对于网络安全专业人员来讲，安全意识活动是针对最终用户的教育培训活动，似乎主要是些“软技能”方面的沟通与交流活动，没有多少技术含量。甚至有网络安全技术专家认为，安全意识活动就是通过展开一次又一次的小型安全研讨会，在互相聊天与吹牛之间，便可将安全知识“灌输”给最终用户，让用户在经过一番安全意识的“洗脑”之后，便完成华丽的安全知识“升级”——从无知小白变成无敌战士。
的确，如今，企业以及企业级的组织机构（机关单位）必须考虑使用安全意识活动来提高整体安全态势。因此，有很多公司和顾问了解有关安全意识活动的些许内容。有提供平台服务的，有提供内容服务的，也有提供咨询及活动服务的，但是成系统的做法很少。作为信息安全意识方面的先行者，我认为重要的是首先考虑一些驱动因素，搞安全意识活动只是简单的随大流吗？这样做的商业原因是什么？衡量安全意识活动成功的关键组成部分是什么？我们如何证明这项投资的商业价值是合理的？从2010年开始，昆明亭长朗然科技有限公司就一直专注于信息安全意识这个课题，并持续进行着理论研究与实践探索，至今以来一直在进行。
人类进入了全球局势动荡的大时代，网络威胁不仅来自于黑客和间谍活动，甚至还有国家力量支持的网络战争，我们是否有办法保护关键基础设施和公司免受犯罪活动的侵害？国家网络安全宣传周活动提出“网络安全为人民、网络安全靠人民”的有趣口号，仅仅只是想让人民认识和防范网络电信诈骗吗？我们相信全球以及各个国家的组成部分——各类组织机构可以用来以非常切实的方式提高其整体安全状况，进而促进全球整体的网络安全。
我们发现许多公司和安全团队都在努力解决安全问题，总体上网络安全仍是一个向上的产业，是因为新型的网络威胁仍在不断出现和发展，并且比以前更加活跃，我们看到这种趋势仍在继续，并且以非常惊人的速度演进。说起来这些威胁的部分特点与新型冠状病毒非常相似。当我们看到大量成功的攻击，以及研究表明它们之所以成功的原因之时，我们很快就确定，成功的攻击实际上利用了某种形式的社会工程或者其他类似的使攻击更易成功的因素，基本上来说，社会工程可以让网络犯罪、黑客、间谍利用人性的弱点，比纯粹利用系统中的漏洞，要容易成功得多。还有一点有趣的是，我们不仅在这些攻击中发现有社会工程学的成分，而且这些犯罪黑客利用的漏洞大多是旧漏洞，而且它们也是众所周知的攻击，例如SQL注入、基于Web的应用程序中不正确的身份验证机制执行的恶意代码、XSS攻击等。
此外，我们研究的结论还展示出一些更有趣的事情，包括攻击成功的其他原因。因此，我们研究了防病毒防火墙，包括基于个人和网络的入侵检测系统和入侵防御系统。我们发现，事实上，在很多情况下，这些传统的防火墙和入侵防御系统并没有阻止那些成功的攻击发生。这其实非常容易理解，传统的安全防线很多会失效，尤其是配置不当，比如使用默认配置或过时的配置之时。简单说，那些防火墙防入侵的安全设备没有得到很好的使用，效力极差。这就类似在新冠不断变种、传播力感染性持续强化的情况下，人们却仍然不正确佩戴口罩，乐于成群结队地参与聚集活动，一个道理。
其中一些原因是社会工程的组成部分。这也是我们将了解安全意识活动如何提高整体安全态势的地方，在几乎所有类型的组织中，实施社会工程攻击，都能收获非常可观的商业价值。所以安全团队需要安全工具来搭建“全民”安全保护架构，以免受黑客犯罪和基于间谍活动的黑客攻击，“全民”用户需要大量的培训。
通常，除了针对最终用户进行安全意识培训之外，还需要让用户能够理解和意识到攻击何时发生（重大事件、敏感时期），如何根据证据和警报识别攻击正在发生（异常情况），如何强化安全策略的执行（安全抉择与行为）。当我们对此进行调查时，更详细地了解它们如何提高安全态势，我们发现很多公司实际上并没有对工作人员进行网络安全培训，更没有以安全意识活动形式实施的安全培训计划。这些计划至少会要求每年进行一次全员的安全宣教活动，该安全刷新应作为员工的年度进修计划获得实施。
十年前，还有一些反对的声音，认为在安全方面，应该尽量实现安全“透明化”，不该打扰用户。而现今，从社会层面看，系统操作越来越“傻瓜化”，脆弱的小白用户可以在数字世界中生存，却因为不懂系统原理，就很容易遭遇诈骗。从组织机构层面看，系统的弱点能够通过技术手段最大程度地修复，而人性的弱点，越来越被放大地应用于社会工程攻击。而要修复“人性的弱点”，无疑需要在安全意识活动中发力。而今，包括NIST、SECUREMYMIND、CSI、工信、科技、网信、保密、公安、FBI、OWASP、ISACA等等在内的多家安全机构的研究表明：大多数知名企业及跨国公司已经将安全意识活动提到了前所未有的高度，成为了网络安全工作的一项重要内容。
昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。
