最近，一项国际调查表明：有近一半的职场新员工不知道他们的公司是否有网络安全政策。该研究还表明，员工需要更多关于网络安全政策的沟通和培训。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：如果在国内搞调查，这个数字应该远超过一半，达到90%都不奇怪。很多中小型规模的组织机构，甚至是机关单位，真的就没有网络安全政策，更不能说让员工知晓该政策的内容了。

该调查还表明，组织机构的各个级别的员工们都可能没有意识到他们的工作单位可能面临IT安全威胁。有75%的受访者表示，他们的雇主在网络安全方面完全没有做任何事情，更不用说在该领域进行培训了。简言之，新时代员工几乎没有意识到其所在工作单位的网络安全与自身之间的关系。

有人可能会对国际调查表示疑惑，那些调查的结果有什么用呢？

一方面，员工缺乏意识会使组织面临IT安全风险。攻击将越来越频繁、越来越复杂，以突破组织可以实施的所有保护措施。当下，即使国家、运营商甚至IT部门实施了大量的网络安全保护措施，但是员工们会觉得这是应该的，和自身没有什么关系。这种置身事外的观念，正是网络不法分子的想要的。为什么呢？因为不法分子开始利用人性的弱点，通过员工防范意识的薄弱，冒充权威身份，直接通过电话索取内部甚至机密信息。或者，通过钓鱼邮件、诈骗网站加上恶意软件，渗透员工使用的终端计算设备，进而盗取员工们的身份，以及更多信息资产。

另一方面，网络安全是一场与网络不法分子的竞赛，战场不仅仅是专业人员——IT团队，也包括广大群众——员工。要动员员工们，组成群众防线，需要提升员工们的技能并加之鼓励。俗话说：要出师有名，要有正当的理由。就需要有拿得出来的网络安全政策，不然，员工们可能会在诸如“将计算设备保持最新”方面，有“为什么要我这样做”等等的疑问。

当下，远程工作的激增带来了针对远程工作人员的新一波网络攻击，多位行业专家表示，传统的建筑园区，已经无法为这些终端用户提供边界安全防范，缺乏网络安全培训可能会增加网络风险。

为了提高员工对IT安全问题的认识，专家建议所有规模的组织机构都保持“自上而下”的网络安全政策。有的机构想从网络管理员“自下向上”推，经常会碰一鼻子灰，员工对IT安全问题的认识应该由组织机构的执行领导层来推动。当公司领导者在整个组织中强调并传达IT安全性时，员工才会更加意识到安全的重要性，并为网络威胁做好应对的准备。

网络安全政策，不仅可以名正言顺地“抗击”如黑客等网络威胁，亦能赋予员工网络安全能力，包括责任和义务。

提高安全意识的一种方法是在新员工入职期间进行安全培训。向更高级别的员工提供更合乎其角色和职位的IT安全入职培训计划，能让该高阶群体对IT安全威胁的意识和应对准备程度更高。

总之，为所有员工提供IT安全入门，可以缩小入门级和更高级别员工之间的IT安全知识差距，并有助于确保整个组织对网络安全问题有更加深入的认识和准备。

通常，当人们认为自己处于危险之中时，为时已晚，要么是因为他们认为自己的数据不值得窃取，要么是因为他们没有看到投资网络安全培训可以带来的价值。对此，昆明亭长朗然科技有限公司网络安全研究员董志军补充说：投资网络安全与买保险有相似之处，有时我们看到的一些组织机构的驱动因素只是他们自己或他们的同行成为目标并遭受某种形式的财务或生产力损失，然后最终意识到网络安全的重要性。当管理者认识到恶意软件攻击不仅变得更具破坏性，而且比以往任何时候都更容易感染之时，或者在面临强大的网络攻击骗术，员工们脆弱不堪时，再急忙补搞网络安全意识培训，会发现并不会获得立竿见影的效果。

昆明亭长朗然科技有限公司推出了大量的网络安全、信息保密及合规意识宣传教育内容，包括动画视频、平面图片和电子课件等各种形式的内容资源，其中也包含网络安全小游戏，以及互动式、场景式、案例式的教程模块，以及稳定可靠的在线培训平台（学习管理系统），欢迎有兴趣的客户及行业合作伙伴联系我们，预览作品、体验平台的功能以及洽谈采购合作。

云计算和移动化让传统的网络安全控管边界失效，同时也激发了诸如零信任之类的网络安全架构方面的创新，不过尽管如此，创建漏洞的员工们依然是网络犯罪分子突破组织安全防御时的好朋友。对此，昆明亭长朗然科技有限公司网络安全研究专员董志军说：尽管技术型的安全保障很重要，但是在保护工作单位的信息免受各种形式、规模和动机的网络犯罪分子侵害时，员工仍然是安全防线中最薄弱的环节，是木桶中的最短的一块儿板子。

坚定的网络犯罪分子定期通过复杂的网络钓鱼攻击，诱使粗心大意的员工们上钩，通常采取以下破坏安全性的伎俩：

• 禁用、避开或越过安全管控措施，例如防病毒软件和防火墙软件等等。
• 从可疑网站下载文件，这些文件会将恶意软件安装到电脑、平板和智能手机等计算设备上。
• 单击来自陌生或危险域名的网络钓鱼邮件中的恶意链接。
• 打开包含启动恶意代码的电子邮件附件。
• 回应仿冒的请求，将重要的信息，比如账户、密码、战略、机密等合盘托出。
• 误认为受到了上级或供应商的指示，将款项电汇到骗子指定的银行帐户。

以上网络钓鱼的风险非常普遍，我们通过各类媒体，经常都能看到类似的事故。组织需要唤醒员工的安全意识，以更加了解风险并更加警惕保护数据和计算基础架构。以下是针对员工们的安全意识计划宣传方案建议。

实施计算设备使用政策

传统上，由于国内缺乏透明的法治环境，很多企业机构也以“人治”为主，造成员工们不知道哪些信息系统使用行为是应该的，哪些不是，进而给网络犯罪分子以可乘之机。为防止因员工无知带来的网络安全风险，在政策层面，各类型的组织机构应该：

• 制定可接受的计算机和互联网使用政策。这是为员工们使用信息系统指定一个大的方向，政策应该指定哪些行为是可接受的，比如鼓励员工报告可疑的消息；也应指定哪些行为是不可接受的，比如禁用安全程序或发布不法消息。
• 确保该政策内容包括关于密码分享的禁令。有些小团队为了协同工作而内部分享密码，这种情况早期很普遍，因此带来不少的安全隐患，必须有政策禁止密码分享，这是提升安全，让员工们担负起保护账户的原则。
• 让每个员工和承包商阅读并签署政策。如同保密协议一样，信息设备使用政策也需得到签署，以表示员工们对此的认可和承诺。
• 告知违反政策的行为将记录在人事档案中，这将成为绩效评估、计算奖金、晋升事项和解雇理由的因素。这是确保政策执行力的关键措施，否则人们将会忽视规则，以及网络安全要求。

举行安全意识活动

只靠员工签署信息系统使用政策并不足够，很多员工可能并不会认真地阅读文本，也可能不会很好地理解其中的内容精要，也有一些员工可能会在实际工作时忘掉或者不能将政策与实际工作结合起来。因此，要降低网络安全风险，各类型的组织机构应该：

• 提供安全意识知识内容。可以自行创作编写，也可以采购专业的网络安全意识作品，包括动画视频、宣传图片和电子课件等等。
• 让所有员工和供应商每年都参加安全意识刷新。每年进行安全意识刷新，以防止遗忘，并紧跟安全威胁态势的发展，为确保学习质量，需要进行知识能力的考核。
• 定期沟通讲解电子邮件、社交媒体和互联网使用中的安全风险。安全意识沟通需要长期不断地进行，以让员工们逐渐养成良好的安全习惯，也促进组织机构的安全文化建设。
• 讨论和分享组织内部和行业发生的安全事件，并从中汲取教训。从安全事件中汲取教训是防止类似网络安全事件再次发生的关键措施，分析安全事件的根本原因，有针对性的提升安全意识。
• 定期通报对可接受的信息系统使用政策的审查结果。没有检查，没有衡量，就没有效果。定期检查员工们的安全表现，检查计算设备的安全运行情况等等，并进行通报，奖励做的好的员工，带动良好的网络安全文化氛围。

将供应链纳入安全意识计划

现在，大多数组织都允许供应商、分销商和客户有限地访问他们的某些系统。供应商安全管理不当引起的一些安全漏洞，被网络犯罪分子使用获取访问权限的事件偶有发生，需要引起重视。因此，组织机构应鼓励或坚持其供应商和分销商应执行降低安全风险的计划，其中包括互相检查常规的安全控管措施和对供应链相关部分进行安全意识沟通。

进行年度安全意识审核

组织应进行年度审核，以向管理层保证安全意识计划在最大程度地降低网络安全风险和数据泄露风险方面的工作。审核范围应包括对以下内容的审查：

• 违反可接受使用政策的情况。
• 适当和不当访问系统的统计。
• 员工发现和报告安全事件的情况。
• 安全意识培训活动的参加情况。

唤醒员工安全意识是一件长期而琐碎的工作，不仅需要坚持不懈的努力，也需要良好的沟通技巧和沟通素材。昆明亭长朗然科技有限公司精心创作了大量的网络安全意识宣传培训作品，包括电子课件、动画教程和宣传图片，欢迎有兴趣、有需求的客户及合作伙伴联系我们，进行作品的预览和采购。