不少单位的信息科技负责人对信息安全管理并不陌生，但信心却并不是很足，这主要是由于IT总监经理们主要负责管理信息系统或信息服务，而保护信息安全不仅仅是IT部门的职责，技术精湛的攻击者可能利用各类渠道渗透进入单位的内部，进而窃取机密信息数据以及从事各类破坏活动。

那到底谁应该为单位的信息安全管理负责呢？显然管理层需要担负管理责任，这不是废话吗？进一步讲，要由单位的一把手，大老板或最高长官负终极责任，而且要由一把手领导挂帅，将责任层层分解，责任分解的一项原则是：“谁主管，谁负责”。

管理层往往要担负的职责很多，当然有更紧要的事务，而且多数总监经理们并不是安全管理方面的专家，所以别指望所有事情都亲历亲为，这就需要信息安全管理协调组织，这个组织也常被称为信息安全管理委员会，成员包括担任委员会主席的单位一把手、各职责业务单元或部门的总监、首席信息安全官或信息安全总监、首席安全官、风险管理部门和审计部门总监、以及各部门负责具体工作事务的安全协调人员。各部门总监经理们的职责是落实信息安全责任制，并对部门的安全管理指标、战略和计划等等进行决策。而各部门的安全协调人员则在部门沟通协调各类具体安全事务的执行，通常他们是即懂部门的业务流程，又懂得基本安全理念，还善于同其它部门、部门内部及部门总监经理们进行沟通的专业人员。首席信息安全官要面对安全管理委员会的所有成员，对上是单位一把手的安全管理智囊，对下是信息安全部门的总监，而更多是作为安全顾问和专家的身份，服务各业务部门的总监经理和安全协调人员们。

信息安全管理属于公司治理的一部分，和业务风险管理以及审计密不可分，所以首席信息安全官还需同风险管理及审计部门的总监经理们建立协调沟通，根据组织的实际情况，明确具体的工作分工和职责，以便各司其职以及协同工作，通常风险管理部门侧重于财务相关的业务控制领域，而审计部门则多会组织和实施各类安全检查或评审。

信息安全并不是虚拟的电子安全，不少信息资产更需要得到实体安全的保护，在不少单位，安全部往往会负责物理场所和财产实物的安全保障，安全部的长官——首席安全官更关注的是实体设施和公司区域以及环境的安全、比如监控、门禁、保安、防盗、安检、巡查、消防等等。实体安全和信息安全保障也息息相关，所以首席信息安全官和首席安全官也应聚在一起，讨论和明确各自的工作范围、分工及协作渠道。

即使有了恰当的分工协作，部分工作仍可能会有交叉点或重复点，这都没有关系，每家组织都是独一无二的，所以在具体的操作实践中没有必要太拘泥于死板的安全论调。某些安全工作职能可以归你，也可以归我，甚至你我可以合并起来，在进行科学划分的时候考虑一下工作的效率、资源的配备以及协作的流程，所以为了组织整体的安全，不要太拘泥于权力范围等或办公室政治，因为组织整体的安全需要所有员工的共同努力，更和所有安全从业人员的协同合作分不开，工作成效显著的安全职能部门也能影响其它的安全职能的工作绩效。

通常，信息安全从业人员都会不断地学习，以便在资质和能力上不断提升。在组织内部，安全总监经理们还需要不断学习和组织业务相关的知识，普通职员们可能不会要求安全专业人员非常熟悉他们的工作内容，但是首席信息安全官如果连一点基本的业务背景知识都没有则会被员工们耻笑，显然在谈及具体的安全事务时也难以被员工们所理解和接受，进而难以发挥领导的魅力，更难成为员工们的安全行为楷模。

不过有时因为时间仓促或影响力有限，首席信息安全官往往并不是业务方面的专家，关于这一点，亭长朗然公司的安全管理咨询顾问James Dong说：因为所有员工往往都会关注和倾听单位高管们的一言一行，所以首席信息安全官可以借助单位一把手或最高领导层的示范和表率作用。由于一把手对单位的信息安全负终极职责，也能更好把握企业安全文化的方向，所以更应该在员工们面前展示对保障业务安全的承诺、宣讲信息安全对组织成功的重要性、以及为保障商业安全员工们在日常具体工作中需注意的安全事项等等。

首席信息安全官还应该更多借力各业务部门的安全协调人员，信息安全方针政策的落实、安全行动计划的实施、信息安全标准和流程的执行都要靠这些安全协调人员来在各部门推动，所以，加强对安全协调人员的领导和管理，定期召开信息安全座谈会或协调会、提供必要的安全管理技能培训、通过现场检查和走访调研等方式帮助安全协调人员在部门内部实施信息安全管理体系。

信息安全协调是一项耗时耗力的重要工作，工作比较辛苦，这是由于安全协调人员们要面对大量部门同事的不安全意识和行为，又没有管理权。不过这些安全协调工作职位是对部门总监经理负责，各部门的安全职责归各部门总监经理，所以具体的安全事务需总监经理们来拍板实施，安全协调人员则是部门总监经理的安全智囊和地勤人员，当然在安全专业上的问题则应该更多向首席信息安全官寻求帮助。

为了减少各部门信息安全协调人员的重复工作和节约单位资源，首席信息安全官则应该考虑实施针对全体员工的安全意识培训计划，统一部署各类安全控管措施和安全工作流程，通过信息安全协调人员来帮助发现和解决安全工作中的具体问题。

当员工们看到最高层的领导在信息安全方面的决心，接受了单位统一的而且足够的安全认知教育，收到了部门总监经理对安全具体工作的指示，并且通过部门安全协调人员解决了心中的安全疑虑之后，他们定会表现出积极向上的安全风貌和安全行为。

总结说：信息安全管理工作重在组织与领导，而在组织与领导工作之中最重要的是安全沟通协调，针对全员的安全意识培训又是安全沟通协调工作的重中之重。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频，员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验，便可了解基础的安全防范理念。欢迎联系我们预览和洽谈采购使用。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898

在过去十年里，网络信息安全产业得到蓬勃发展，我们看到整个行业已经成熟到被广泛接受的地步，即将安全的心态和习惯融入组织的文化中。尽管如此，我们仍然看到太多的安全领导者陷入“该做什么”以及“怎么做”的陷阱。

为了探寻信息安全管理之道，笔者从乙方换到乙方，再从乙方换到甲方，又从甲方换到甲方，旋而再从甲方换到乙方，经过一番职场“挪腾”，终于自己创立了专注于安全意识和行为改变的小事业，我可以向您保证这个行业没有什么深不可测的传奇人物，更没有振聋发聩的传奇理论，以及无比厉害的科技装备。

都是在国家登记注册的企业，都是在党领导和管治下的机构，都是爹妈生下的血肉之身，企业与企业之间，人与人之间的差别其实并不大。人们对安全“该做什么”以及“怎么做”的误解和纷争，终究逃不出所在的人脉圈子，以及所在企业和职位带来的认知限制，当然出于对自身利益的诠释与包装，不少“明白人”会故意对安全“真理”进行一定的扭曲。

对大多数甲方客户来讲，当面临乙方设备厂商与咨询服务商时，最典型的一项争议便是采购安全设备重要，还是加强安全制度管理重要？当甲方客户说要坚持对员工进行安全意识培训时，乙方不满意了，他们极力掩饰着内心的着急，表面上表示出不屑：安全的最高境界是透明的好像不存在，因此还是不要打扰用户的好，再说培训用户那事儿没点技术含量，没什么价值。这时候，甲方客户可不傻，当然尽管其对于安全培训的“技术含量”与“价值”的看法有差异，往往也不会失去基本的社交礼仪，毫不留情地给乙方厂商怼回去，而是委婉地推脱或谢绝。乙方厂商一看对方不感冒，暗暗后悔自己失言或太冒进了，不过，事已至此，也只能礼貌地遗憾地离场。

千万不要以为事情就此告一段落了，乙方厂商人员不愿甲方客户的这个培训需求“肥水流了外人田”，便找来自己以往的兄弟乙方培训服务人员，与之私下分享了这道好菜。乙方安全培训服务人员登门拜访甲方客户了，在简单寒暄之后，切入正题：是要培训安全知识，还是安全技能？一句话点中了甲方客户的要害，争议又出现了，不过这次争议不是在乙方，而在甲方内部。甲方内部的技术派，当然觉得安全技术至上，除了强化安全从业人员的技能之外，还应强化最终用户的技术能力，以应对各种如病毒和黑客等安全威胁；而甲方的管理派，往往并不是技术极客，觉得技术很重要，但更重要的是要让最终用户理解安全基本知识，进而遵守安全管理要求。

先让我们放下争执，安全意识培训是所有安全计划的必要组成部分，通常也是安全计划中最薄弱的环节之一，因为安全教育往往很难坚持进行，造成这种情况的原因有很多。比如培训计划不够充分，没有明确定义教育框架，或者开展的次数太少。无论原因是什么，安全意识失败都会导致网络信息安全漏洞。难怪首席安全官（CSO）、信息安全官（CISO）和其他IT决策者们都在积极寻找更有效的安全意识计划。

问题的根源可能不在于安全意识培训计划，而是您的员工不了解他们正在使用的业务信息所面临的安全威胁。我们都希望能够使用技术来解决安全问题，来节省人力和提升效率。对某些人如网络黑客来说，这简直是真理。他们喜欢深入研究各种软件和硬件，以使他们更容易识别出什么时候工作不正常或漏洞可能存在于何地。这种技术人员经常在IT或安全部门中不难找到。

但对于大多数企业来说，我们与科技的互动并不会超出实际的用途。没有那么多无聊的人去折腾各类信息系统，去发掘漏洞赢得赏金。不过，也有一些令人惊讶的可笑的事情，就是有不少用户竟然认为云计算“实际上是在天空中”、大数据就是一个接近无穷大的的数字、黑客和网络犯罪只存在于影视作品之中。这让网络安全与信息化领导们颇为惊讶。随着数字化转型的出现，强调业务技术意识以及安全意识培训变得更加重要和紧迫。随着物联网（IoT）在工作场所无处不在，人们必须了解它们如何既能使组织受益又增加网络和数据的风险。

显然，在科技如物联网技术进步的过程中，用户对物联网的认识严重不足，它是什么，它在网络上的位置，以及它所连接的一切。如果您的员工无法识别该基本信息，您必然会遭到基于物联网的网络攻击。我们要做的，不仅仅是上系统，上安全，更需要对用户进行科技与安全的知识科普。

安全意识培训应该教会员工如何识别潜在的威胁，防止或减轻网络事件。但是，如果您不了解您所保护的技术，则很难将安全培训付诸行动。这导致网络安全最佳实践漏洞，可能导致数据泄露、勒索软件攻击甚至共享特权访问信息。换句话说，如果您的用户不知道他们正在保护什么，那么保持安全是非常困难的。

当然了解技术的好处也会超越了安全性。当员工熟悉他们使用的技术时，他们的生产力和效率会提高。他们的求助呼声会下降，因为他们更擅长使用软件和硬件，不仅可以解决问题，还可以找出新的捷径。

在安全意识培训中添加业务技术意识培训将一举多得。员工将了解他们每天使用的业务工具以及网络安全行为如何影响技术的生产。当他们看到技术和安全性如何协同工作时，组织内的整体网络安全工作将得到改进，安全培训也将更具洞察力。

只要有人的地方就有江湖，就有网络安全威胁，不要以为使用人工智能安全技术就可以解决人类江湖中的纷争，原因在于“道高一尺、魔高一丈”，安全威胁永远在进化，人工智能永远处于研究学习的落后状态。

再有，所有新科技最终是要人来使用的，因此，不应该在安全意识培训活动中忽视掉技术部分，也不能假设所有员工都拥有相同的知识库。首席安全官、信息安全官和IT决策者应为组织内的每位员工制定基准，以了解他们知道什么以及他们需要知道什么。这可以直接纳入每个安全培训模块，问题与特定技术直接相关，也可以是根据他们的工作岗位、他们使用的科技工具以及每个员工如何使用它们的方式为特定部门设计简单调查问卷。

传统上安全教育一方面侧重于针对专业人员的技能教育，以及针对非专业人员的意识培训和行为指导。但是，如果用户不能真正了解应用程序或硬件的运行方式，就无法知道他们的行为是否会增加风险。让用户知晓关于云计算、大数据是什么以及它的安全性如何受到影响的基本知识，以及物联网有哪些设备以及物联网成为安全问题的原因，可以大大提高员工的安全意识和技术娴熟度。

所以，信息安全知识重要还是技能重要呢？它们是不能分家的，安全专业技术人员需要了解必要的管理和意识知识，而用户除了基本的安全常识之外，也还要掌握基础的技术能力，不仅是为了防止闹笑话，更是为了提升工作绩效与安全防范能力。

昆明亭长朗然科技有限公司帮助各类型的客户提升员工的安全素养，包括对员工进行安全知识和技能培训，我们的方法是创作量身定制的培训内容，以及使用领先的在线培训系统。欢迎有兴趣了解更多详情的客户，以及合作伙伴联系我们，洽谈业务合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898