不少机关单位的高层领导，甚至网络安全负责人员，都有一种假设，就是只要拥有足够强大的技术防护措施，就可以高枕无忧。比如：使用网关、邮件、桌面等多重防病毒体系，就可拒计算机病毒于门外；使用防火墙和入侵检测与防御系统的报警和切断方案，就可以自动发现和阻止潜在的黑客攻击；使用动态的和足够大的带宽，可以让分布式拒绝服务攻击者望而却步……对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：如果网络安全工程师这样认为，我觉得可以谅解，毕竟这些技术管控和工程师们的日常工作密切相关。但是，高层领导和网络安全负责人员也这样认为，就显得不正常。因为不管防御系统的架构设计多么完美，日常防御的运营维护多么专业，没有一套至上而下的管理体系和制度规范，单靠提升技术方面的防御能力，就如同缺乏智慧头脑的一介武夫，缺乏正气，容易走偏，也就是进入武侠剧中“走火入魔”的状态。

那么，如何建立网络安全方面的“正气”呢？要了解网络安全在组织中的重要性，以及保障网络安全的常规方法论，在“大图景”之下，不至于剑走偏锋，也不至于被少数利欲熏心的网络安全厂商洗脑制约，或被厂商潜藏于监管机关中的代理人忽悠蒙骗。对此，董志军补充说：各类型的组织机构都不得不强化网络安全工作，特别是政府机关单位和关键信息基础设施行业，在网络安全法等相关法规的要求之下，不得不实施各种网络安全举措。搞好网络安全工作，这本身是一件有利于组织机构，亦有利于国家和人民的好事儿。但是就是有少数部门和机构、小团伙及个人，为了自己的利益，曲解网络安全法的精神，滥用法律为自己谋利。比如，借助自己的专业资质和能力，把几百块成本的网络安全设备，卖到几万甚至几十万、几百万。再比如，把一件很简单的安全评估、检测和审查工作神化，动辄索取几十万的“通关”报酬。当然，有既得利益人群会说：向国家机关单位多要些钱有什么大不了？钱不就是要“取之于民、还之于民、用之于民”么！问题是钱真正的“用之于民”了吗？还有那么多要靠自己艰难挣钱的组织机构特别是中小企业如何负担得了昂贵的网络安全呢！如果大量的民间企业网络“不安全”，那整个国家能获得“网络安全”吗？

了解了国家层面的网络问题症结所在，也就知晓该如何在组织层面进行应对，最重要的一步当然是加强网络安全管治方面的学习，国家有通过“网络安全宣传周”搞大规模的网络安全扫盲和普法活动，但是主要是针对普通百姓的，关于如何搞好网络安全管理则非常缺乏，因此不要指望太多。您可能会说，国家有发布相关的信息安全、网络安全标准和指南，多部委及监管机关也有发起指令，按照指令行事就好。您这么说大的方向没错，按照类似信息安全管理要求或等级保护管理要求等等国标行事，自然是走在正确的方向。

不过，不要以为大方向对，就不会再走偏。需知，某些标准和指南也是厂商的利益体现。简单说，很多厂商为了自身的利益，为了多卖些产品或服务，在国家标准起草时，就积极参与相关工作，而那些标准化机构中的一些工作人员，不排除有被其收买的。并不是说国家标准会推荐一些厂商的产品或服务，而是要实现国家标准中有的相关安全控管目标，最快捷的方式就是采购那些产品或服务。这虽然有些绕，但不是一回事儿，堂堂大国还是很光明正义的。但是世界之大，难免会有些钻营之徒，影响国标，在国标中弄一些苛刻的过分的，甚至没有必要的安全要求出来。虽然那些苛刻的过分的安全要求对于网络安全来说有一定的促进性，但是在全局层面，也是在浪费国家和社会资源呀。况且，如果在某方面的安全控管过力，往往会带来反作用力，过犹不及，同时，让另外的方面欠缺，造成一种不稳定的失衡局面，并形成不被注意的安全漏洞。更为恐怖的是，在网络安全防御方面，过度自信的危险性很高，还不如一点儿都不自信。

那么，如何让包含领导干部或企业高管在内的所有职工在网络安全方面保持谨慎呢？一些简单的方法包括在领导干部会议、公司会议中讨论网络安全文化建设，向全体职工发送网络安全消息，在内部传递网络安全信息，以提升网络安全意识。整个组织机构中的人员都应该接受定制化的安全意识培训。当然，应该从高层领导层开始，高层以及高层的助理往往是网络安全的高危人群，应该从网络安全认知研讨、行动养成计划、个人网络安全模拟以及技能实践演练等多个方面多头并举。对于技术人员来讲，培训应该包括特殊技能的培训，比如如何加固系统平台，如何侦测不合乎要求的终端，如何制定切实可行的安全策略等等。对于网络安全管理人员来讲，培训应该包括如何制定安全方针政策，如何对标进行合规自检和整改措施，如何对一般员工进行网络安全意识培育，以及促进安全制度的落实并推进组织安全文化的构建。

政府机关单位的网络安全做法虽然有些低效，但是值得公司企业参考借鉴，从经济性角度讲，网络安全管控措施过于细化不划算，使用更为简单的安全方案往往是最有效也最实惠的。不要迷信于自动化的技术措施，人工智能永远落后于不法分子利用“人性弱点”发起的社会工程学攻击。要加强整体组织层面的全体动员以应对网络安全问题，团队协作迅速响应才是致胜的关键。当然，政府机关单位必须善于利用外部资源，因为网络安全水平差距太大，请专业的网络安全服务公司或网络安全公安机关帮忙，方能拥有可与外界威胁抗衡的网络安全实力。

定期评估检查网络安全控管措施的有效性非常必要，在领导干部及管理层会议上强调网络安全，分派安全沟通议程是在对高管层赋能，而针对全体职员的网络安全教育工作是在加强沟通与凝聚，以强化终端安全及人员安全，以“人民战争”的正义态势，形成全面的网络安全防护体系。昆明亭长朗然科技有限公司推出了专门针对职场工作人员的网络安全与信息保密意识课程，以帮助各类型的组织机构建立有正气的网络安全文化和网络安全工作氛围，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

在当今的数字化时代，网络安全已成为各行各业企业关注的重要问题。随着网络攻击威胁的不断增加，企业必须优先考虑建立强大的安全措施，以保护其宝贵的数据和资产。然而，重要的是要记住，网络安全不仅仅是 IT 部门或安全专业人员的责任。企业内的每一名员工都在确保公司信息和系统安全方面发挥着至关重要的作用。

了解不断上升的网络攻击威胁

近年来，网络攻击变得越来越复杂和普遍。黑客利用各种技术和工具来利用公司系统的漏洞，在未经授权的情况下获取敏感信息。特别是勒索软件，已成为企业关注的一个重要问题。这类恶意软件会加密企业的数据，并要求支付赎金才能释放数据。成功的勒索软件攻击可能会造成毁灭性的影响，导致经济损失、声誉受损甚至业务停机。

与此同时，向远程工作的转变为企业的网络安全带来了更多挑战。远程工作环境通常缺乏与传统办公环境相同级别的安全基础设施，因此更容易受到网络攻击。远程工作的员工可能会连接到不安全的网络，或使用未得到充分保护的个人设备，从而为黑客提供了进入公司系统的潜在入口。

在组织内部建立强大的安全文化

要降低网络攻击带来的风险，企业必须投资建设强大的安全文化。这就需要创造一种环境，让网络安全成为共同的责任，让每一位员工都意识到潜在的威胁以及他们在防范威胁中的作用。例如，戴尔科技公司在培训员工识别和报告网络钓鱼攻击方面取得了成功，网络钓鱼攻击是黑客获取未经授权访问的最常用方法之一。

每位员工在确保网络安全方面的责任

维护网络安全是企业内每位员工的责任。虽然 IT 部门和安全专业人员在实施和管理安全措施方面发挥着至关重要的作用，但其他员工也有责任确保公司信息的保密性、完整性和可用性。

• 管理人员、数据保管员和系统所有者：管理人员、数据保管员和系统所有者负责监督企业信息和系统的安全。他们与业务合作伙伴、技术专家、员工和用户合作，共同实施政策、程序和最佳实践。他们了解信息管理中的风险，并努力有效地应对这些风险。他们根据信息对组织任务的重要性对信息进行分类，记录安全计划，并在系统实施和维护过程中应对风险。

• 业务合作伙伴和技术专家：业务合作伙伴与技术专家合作，构建和维护能够安全收集、存储和传输数据的信息系统。他们合作对信息进行分类，识别和处理风险，并在员工、系统用户和供应商中建立如何安全管理信息以及遵守政策和程序的意识。

• 员工：所有员工都有责任遵守组织的信息安全管理政策和程序。这包括粉碎包含受限数据的文件、使用强密码和防病毒软件保护工作站安全，以及向系统所有者报告风险和事故等行动。通过坚持这些做法，员工为组织的整体安全做出了贡献。

• 技术人员：技术人员负责开发、实施和维护信息系统。他们建立服务器、开发代码、管理应用程序、维护网络，并建立安全控制和程序。技术人员实施访问控制，建立管理应用程序代码和网络基础设施变更的良好做法，并通过实施防火墙、入侵检测/防范设备和加密技术来保护网络。

• 供应商：业务合作伙伴通常依赖供应商以具有成本效益的方式提供服务。在合同协议中，系统所有者和业务合作伙伴必须明确规定供应商应如何安全地管理信息。合同协议应包括有关遵守组织政策和程序、信息分类和有效保护信息安全的指导原则。

• 系统用户：系统用户，包括员工和外部人员，有责任了解适用于他们的安全政策和程序。他们应了解系统的适当用途、条款和使用协议、可能与其他方共享其信息的情况，以及如何保护其身份信息。对系统用户来说，创建和维护一个强大的密码以及识别可信赖的网站和电子邮件也是至关重要的。

安全工作中的合作与沟通

维护网络安全需要组织内不同角色之间的协作和沟通。必须建立有效的风险和事故报告渠道，以确保迅速采取行动。定期交流和提高认识计划有助于员工了解最新的安全威胁和最佳实践。通过培养协作和沟通文化，企业可以增强整体安全态势。

实施全面保护的最佳实践

要全面防范网络威胁，企业必须实施涵盖网络安全各个方面的最佳实践。这些实践包括：

• 对信息进行安全分类和记录：组织应了解其信息资产的敏感性和关键性，并对其进行相应分类。通过记录与每个分类级别相关的安全控制和程序，组织可确保采取适当措施保护信息。
• 建立并执行访问控制和流程：访问控制可确保只有经过授权的个人才能访问组织内的特定信息或系统。组织应实施访问控制机制，如最低权限和职责分离，以防止未经授权的访问，并将潜在安全漏洞的影响降至最低。
• 将信息安全管理纳入合同协议：在与供应商或外部合作伙伴合作时，企业应在合同协议中加入相关条款，概述信息安全管理的责任和期望。这可确保供应商也遵守组织的安全政策和程序。
• 对人员进行安全责任和意识教育：员工在维护组织内的安全措施方面发挥着至关重要的作用。他们有责任遵守政策和程序，报告风险和事件，并坚持信息安全的最佳做法。通过保持良好的网络安全卫生习惯，员工可以帮助防止安全漏洞并保护组织的敏感数据。

动画视频是进行意识宣导的一种生动有趣的方法，展示渠道包括使用电视屏幕、网络点播、短视频、企业/公众号推广等方式。昆明亭长朗然科技有限公司创作了海量的安全意识培训内容资源，同时不断地推出新内容，并且提供量身定制的安全教育内容生产服务。我们有千余部计算机网络安全、数据安全、个人信息保护、保密以及合规相关主题的动画视频，以供客户按需求进行适用性的选择。

总之，网络安全是组织内每个人的责任。由于网络攻击的威胁不断上升、勒索软件的影响以及远程工作带来的脆弱性，有必要对信息安全采取积极主动的合作方式。通过了解自己的角色和责任，员工可以为建立强大的安全文化和确保全面防范网络威胁做出贡献。在针对人员的安全培训方面，电子学习非常适合强制性的安全意识课程学习，例如针对新员工的安全培训和年度全体员工的安全意识刷新。随着信息科技的发展，电子学习越来越受到各类企事业单位的青睐。昆明亭长朗然科技有限公司创作了大量的信息安全、秘密保护及合规普法类的标准化电子课件供客户选用。

欢迎有兴趣的朋友联系我们，预览我们的产品作品，体验我们的在线系统。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com