安全意识培训效果/e起看丨企业信息安全意识培训可以这样做!_零开始漏洞教学
信息安全意识是企业安全建设的基石,只有基石牢固,才能铸造稳固的城墙。但是往往越是基石,越不被重视,最后在高昂的设备和技术防护下,出现安全事件。信息安全意识的提升有很多种方式,常见的有培训、考核、海报、视频、软文、活动等,但是比较成熟的做法是信息安全意识培训。
笔者看过很多培训素材、也找过服务商做意识类培训,但是效果并不明显。经过不断反思和总结,我找到一套很适合安全意识培训的方法。这套方法,我称之为安全意识培训“四步法”。本文就跟大家分享下这套方法,或许对你也有启发。
在进行安全意识培训的时候,核心点有四个:
第一是在培训开篇引起大家的兴趣,愿意放下手机听你讲;第二是要跟学员互动,让大家感知到安全意识的重要性并有参与感;第三是要有充足的案例,最好是企业内部的案例,把枯燥的课程用案例变得趣味生动;第四是跟公司的业务、部门或具体项目挂钩,引起学员的思考,这样才能在培训结束后落地执行。
“四步法”就是把安全意识培训的PPT分成了四部分:引言篇、概念篇、规范篇和案例篇,引言引起大家的兴趣、概念进行知识科普、规范用来阐述风险及要求、案例用来分析反思。
No.1
引言篇
安全意识培训的第一部分是引言,你也可以命名为序言、开卷等自己喜欢的名字,本部分的目的是调起大家的兴趣、让大家知道什么是信息安全意识、为什么要进行安全意识的培训及安全意识跟我有什么关系。常见的序言开篇有四种方式:
1. 视频为引。选择一段安全意识相关的视频,比如《唐人街探案》中女黑客的视频剪辑、《速度与激情8》中僵尸汽车的剪辑、《幽灵》中黑客视频剪辑或在抖音搜索相关视频剪辑。视频往往能吸引学员的注意力,引出他们的兴趣。
2.故事为引。选择一个意识相关的故事,比如袋鼠跑出笼子,饲养员不断加高围墙,加到100米的时候,长颈鹿问袋鼠“你明天还出去吗?”“应该会出去,如果他们依然忘记关门的话。”袋鼠回答。这个故事就很好的诠释了意识的重要性,如果意识不到门没关,一味的加高围墙,只能是本末倒置。
3. 题目为引。开篇可以放几道选择题,让学员选择,既可以互动又能很好的引出培训的主题。比如:你有如下的经历吗?
A. 经常被营销电话骚扰
B.快单直接丢弃
C.街头调研经常会留下真实的姓名和电话
D.经常收到中奖的消息
问题跟学员的日常生活息息相关,让大家很快就能进入听课的状态。
4. 热点为引。热点事件,如微盟删库、微博数据泄露等热门事件作为开篇引导,会激起大家的好奇心。
No.2
概念篇
当大家进入听课状态后,要给大家进行安全概念的普及。什么叫信息安全?信息安全的范围很广,本课程所讲仅限于保护企业资产的安全性(根据实际情况自己修订)。企业有哪些资产、这些资产都在哪里、跟我们有怎样的关系?信息安全相关的趋势是怎样的?法规有哪些?如果违反规定,有哪些处罚措施或后果。这些都是概念篇需要解决和科普的内容。
No.3
规范篇
介绍了信息安全的概念,接下来就要划重点了。既然信息安全如此重要,我们要怎么做才能保障安全呢?一般来讲,信息安全意识规范可概括为七大类,具体如下:
1、账户安全
几乎每个人入职初都会领取办公电脑,拿到电脑的第一步就是开机设置密码,所以从账户安全开始。账户安全常见的风险包括共享账户、使用自动保存密码、设置弱密码或空口令。所以该部分的安全规范为禁止账户共享、慎用自动保存(我司不强制,只做提醒,所以用慎用)及密码安全(8位:大小写字母+数字+特殊字符)三部分。
2、软件安全
领取电脑后,开始安装软件,故第二部分为软件安全。软件安全常见的风险包括下载未知软件、不安装杀毒软件、私自安装商业软件。所以该部分的安全规范为禁止在互联网下载软件,可以在公司的软件库(我司维护有软件库,常用的办公软件都有,经过安全检测无毒无弹窗)下载,如果没有软件库可建议到官方下载,需安装杀毒软件(公司统一杀毒软件或其他推荐杀毒软件均可),预防病毒,禁止私自安装商业软件,会带来法律诉讼风险,如需安装需上报IT部进行申请。
3、邮件安全
收发邮件是日常工作必不可少的部分,伴随的安全风险也不可忽视。如误发邮件、错发邮件导致的信息泄露、敏感资料不加密或加密的密码直接放在邮件中、收到钓鱼邮件或垃圾邮件等。该部分的安全规范为仔细核对收件人、抄送人和邮件内容,规避误发、错发导致的信息泄露、敏感资料加密发送,禁止直接粘贴到邮件正文,收到钓鱼、垃圾邮件要上报。
4、社交安全
现在的工作生活均离不开社交软件和工具,微信、抖音、微博、QQ等。社交安全其实主要有二大点要注意,其一是收到的信息要仔细分辨(如骗子冒用同事信息骗取公司资料、离职员工索要公司资料),其二是发出去的信息要谨慎(不能发反党、反政府、色情暴力等敏感言论,不能通过社交软件发送公司敏感信息、不能在朋友圈发送工作信息)。
5、个人隐私
个人隐私部分跟每个人都息息相关,该部分的风险在于日常工作中的一些不良习惯,如快递单直接丢、街头调研填写真实信息、***复印件不添加签注等。该部分的规范为,养成安全小习惯,快递单撕毁后或用马克笔涂掉个人信息(姓名、电话、住址)后在丢弃,街头或网络调研,尽量不要填写个人真实信息,因为你不知道这些信息会被怎么处理,会不会发给黑中介导致电信诈骗?***复印件一定要加签注,如下图所示。***不添加签注被盗用的风险极高,如去办理网络贷款等。
6、办公安全
办公安全是指日常工作中的规范要求,如离开工位要锁屏、打印文件及时取、会议信息要擦除、敏感文件使用碎纸机、公司信息禁止上传到百度文库、百度网盘、等。
7、电信诈骗
电信诈骗是一个较复杂、多维度的事件,可以放在安全意识培训中,也可以不放。为帮大家更好的分类汇总,这里也同步介绍。电信诈骗的套路都是一致的,如下图:
对于电信诈骗的防护,接到陌生电话如果涉及洗钱、转账、公检法相关的直接挂掉就好,不要纠缠也不要想着反套路,术业有专攻。多关注媒体、公安部门通报的案情,增长防骗知识,如接到诈骗电话最好反馈给行政,进行内部信息共享,规避其他同事上当。
No.4
案例篇
本部分主要是对案例进行剖析,选择一些有代表性的案例,让大家结合前面学到的知识去分析,案例是如何发生的?怎样可以规避。借助案例让学员回顾前面的内容,与学员增加互动,并应用到案例中。
图中案例为某公司的摄像头被入侵,入侵成功的关心因素是监控后台资料,包括监控系统的地址、部署方式被上传到百度文库(办公安安全)、使用弱密码(账户安全)。
最后就是致谢和答疑,也是检验你培训效果的时刻。如果很多人跟你沟通,反馈问题,基本上你的培训比较成功,学员认真听了课程并开始反思。如果没有人和你沟通,课程结束后就散开或趴下睡觉,那估计效果并不好,因为学员没有触动。当然也不绝对,安全都是相对的,何况是安全意识培训。祝每位安全从业者的每次培训,都能让安全建设的基石更牢固!
~
网络安全学习,我们一起交流
~