根据网安科技的一项调查，中央国资企业仅将其IT预算的3.2%用于网络安全。对此，昆明亭长朗然科技有限公司网络安全专员董志军感叹道：这点支出与全球范围内的跨国企业13%的基准相比，显得多么的微不足道。

不可否认的是，很多中央企业担负着重要的政治任务，这就造成可能在非经济领域的事情上花了很多钱，因此尽管有庞大的开支，在网络安全方面，央企仍然会觉得处处都是威胁，尽管有如《网络安全法》、等级保护等法规驱动力来促进网络安全工作的开展，但是“巧妇难以无米之炊”，那紧张的预算，想买高端的设备和服务，是不可能的。

《网络安全法》实施几年来，相关细则不断出台，给互联网、金融等行业带来了巨大变化，许多公司正在不断加强对网络安全的关注和投入，但是这种情况似乎并没有在央企大量发生。为什么央企不带好头儿严格遵循网络安全相关的法律法规呢？要说他们不怕惩罚那是不可能的，要说没有资源那也说不过去，有国家做后盾的都是财大气粗的，而且有大量的服务商盯着看着。

一位常年与央企网络安全负责人打交道的超级销售称：“客户知道他们在信息安全方面的支出低于其发达国家同行的支出，但是他们也知道中国的国情，即使争取到了可观的网络安全预算，也很快会被领导一句话，就挪做他用。”

这就是央企国企的企业文化的一部分，网络安全负责人无奈也没有办法。不过，如果硬着头皮要上，那最好也是从文化入手，即少花钱买“物品”，多用“人力”，以建立网络安全文化。网络安全领域传统的观念就是安装硬件设备，安全人员喜欢这样做，因为外行的领导们不懂，当然，这闹出过很多笑话，比如一套软件一张光盘一千块领导觉得贵，把同样的软件装进工控机十万块领导却觉得值。不过近些年来，领导们越来越聪明了，他们不再迷信机器设备这些硬件，而是更注重人的因素。这也是一个潮流和趋势，设备设施是为人服务的，也要人来使用的，安全亦是如此，需要与人互动起来，才是真的安全。

建立企业网络安全文化，通过内部沟通，让人人懂安全，是最经济实惠的“秀”安全工作的方法，领导们可能不喜欢去机房看那些硬件设备，但一定会喜欢看到职员们展示出来的安全风貌，这就是领导们喜欢玩儿的，安全文化的体现。网络安全文化的体现会在哪些方面呢？董志军举出如下几个例子。

密码或口令的保护，密码出入各类信息系统的钥匙，是网络安全防御体系的重要一环，央企职员们可以使用容易创建、容易记忆、复杂而强大的密码来帮助提高网络安全性。这需要网络安全团队强化宣传，以激励职员们保持更健康的密码习惯。在职员们为领导们演示工作时，输入复杂的密码登录系统，与输入简单的密码，或者看着屏幕旁边的小纸片上记录的密码，给领导的印象会截然相反。

机密与隐私的保护，领导到办公区走走，看到有的员工不在座位上，但涉密信息却被摆放在桌面，有的员工在微信中随意披露工作内容，有的员工将工作文件上传到互联网云盘上，领导肯定会有些担心。与之相比，领导看到不在座位的员工桌面仍然很整洁，电脑屏幕也被锁定起来，其他的员工在离开座位时也收拾好桌面，并习惯性地锁起重要物品和电脑桌面。即使领导嘴上不说，心里也肯定会有自己的认识和看法。

恶意软件的感染，从来未感染过或听过受到恶意软件感染的机构，和感染了勒索软件的机构，给领导的印象绝对是截然不同的，即使领导是个网络安全方面的技术外行，但是显然，人们会有一个常识，电脑文件被勒索软件加密，绝不是偶然的因素，而无疑体现出网络安全综合水平的落后。

通常上述几个例子，相信不难理解网络安全文化的重要性，网络安全文化并不是虚无的东西，也并不是表面的东西，而是实实在在的网络安全治理管理体系的组成部分。文化的养成源自行为习惯的塑造，而行为习惯则源自于对网络安全的积极和正确的认识。如果人们不认为安装安全补丁有什么用处、甚至觉得是麻烦事儿的话，他们就不会及时安装软件的安全补丁，系统和网络的安全漏洞就会一直存在，一旦遭遇网络安全威胁，风险便随之而来。

不要以为通过扫描网络漏洞、识别和监控网络安全入侵行为，建立网络安全事件快速响应计划等等措施就可以替代掉对职员的安全文化熏陶工作，网络安全是一项全民的工作，针对网络安全威胁的战争亦是如此，不能仅仅依靠专业团队，全民用网络，全民要防范。

借助新型的安全意识培训产品，央企网络安全负责人可以快速、轻松地部署以培训员工安全意识的在线网络教育课程，内容包括安全意识基础和安全意识技术。在线网络教育系统通常还使管理人员下载报告以识别已完成课程和未能及时完成课程的职员。

当然，网络安全文化的建立并非一两次安全意识培训活动就可以达成，要不断地放在实践中去检验，网络安全现场审核与检查、人员网络安全意识访谈、模拟网络钓鱼攻击等等活动，都是花很少钱，却能同时衡量和促进网络安全文化建设的好方法和好工具。

确保网络安全法规与政策的落实，需要拿得出的东西来激励人们学安全、行安全。创建网络安全文化不能虎头蛇尾，要坚持不懈，定期进行全员安全意识刷新是必不可少的工作。

为帮助各类型企业机构的网络安全负责人员，昆明亭长朗然科技有限公司推出了网络安全意识培训与文化宣传服务及课程内容资源，欢迎联系我们，洽谈采购与合作事宜。

• 电话：0871-67122372
• 微信：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

当今的各类组织面临着一系列的安全挑战，包括终端安全、法规遵循和自带计算设备BYOD等等。通过实施必要的网络安全控管措施，比如常见的内网安全套件、桌面安全套件，网络信息系统管理员可以实现一定程度的控管目标，但是通常并不足够充分。

网络信息安全技术和产品呈现整合趋势，各类控管措施的功能越来越强，随之的软件设置也越来越复杂，这将导致实现一种控管目标需要庞大的工作量，特别是细力度和动态的控管需求会让负责任的信息系统管理操作员精疲力竭，日程月累，最终系统管理员只能选择放弃那些复杂的系统设置。

实际上，多数网络安全控管系统并没有发挥其主要的功效，有的甚至成了摆设，终其原因，不是网络管理员技术不足或偷懒，而是没有处理好与相关人员之间的关系。拿上网行为管理系统来说，多数组织都没有明确的互联网使用安全政策，全凭IT部门的经理主管和系统管理员拍脑袋来制定各类网站的安全访问规则，这显然是很搞笑和不靠谱的。

此外，还有技术层面的问题，不少网络信息安全产品为了渗透市场，往往会添加同类产品的部分功能，但是又非核心功能，所以控管力度不精细，这就会出现为实现一个目标有多个控管措施，而多项 控管措施之间互相冲突和碰撞的问题，比如为了控制员工使用某些互联网聊天软件，有管理员喜欢添加到聊天服务器的虚假路由；有管理员喜欢从防火墙层面设置访问列表，屏蔽即时通讯服务的认证服务器和网络协议；有管理员喜欢在代理服务器设置访问限制，阻断相关的网络通讯流量；当然也有管理员喜欢使用上网行为管理或上网审计系统来进行相关的控制；还有管理员喜欢从桌面应用安全策略上进行相关的设置……

不要指望这些冲突和碰撞在科技不断创新的大潮中会减少，相反，在竞争日益白热化的市场，即使冲突和碰撞不会变得严重，也会增加信息系统、网络信息安全控管和法规遵循的复杂度，最终让控管本身变得得不偿失。

实际上，市面上多数的网络安全产品都是多余的，至少并没有太大的必要去实施，特别对那些没有明确的安全方针政策和标准的组织更是如此，安全服务价值的接受度不高逼使安全厂商拼命研发和制造安全控管产品，进而通过忽悠客户来“创造”新的市场需求，这显然是本末倒置，“屁股指挥大脑”的一种网络信息安全市场怪相。

要解决终端安全以及信息安全相关的法规遵循问题，就要摆正信息安全中关于流程Process、技术Product和人员People的关系，三者相辅相成，缺一不可。不过现状是在安全控管流程Process方面，市场对安全管理咨询服务和安全解决方案设计服务等等的接受度高，但愿意花钱的不多；在人员People的安全资质和防范技能方面，认识到通过必要而适当的安全意识教育来提升员工安全水平的很多，但知道如何有效建立和实施信息安全培训方案的很稀少。

相比被市场牵着鼻子实施安全硬件设备又将其闲置，加强信息安全方面的软实力，对员工进行信息安全意识教育和培训，可以减轻网络信息安全系统管理员的工作负担，更能在节省资源的情况下获得更良好的终端安全控管绩效。而信息安全法规遵循不仅重点看各类安全方针政策和标准流程，更注重核查相关的记录和结果，以及否有人员参与必要的安全意识培训和流程沟通活动之中。