从攻防演练一窥安全意识培训 – 作者:梨梨鲸-安全小百科

攻防演练是近年热点，安全意识培训是安全管理体系其中一环。两者的结合，看似不伦不类，但通过近期体会，笔者认为如果把安全意识培训以管理工程的角度去衡量，比起其他安全管理技术，在这上面的投入还是过少。

——或许，安全意识培训更名为“安全通识教育”更贴合它的本意。

一、由实战化攻防演练带来的工作思路转变

以各方讨论、市场供需初步判断①，特殊时期的安全服务岗位还是比较火爆的。他们能提供的服务例如：防守前的梳理与安全加固；防守过程中的敏锐判断与盯盘、值守、巡检；结束后的复盘总结等。这些工程师了解大致“游戏规则”，满足企业临时性的工作要求，同时能够协助企业将安全响应机制运转建立起来，是很受欢迎的服务形态。

然而，在可以预见的未来，攻防演练会趋于常态化、广泛化，因此，已经进入了需将短期安全服务补足为常规工作能力的窗口期。

二、各方对于攻防演练教育的投入

值得注意的是，作为政策发起方，法律法规文件方面颁布并不频繁。例如去年仅发布一篇相关标准：《信息安全技术网络安全应急演练指南》(GBT 38645-2020)，且正文部分较为简要②；国家级法规除网安法寥寥数语，央行、网信办等部委也暂未发布相关文件或征求意见稿。

而科研机构或厂商则属于遍地开花状态，如公安一所攻防技战法培训、金融科技学院的专项培训、一些安全厂商的主题培训、安全资讯提供的总结分享文章等，基本免费。培训主题不仅和管理过程相关，也有一些攻防技术研判的技术③，基本能够满足安全从业者学习需要。

然而，在各类安全合规标准与检查过程中，对安全培训要求较为宽松，同时缺乏对安全攻防的针对性。如：

《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）中要求：应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施；应针对不同岗位制定不同的培训计划，对安全基础知识、岗位操作规程等进行培训；应定期对不同岗位的人员进行技能考核。

但在实际测评环节，三级以上系统每年至少开展一次即可满足要求④。

《金融行业网络安全等级保护实施指引第4部分：培训指引》（JR/T 0071.4-2020）中，内容较为全面，包括培训目标、培训原则、培训计划、培训对象、培训内容要求、培训实施、培训考核与培训档案管理等。

由于金融等保的相关测评项仍以培训记录作为结论，其他过程没有监督实施细则。

《银行业保险业信息科技非现场监管报表（2020版）》中关于信息安全培训相关的指标：本年度开展的信息安全培训次数、员工参与率、考核通过率。

出于报送便捷性，采用了数值形式的标准化设计，无法体现培训效果。

《信息安全技术个人信息安全规范》（GB/T 35273-2020）要求：应定期（至少每年一次）组织内部相关人员进行应急响应培训和应急演练，使其掌握岗位职责和应急处置策略和规程。

与等级保护要求略有互补，但该规范通常并不作为测评指标。

跨境相关安全政策，对于培训要求也较为泛化，如GDPR中各部门应专责组织参加数据保护培训等。

同时，企业在组织安全意识培训时，实践中也有部分共性难题：

1.受众不清晰。业务方、产品、开发、运维、测试，乃至新兴的大数据运维等细分岗位，安全需求并不一致，但培训内容往往一把抓。

2.内容单一。面对实战化的攻防演练，内部培训往往仍是老生常谈的弱口令、邮箱钓鱼、法规条款、同业被罚的经历、安全事故等这几类内容，普通人听了一遍就不想再听第二遍。

3.讲师水平差异。大多数人并不具备讲授或演讲经验；同时培训方基本为理工科，通常并不擅长培训类PPT的制作。

4.效果难追踪。安全培训通常设置在在新人入职时，后续按需进行，基于成本投入和缺乏监管驱动，通常不会针对员工的使用个体化的量化工具评估培训效果。

通过以上分析，笔者认为，监管机构、甲方企业等需要接受安全相关教育和知识的人员、乙方企业如科研、安服等提供安全培训输出的机构这三者，对于安全教育培训建设还没有形成闭环管理，不足以建立一项“安全教育培训”管理分支。当然监管机构并不具有教育的职能，只能将安全教育纳入强监管范畴，从而带动相关工作的建设。

三、安全应是通识教育

那么，哪些行业可以作为信息安全教育培训的强监管对象呢？无需赘言，军工、金融行业首当其冲；其他行业笔者尚未深入思考，只粗略给出几个因素：是否属于采用互联网信息技术的关键基础设施、是否具有大量自主研发新兴技术、是否为国内外黑客重点攻击对象，以及其他受到破坏可能对国际网络空间形势造成影响的技术或企业。⑤

这些行业或单位，经过层层把关聘用了高精尖的信息科技人才，在特定领域上已有所建树，如果没有系统的训练安全架构、风险评估与防范意识、安全事件应急处置等泛安全类的通识，对信息安全的认识如果主要是被动听受较为基础浅白的科普，或许帮助不大。同时，一些关键系统运维岗位，虽然不会业务研发，但身为系统最高权限所有者，仍需了解一些安全常识。

那么，如何从攻防演练入手，规划安全教育培训呢？笔者有几类思路：

1.持续训练。主动参与类似活动，不断重复才能加深记忆，形成能力；

2.安全管理责任方应留“课后作业”。将攻防演练工作参与过程的各类解决办法和思路不断积累沉淀，反哺事件处置流程中的各环节责任人；

3.技能考试与绩效挂钩。将个人能力提升与报酬挂钩，产生正向激励；

4.尝试转变角色。孙子兵法云“知彼知己者，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆”，如果只懂攻击或只懂防守，对过程谋略仍缺乏指引，安全技术也并不是非黑即白，在法规框架要求之下，还应具备一些Geek/Hacker精神。

5.安全教育课程精细化设计。应吸收懂得安全、技术、教育的复合型人才从事相关工作，提供具有竞争力的待遇。

当然以上仅是笔者一点情怀和畅想，安全培训的执行上仍有大量细节需要考虑和平衡。但通过上述讨论期望能够获得认同，安全培训类工作不应仅靠信息安全部门牵头，应该从整体企业建设层面去加强。

正如交通安全“行车千万条，安全第一条”等各类脍炙人口的宣传语，信息安全也应作为企业运行轨道的警戒标识。各类企业依托互联网已从野蛮发展步入深水区，也许是时候从通识教育上与其他企业拉开差距了。