唤醒员工安全意识降低网络安全风险

云计算和移动化让传统的网络安全控管边界失效，同时也激发了诸如零信任之类的网络安全架构方面的创新，不过尽管如此，创建漏洞的员工们依然是网络犯罪分子突破组织安全防御时的好朋友。对此，昆明亭长朗然科技有限公司网络安全研究专员董志军说：尽管技术型的安全保障很重要，但是在保护工作单位的信息免受各种形式、规模和动机的网络犯罪分子侵害时，员工仍然是安全防线中最薄弱的环节，是木桶中的最短的一块儿板子。

坚定的网络犯罪分子定期通过复杂的网络钓鱼攻击，诱使粗心大意的员工们上钩，通常采取以下破坏安全性的伎俩：

禁用、避开或越过安全管控措施，例如防病毒软件和防火墙软件等等。
从可疑网站下载文件，这些文件会将恶意软件安装到电脑、平板和智能手机等计算设备上。
单击来自陌生或危险域名的网络钓鱼邮件中的恶意链接。
打开包含启动恶意代码的电子邮件附件。
回应仿冒的请求，将重要的信息，比如账户、密码、战略、机密等合盘托出。
误认为受到了上级或供应商的指示，将款项电汇到骗子指定的银行帐户。

以上网络钓鱼的风险非常普遍，我们通过各类媒体，经常都能看到类似的事故。组织需要唤醒员工的安全意识，以更加了解风险并更加警惕保护数据和计算基础架构。以下是针对员工们的安全意识计划宣传方案建议。

实施计算设备使用政策

传统上，由于国内缺乏透明的法治环境，很多企业机构也以“人治”为主，造成员工们不知道哪些信息系统使用行为是应该的，哪些不是，进而给网络犯罪分子以可乘之机。为防止因员工无知带来的网络安全风险，在政策层面，各类型的组织机构应该：

制定可接受的计算机和互联网使用政策。这是为员工们使用信息系统指定一个大的方向，政策应该指定哪些行为是可接受的，比如鼓励员工报告可疑的消息；也应指定哪些行为是不可接受的，比如禁用安全程序或发布不法消息。
确保该政策内容包括关于密码分享的禁令。有些小团队为了协同工作而内部分享密码，这种情况早期很普遍，因此带来不少的安全隐患，必须有政策禁止密码分享，这是提升安全，让员工们担负起保护账户的原则。
让每个员工和承包商阅读并签署政策。如同保密协议一样，信息设备使用政策也需得到签署，以表示员工们对此的认可和承诺。
告知违反政策的行为将记录在人事档案中，这将成为绩效评估、计算奖金、晋升事项和解雇理由的因素。这是确保政策执行力的关键措施，否则人们将会忽视规则，以及网络安全要求。

举行安全意识活动

只靠员工签署信息系统使用政策并不足够，很多员工可能并不会认真地阅读文本，也可能不会很好地理解其中的内容精要，也有一些员工可能会在实际工作时忘掉或者不能将政策与实际工作结合起来。因此，要降低网络安全风险，各类型的组织机构应该：

提供安全意识知识内容。可以自行创作编写，也可以采购专业的网络安全意识作品，包括动画视频、宣传图片和电子课件等等。
让所有员工和供应商每年都参加安全意识刷新。每年进行安全意识刷新，以防止遗忘，并紧跟安全威胁态势的发展，为确保学习质量，需要进行知识能力的考核。
定期沟通讲解电子邮件、社交媒体和互联网使用中的安全风险。安全意识沟通需要长期不断地进行，以让员工们逐渐养成良好的安全习惯，也促进组织机构的安全文化建设。
讨论和分享组织内部和行业发生的安全事件，并从中汲取教训。从安全事件中汲取教训是防止类似网络安全事件再次发生的关键措施，分析安全事件的根本原因，有针对性的提升安全意识。
定期通报对可接受的信息系统使用政策的审查结果。没有检查，没有衡量，就没有效果。定期检查员工们的安全表现，检查计算设备的安全运行情况等等，并进行通报，奖励做的好的员工，带动良好的网络安全文化氛围。

将供应链纳入安全意识计划

现在，大多数组织都允许供应商、分销商和客户有限地访问他们的某些系统。供应商安全管理不当引起的一些安全漏洞，被网络犯罪分子使用获取访问权限的事件偶有发生，需要引起重视。因此，组织机构应鼓励或坚持其供应商和分销商应执行降低安全风险的计划，其中包括互相检查常规的安全控管措施和对供应链相关部分进行安全意识沟通。

进行年度安全意识审核

组织应进行年度审核，以向管理层保证安全意识计划在最大程度地降低网络安全风险和数据泄露风险方面的工作。审核范围应包括对以下内容的审查：