没有挑战的事情，事实上，多数安全意识教育并没能有效地改变用户的蠢笨行为，多项统计表明：只有少数成功的安全意识教育获得了最终用户的认可，而表现在由于人为失误而造成的安全事故发生率大幅下降。

此外，进行安全意识教育的另一个原因是技术控管措施并不是全能的，三分技术，七分管理，安全技术对整体安全控管的贡献度只占小部分。而安全意识教育无疑是建立健全安全文化的关键，从投入产出上看，安全技术往往价格不菲，安全意识教育则是更经济有效的。

越来越多的安全行业标准和法律法规遵循也都要求组织对员工进行必要的安全意识教育，但是安全意识教育本身并没有标准可以遵循。尽管如此，却有一些方法论可以参考，特别是在建立安全意识教育计划方面，西方发达国家走在世界的前列，这些方法论，实话说和其它企业培训没有什么两样，所以IT、安全和培训专员们应该协同紧密合作，方可建立起完善的安全意识教育方案和计划。

安全专员具有安全方面的背景，IT专员熟悉信息技术和计算终端，而培训专员则更擅长员工沟通以及市场推广。多数领导高层能够意识到安全意识的重要性并给予足够的支持，然而问题并非创建必要的培训内容和发动安全意识培训活动，也并非衡量安全意识培训的绩效——这些通过学习之后即时的测试或一段时间之后的行为监控可以量化。

安全意识教育的难点在让员工参与到安全工作中来，也就是在日常工作中认真对待安全。这话说过来，还是安全意识教育目标没有完全达到理想的效果，虽然部分员工会在接受安全意识教育之后在行为上有些改变，甚至多数员工们在参加安全意识教育之后也会积极地看待安全职能部门的工作，然而这些员工在数量或比重上可能并不足够理想。

这是一个学习兴趣和教育理念的深层次问题，虽然几乎所有的员工们都渴望通过不断学习来取得职场上的进步，但是到具体安全意识课程时，可能从内心深处并不认可某些内容或组织内实施的安全控管措施。所以如果将组织所期望的“正确的”安全理念强塞给员工，即使员工们不乐意，或迫于压力，也得认真学习以便通过测试。

对一些安全意识内容进行培训讲解之后立即进行的测试实际上只是一种短暂记忆能力测试，昆明亭长朗然科技有限公司的安全意识教育顾问Alice Wong说：短暂记忆测试很难深入到员工们的神经意识中，更别指望在培训之后员工们的安全行为能够有什么改观。引发学员们对安全的思考，挖掘出学员们内心的安全意识学习渴望，吊起学员们对安全正确认知的胃口，激励学员们在模拟安全场景中作出正确的选择，比直接而苍白地告诉员工们为什么需要安全、安全是什么以及如何保障安全等等更为有效。因为员工们在学习过程中的主动参与已经在他们的大脑中植入了难以磨灭的深刻印象，在面临安全实际问题时进行正确选择的细胞已经萌发，安全意识基因已经在员工们的体内形成，所以互动式、场景式、参与型的安全意识教育如同应对安全威胁的预防针一样，开始生效了！

安全意识教育不能仅仅靠贴海报、发手册或放大片，单向的输入不能引发受众的思考，对认知和行为的改变效果不够，唯有参与式的安全意识学习，才能给学员位最深入的学习体验。