freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

信息安全意识培训可以这样做
2020-03-30 08:30:52

安全意识的淡薄,总能让我们看到听到一幕幕血的教训。

信息安全意识是企业安全建设的基石,只有基石牢固,才能铸造稳固的城墙。但是往往越是基石,越不被重视,最后在高昂的设备和技术防护下,出现安全事件。信息安全意识的提升有很多种方式,常见的有培训、考核、海报、视频、软文、活动等,但是做的比较成熟的是信息安全意识培训。

我看过很多培训的素材、也找过服务商做意识类培训,但是效果并不明显。经过不断反思和总结,我找到一套很适合安全意识培训的方法,至少在我们公司运行比较成功,从刚开始对安全的漠视到现在开始主动找安全部门反馈和上报问题。这套方法,我称之为安全意识培训“四步法”。本文就跟大家分享下这套方法,也许对你也有启发。

在进行安全意识培训的时候,核心点有四个。第一是在培训开篇引起大家的兴趣,愿意放下手机听你讲;第二是要跟学员互动,让大家感知到安全意识的重要性并有参与感;第三是要有充足的案例,最好是企业内部的案例,把枯燥的课程用案例变得趣味生动;第四是跟公司的业务、部门或具体项目挂钩,引起学员的思考,这样才能在培训结束后落地执行。“四步法”就是把安全意识培训的PPT分成了四部分:引言篇、概念篇、规范篇和案例篇,引言引起大家的兴趣、概念进行知识科普、规范用来阐述风险及要求、案例用来分析反思。

一、引言篇

安全意识培训的第一部分是引言,你也可以命名为序言、开卷等自己喜欢的名字,本部分的目的是调起大家的兴趣、让大家知道什么是信息安全意识、为什么要进行安全意识的培训及安全意识跟我有什么关系。常见的序言开篇有四种方式:

1. 视频为引。选择一段安全意识相关的视频,比如《唐人街探案》中女黑客的视频剪辑、《速度与激情8》中僵尸汽车的剪辑、《幽灵》中黑客视频剪辑或在抖音搜索相关视频剪辑。视频往往能吸引学员的注意力,引出他们的兴趣。

2. 故事为引。选择一个意识相关的故事,比如袋鼠跑出笼子,饲养员不断加高围墙,加到100米的时候,长颈鹿问袋鼠“你明天还出去吗?”“应该会出去,如果他们依然忘记关门的话。”袋鼠回答。这个故事就很好的诠释了意识的重要性,如果意识不到门没关,一味的加高围墙,只能是本末倒置。

3. 题目为引。开篇可以放几道选择题,让学员选择,既可以互动又能很好的引出培训的主题。比如:你有如下的经历吗?

A. 经常被营销电话骚扰

B. 快单直接丢弃

C. 街头调研经常会留下真实的姓名和电话

D. 经常收到中奖的消息

问题跟学员的日常生活息息相关,让大家很快就能进入听课的状态。

4. 热点为引。热点事件,如微盟删库、微博数据泄露等热门事件作为开篇引导,会激起大家的好奇心。

二、概念篇

当大家进入听课状态后,要给大家进行安全概念的普及。什么叫信息安全?信息安全的范围很广,本课程所讲仅限于保护企业资产的安全性(根据实际情况自己修订)。企业有哪些资产、这些资产都在哪里、跟我们有怎样的关系?信息安全相关的趋势是怎样的?法规有哪些?如果违反规定,有哪些处罚措施或后果。这些都是概念篇需要解决和科普的内容。

三、规范篇

介绍了信息安全的概念,接下来就要划重点了。既然信息安全如此重要,我们要怎么做才能保障安全呢?一般来讲,信息安全意识规范可概括为七大类,具体如下:

1. 账户安全

几乎每个人入职初都会领取办公电脑,拿到电脑的第一步就是开机设置密码,所以从账户安全开始。账户安全常见的风险包括共享账户、使用自动保存密码、设置弱密码或空口令。所以该部分的安全规范为禁止账户共享、慎用自动保存(我司不强制,只做提醒,所以用慎用)及密码安全(8位:大小写字母+数字+特殊字符)三部分。

2. 软件安全

领取电脑后,开始安装软件,故第二部分为软件安全。软件安全常见的风险包括下载未知软件、不安装杀毒软件、私自安装商业软件。所以该部分的安全规范为禁止在互联网下载软件,可以在公司的软件库(我司维护有软件库,常用的办公软件都有,经过安全检测无毒无弹窗)下载,如果没有软件库可建议到官方下载,需安装杀毒软件(公司统一杀毒软件或其他推荐杀毒软件均可),预防病毒,禁止私自安装商业软件,会带来法律诉讼风险,如需安装需上报IT部进行申请。

3. 邮件安全

收发邮件是日常工作必不可少的部分,伴随的安全风险也不可忽视。如误发邮件、错发邮件导致的信息泄露、敏感资料不加密或加密的密码直接放在邮件中、收到钓鱼邮件或垃圾邮件等。该部分的安全规范为仔细核对收件人、抄送人和邮件内容,规避误发、错发导致的信息泄露、敏感资料加密发送,禁止直接粘贴到邮件正文,收到钓鱼、垃圾邮件要上报。

4. 社交安全

现在的工作生活均离不开社交软件和工具,微信、抖音、微博、QQ等。社交安全其实主要有二大点要注意,其一是收到的信息要仔细分辨(如骗子冒用同事信息骗取公司资料、离职员工索要公司资料),其二是发出去的信息要谨慎(不能发反党、反政府、色情暴力等敏感言论,不能通过社交软件发送公司敏感信息、不能在朋友圈发送工作信息)。

5. 个人隐私

个人隐私部分跟每个人都息息相关,该部分的风险在于日常工作中的一些不良习惯,如快递单直接丢、街头调研填写真实信息、***复印件不添加签注等。该部分的规范为,养成安全小习惯,快递单撕毁后或用马克笔涂掉个人信息(姓名、电话、住址)后在丢弃,街头或网络调研,尽量不要填写个人真实信息,因为你不知道这些信息会被怎么处理,会不会发给黑中介导致电信诈骗?***复印件一定要加签注,如下图所示。***不添加签注被盗用的风险极高,如去办理网络贷款等。

6. 办公安全

办公安全是指日常工作中的规范要求,如离开工位要锁屏、打印文件及时取、会议信息要擦除、敏感文件使用碎纸机、公司信息禁止上传到百度文库、百度网盘、Github等。

7. 电信诈骗

电信诈骗是一个较复杂、多维度的事件,可以放在安全意识培训中,也可以不放。为帮大家更好的分类汇总,这里也同步介绍。电信诈骗的套路都是一致的,如下图:

对于电信诈骗的防护,接到陌生电话如果涉及洗钱、转账、公检法相关的直接挂掉就好,不要纠缠也不要想着反套路,术业有专攻。多关注媒体、公安部门通报的案情,增长防骗知识,如接到诈骗电话最好反馈给行政,进行内部信息共享,规避其他同事上当。

四、案例篇

本部分主要是对案例进行剖析,选择一些有代表性的案例,让大家结合前面学到的知识去分析,案例是如何发生的?怎样可以规避。借助案例让学员回顾前面的内容,与学员增加互动,并应用到案例中。

图中案例为某公司的摄像头被入侵,入侵成功的关心因素是监控后台资料,包括监控系统的地址、部署方式被上传到百度文库(办公安安全)、使用弱密码admin88(账户安全)。

最后就是致谢和答疑,也是检验你培训效果的时刻。如果很多人跟你沟通,反馈问题,基本上你的培训比较成功,学员认真听了课程并开始反思。如果没有人和你沟通,课程结束后就散开或趴下睡觉,那估计效果并不好,因为学员没有触动。当然也不绝对,安全都是相对的,何况是安全意识培训。祝每位安全从业者的每次培训,都能让安全建设的基石更牢固!

*本文作者:softgirl,转载请注明来自FreeBuf.COM

# 培训 # 意识
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者