信息安全意识培训可以这样做 – 作者:softgirl

安全意识的淡薄，总能让我们看到听到一幕幕血的教训。

信息安全意识是企业安全建设的基石，只有基石牢固，才能铸造稳固的城墙。但是往往越是基石，越不被重视，最后在高昂的设备和技术防护下，出现安全事件。信息安全意识的提升有很多种方式，常见的有培训、考核、海报、视频、软文、活动等，但是做的比较成熟的是信息安全意识培训。

我看过很多培训的素材、也找过服务商做意识类培训，但是效果并不明显。经过不断反思和总结，我找到一套很适合安全意识培训的方法，至少在我们公司运行比较成功，从刚开始对安全的漠视到现在开始主动找安全部门反馈和上报问题。这套方法，我称之为安全意识培训“四步法”。本文就跟大家分享下这套方法，也许对你也有启发。

在进行安全意识培训的时候，核心点有四个。第一是在培训开篇引起大家的兴趣，愿意放下手机听你讲；第二是要跟学员互动，让大家感知到安全意识的重要性并有参与感；第三是要有充足的案例，最好是企业内部的案例，把枯燥的课程用案例变得趣味生动；第四是跟公司的业务、部门或具体项目挂钩，引起学员的思考，这样才能在培训结束后落地执行。“四步法”就是把安全意识培训的PPT分成了四部分：引言篇、概念篇、规范篇和案例篇，引言引起大家的兴趣、概念进行知识科普、规范用来阐述风险及要求、案例用来分析反思。

一、引言篇

安全意识培训的第一部分是引言，你也可以命名为序言、开卷等自己喜欢的名字，本部分的目的是调起大家的兴趣、让大家知道什么是信息安全意识、为什么要进行安全意识的培训及安全意识跟我有什么关系。常见的序言开篇有四种方式：

1. 视频为引。选择一段安全意识相关的视频，比如《唐人街探案》中女黑客的视频剪辑、《速度与激情8》中僵尸汽车的剪辑、《幽灵》中黑客视频剪辑或在抖音搜索相关视频剪辑。视频往往能吸引学员的注意力，引出他们的兴趣。

2. 故事为引。选择一个意识相关的故事，比如袋鼠跑出笼子，饲养员不断加高围墙，加到100米的时候，长颈鹿问袋鼠“你明天还出去吗？”“应该会出去，如果他们依然忘记关门的话。”袋鼠回答。这个故事就很好的诠释了意识的重要性，如果意识不到门没关，一味的加高围墙，只能是本末倒置。

3. 题目为引。开篇可以放几道选择题，让学员选择，既可以互动又能很好的引出培训的主题。比如：你有如下的经历吗？

A. 经常被营销电话骚扰

B. 快单直接丢弃

C. 街头调研经常会留下真实的姓名和电话

D. 经常收到中奖的消息

问题跟学员的日常生活息息相关，让大家很快就能进入听课的状态。

4. 热点为引。热点事件，如微盟删库、微博数据泄露等热门事件作为开篇引导，会激起大家的好奇心。

二、概念篇

当大家进入听课状态后，要给大家进行安全概念的普及。什么叫信息安全？信息安全的范围很广，本课程所讲仅限于保护企业资产的安全性（根据实际情况自己修订）。企业有哪些资产、这些资产都在哪里、跟我们有怎样的关系？信息安全相关的趋势是怎样的？法规有哪些？如果违反规定，有哪些处罚措施或后果。这些都是概念篇需要解决和科普的内容。

三、规范篇

介绍了信息安全的概念，接下来就要划重点了。既然信息安全如此重要，我们要怎么做才能保障安全呢？一般来讲，信息安全意识规范可概括为七大类，具体如下：

1. 账户安全

几乎每个人入职初都会领取办公电脑，拿到电脑的第一步就是开机设置密码，所以从账户安全开始。账户安全常见的风险包括共享账户、使用自动保存密码、设置弱密码或空口令。所以该部分的安全规范为禁止账户共享、慎用自动保存（我司不强制，只做提醒，所以用慎用）及密码安全（8位：大小写字母+数字+特殊字符）三部分。

2. 软件安全

领取电脑后，开始安装软件，故第二部分为软件安全。软件安全常见的风险包括下载未知软件、不安装杀毒软件、私自安装商业软件。所以该部分的安全规范为禁止在互联网下载软件，可以在公司的软件库（我司维护有软件库，常用的办公软件都有，经过安全检测无毒无弹窗）下载，如果没有软件库可建议到官方下载，需安装杀毒软件（公司统一杀毒软件或其他推荐杀毒软件均可），预防病毒，禁止私自安装商业软件，会带来法律诉讼风险，如需安装需上报IT部进行申请。

3. 邮件安全

收发邮件是日常工作必不可少的部分，伴随的安全风险也不可忽视。如误发邮件、错发邮件导致的信息泄露、敏感资料不加密或加密的密码直接放在邮件中、收到钓鱼邮件或垃圾邮件等。该部分的安全规范为仔细核对收件人、抄送人和邮件内容，规避误发、错发导致的信息泄露、敏感资料加密发送，禁止直接粘贴到邮件正文，收到钓鱼、垃圾邮件要上报。

4. 社交安全

现在的工作生活均离不开社交软件和工具，微信、抖音、微博、QQ等。社交安全其实主要有二大点要注意，其一是收到的信息要仔细分辨（如骗子冒用同事信息骗取公司资料、离职员工索要公司资料），其二是发出去的信息要谨慎（不能发反党、反政府、色情暴力等敏感言论，不能通过社交软件发送公司敏感信息、不能在朋友圈发送工作信息）。

5. 个人隐私

个人隐私部分跟每个人都息息相关，该部分的风险在于日常工作中的一些不良习惯，如快递单直接丢、街头调研填写真实信息、***复印件不添加签注等。该部分的规范为，养成安全小习惯，快递单撕毁后或用马克笔涂掉个人信息（姓名、电话、住址）后在丢弃，街头或网络调研，尽量不要填写个人真实信息，因为你不知道这些信息会被怎么处理，会不会发给黑中介导致电信诈骗？***复印件一定要加签注，如下图所示。***不添加签注被盗用的风险极高，如去办理网络贷款等。

6. 办公安全

办公安全是指日常工作中的规范要求，如离开工位要锁屏、打印文件及时取、会议信息要擦除、敏感文件使用碎纸机、公司信息禁止上传到百度文库、百度网盘、Github等。

7. 电信诈骗

电信诈骗是一个较复杂、多维度的事件，可以放在安全意识培训中，也可以不放。为帮大家更好的分类汇总，这里也同步介绍。电信诈骗的套路都是一致的，如下图：

对于电信诈骗的防护，接到陌生电话如果涉及洗钱、转账、公检法相关的直接挂掉就好，不要纠缠也不要想着反套路，术业有专攻。多关注媒体、公安部门通报的案情，增长防骗知识，如接到诈骗电话最好反馈给行政，进行内部信息共享，规避其他同事上当。

四、案例篇

本部分主要是对案例进行剖析，选择一些有代表性的案例，让大家结合前面学到的知识去分析，案例是如何发生的？怎样可以规避。借助案例让学员回顾前面的内容，与学员增加互动，并应用到案例中。

图中案例为某公司的摄像头被入侵，入侵成功的关心因素是监控后台资料，包括监控系统的地址、部署方式被上传到百度文库（办公安安全）、使用弱密码admin88（账户安全）。

最后就是致谢和答疑，也是检验你培训效果的时刻。如果很多人跟你沟通，反馈问题，基本上你的培训比较成功，学员认真听了课程并开始反思。如果没有人和你沟通，课程结束后就散开或趴下睡觉，那估计效果并不好，因为学员没有触动。当然也不绝对，安全都是相对的，何况是安全意识培训。祝每位安全从业者的每次培训，都能让安全建设的基石更牢固！

*本文作者：softgirl，转载请注明来自FreeBuf.COM

来源：freebuf.com 2020-03-30 08:30:52 by: softgirl