信息安全意識(shí)教育培訓(xùn)
在互聯(lián)網(wǎng)數(shù)字時(shí)代，網(wǎng)絡(luò)安全意識(shí)的薄弱正在成為企業(yè)面臨的最大風(fēng)險(xiǎn)，員工缺少足夠的網(wǎng)絡(luò)全意識(shí)和防范觀念，往往因?yàn)樽约旱谋憷蚴д`而違反網(wǎng)絡(luò)安全規(guī)章，容易成為網(wǎng)絡(luò)犯罪者的輔助工具。同時(shí)，隨著國(guó)家、政府、企事業(yè)單位等網(wǎng)絡(luò)工程逐步實(shí)施,信息化已深入到各個(gè)部門的日常工作中。各企事業(yè)單位信息系統(tǒng)承載著業(yè)務(wù)穩(wěn)定、優(yōu)質(zhì)地運(yùn)行、保證民生正常開展等重要作用,使得信息系統(tǒng)面臨著更嚴(yán)峻的安全問題,不僅面臨著黑客的非法攻擊,同時(shí)也面臨著某些國(guó)家潛在的網(wǎng)絡(luò)戰(zhàn)威脅，增強(qiáng)網(wǎng)絡(luò)安全意識(shí)，構(gòu)建網(wǎng)絡(luò)安全文化氛圍迫在眉睫！
隨著互聯(lián)網(wǎng)和信息系統(tǒng)的普及，越來越多的企業(yè)認(rèn)識(shí)到員工信息安全意識(shí)的重要性，開始開展員工的信息安全意識(shí)宣傳教育活動(dòng)，并將其作為每年信息安全工作中的一項(xiàng)必要工作。
企業(yè)內(nèi)的全體員工、企業(yè)各部門的信息安全聯(lián)絡(luò)員
通過信息安全意識(shí)教育培訓(xùn)，增強(qiáng)內(nèi)部人員信息安全意識(shí)，加強(qiáng)對(duì)法律、法規(guī)的認(rèn)識(shí)，深入了解企業(yè)信息安全相關(guān)職責(zé)、策略、規(guī)范和流程。
通過信息安全意識(shí)教育培訓(xùn)，全面提高企業(yè)內(nèi)部人員對(duì)信息安全方面的意識(shí)，滿足合規(guī)要求，并掌握一定的面對(duì)網(wǎng)絡(luò)安全問題的處理方法。
隨著互聯(lián)網(wǎng)和信息系統(tǒng)的普及，越來越多的企業(yè)認(rèn)識(shí)到員工信息安全意識(shí)的重要性，開始開展員工的信息安全意識(shí)宣傳教育活動(dòng)，并將其作為每年信息安全工作中的一項(xiàng)必要工作。
確保企業(yè)內(nèi)部人員不會(huì)在網(wǎng)絡(luò)安全方面造成代價(jià)高昂的錯(cuò)誤的一個(gè)最好方法是：開展全公司的安全意識(shí)教育培訓(xùn)計(jì)劃，主要內(nèi)容包括但不限于：課堂式宣講、意識(shí)電子網(wǎng)站、電子郵件、海報(bào)、動(dòng)畫，甚至實(shí)際的內(nèi)部人員安全滲透評(píng)估等。這些方法都會(huì)有助于提高企業(yè)內(nèi)部人員的網(wǎng)絡(luò)安全意識(shí)，并且也對(duì)公司企業(yè)內(nèi)部安全策略、規(guī)范和流程有了深入的了解。
一、培訓(xùn)簡(jiǎn)介
信息安全最大的威脅實(shí)際上可能來自于您的企業(yè)或組織。內(nèi)部“攻擊”已經(jīng)被認(rèn)為是最危險(xiǎn)、最直接的影響，因?yàn)閮?nèi)部人員最熟悉企業(yè)的實(shí)際情況。外部“攻擊”也是一種威脅，但通常情況下，內(nèi)部人員也可能會(huì)在不知情的情況下被利用。
內(nèi)部人員可能會(huì)由于訪問惡意網(wǎng)站、安裝帶有惡意代碼的軟件、打開釣魚電子郵件被外部攻擊者利用，甚至是在社交網(wǎng)絡(luò)或公共場(chǎng)所泄露企業(yè)的敏感信息。
員工是企業(yè)網(wǎng)絡(luò)安全的最大漏洞，是最薄弱的環(huán)節(jié)！ 黑客利用社會(huì)工程攻擊或操縱，通過毫無戒心、疏忽大意的員工傳播病毒、利用漏洞、訪問目標(biāo)數(shù)據(jù)或系統(tǒng)的風(fēng)險(xiǎn)越來越大。在網(wǎng)絡(luò)威脅已成為常態(tài)化的時(shí)代，無論安全技術(shù)措施多么強(qiáng)大，網(wǎng)絡(luò)安全制度/流程多么完善，如果沒有所有員工在所有業(yè)務(wù)職能部門中（技術(shù)部門和非技術(shù)部門）意識(shí)到和肩負(fù)起相應(yīng)的安全責(zé)任，企業(yè)就不可避免地暴露于網(wǎng)絡(luò)風(fēng)險(xiǎn)之中。
企業(yè)安全的目標(biāo)之一是將組織中最大的安全漏洞-人員-轉(zhuǎn)變?yōu)榻M織的最寶貴資產(chǎn)，建立起一支安全意識(shí)強(qiáng)、安全行為與責(zé)任到位的全員網(wǎng)絡(luò)安全隊(duì)伍。
信息安全意識(shí)教育培訓(xùn)主要結(jié)合當(dāng)前的信息安全熱點(diǎn)新聞，深入淺出地分析國(guó)內(nèi)外信息安全形勢(shì)，讓學(xué)員們?cè)诟兄磉叞l(fā)生的一個(gè)個(gè)爆炸性安全事件的同時(shí)，切實(shí)體會(huì)到自身或企業(yè)存在的信息安全威脅和隱患，從而意識(shí)到信息安全的重要性，進(jìn)而發(fā)揮自身的主觀能動(dòng)性，提高信息安全風(fēng)險(xiǎn)防范能力。
員工是企業(yè)網(wǎng)絡(luò)安全的最大漏洞，是最薄弱的環(huán)節(jié)！ 黑客利用社會(huì)工程攻擊或操縱，通過毫無戒心、疏忽大意的員工傳播病毒、利用漏洞、訪問目標(biāo)數(shù)據(jù)或系統(tǒng)的風(fēng)險(xiǎn)越來越大。在網(wǎng)絡(luò)威脅已成為常態(tài)化的時(shí)代，無論安全技術(shù)措施多么強(qiáng)大，網(wǎng)絡(luò)安全制度/流程多么完善，如果沒有所有員工在所有業(yè)務(wù)職能部門中（技術(shù)部門和非技術(shù)部門）意識(shí)到和肩負(fù)起相應(yīng)的安全責(zé)任，企業(yè)就不可避免地暴露于網(wǎng)絡(luò)風(fēng)險(xiǎn)之中。
企業(yè)安全的目標(biāo)之一是將組織中最大的安全漏洞-人員-轉(zhuǎn)變?yōu)榻M織的最寶貴資產(chǎn)，建立起一支安全意識(shí)強(qiáng)、安全行為與責(zé)任到位的全員網(wǎng)絡(luò)安全隊(duì)伍。
信息安全意識(shí)教育培訓(xùn)主要結(jié)合當(dāng)前的信息安全熱點(diǎn)新聞，深入淺出地分析國(guó)內(nèi)外信息安全形勢(shì)，讓學(xué)員們?cè)诟兄磉叞l(fā)生的一個(gè)個(gè)爆炸性安全事件的同時(shí)，切實(shí)體會(huì)到自身或企業(yè)存在的信息安全威脅和隱患，從而意識(shí)到信息安全的重要性，進(jìn)而發(fā)揮自身的主觀能動(dòng)性，提高信息安全風(fēng)險(xiǎn)防范能力。
二、培訓(xùn)對(duì)象
企業(yè)內(nèi)的全體員工、企業(yè)各部門的信息安全聯(lián)絡(luò)員
三、培訓(xùn)目標(biāo)
通過信息安全意識(shí)教育培訓(xùn)，增強(qiáng)內(nèi)部人員信息安全意識(shí)，加強(qiáng)對(duì)法律、法規(guī)的認(rèn)識(shí)，深入了解企業(yè)信息安全相關(guān)職責(zé)、策略、規(guī)范和流程。
1、高級(jí)管理層：包括董事/董事會(huì)/董事長(zhǎng)、創(chuàng)始人/合伙人、總裁/副總裁、高管等
培訓(xùn)目標(biāo)：管理層是網(wǎng)絡(luò)犯罪緊盯的高價(jià)值目標(biāo)！管理層也不可有例外，同樣需要接受相應(yīng)的網(wǎng)絡(luò)安全培訓(xùn)，雖不需要深入的安全技術(shù)知識(shí)，但需要了解國(guó)內(nèi)外的相關(guān)網(wǎng)絡(luò)安全法律法規(guī)、網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)和最佳實(shí)踐；了解常見的網(wǎng)絡(luò)攻擊方式、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)及防范措施、關(guān)注數(shù)據(jù)和商業(yè)敏感信息；充分理解網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與業(yè)務(wù)風(fēng)險(xiǎn)的關(guān)系，理解安全事件對(duì)業(yè)務(wù)的影響；因管理層差旅較多，尤其要關(guān)注在非辦公環(huán)境下、遠(yuǎn)程辦公時(shí)的網(wǎng)絡(luò)連接與移動(dòng)設(shè)備使用；同時(shí)慎重使用社交媒體工具，不過度分享。管理層以身作則，在工作中高標(biāo)準(zhǔn)要求自己，塑造良好的個(gè)人安全習(xí)慣，在安全實(shí)踐中起到模范帶頭作用，對(duì)于建立企業(yè)安全文化、取得全員安全意識(shí)計(jì)劃的成功至關(guān)重要。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：戰(zhàn)略計(jì)劃、知識(shí)產(chǎn)權(quán)、財(cái)務(wù)制度與流程、法務(wù)信息、董事會(huì)信息、敏感的日常通訊信息等
2、財(cái)務(wù)人員：包括財(cái)務(wù)、會(huì)計(jì)、出納、審計(jì)員、預(yù)算師、風(fēng)險(xiǎn)/合規(guī)、合同采購(gòu)、供應(yīng)商管理等
培訓(xùn)目標(biāo)：財(cái)務(wù)人員直接與錢打交道，是黑客的主要攻擊對(duì)象之一，特別需要注意BEC商業(yè)電郵欺詐與網(wǎng)絡(luò)釣魚，在工作中保持敏感財(cái)務(wù)信息的機(jī)密性和完整性；了解網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)計(jì)劃，第三方供應(yīng)商審查與監(jiān)督；了解網(wǎng)絡(luò)安全保險(xiǎn)（以抵消安全事件帶來的財(cái)務(wù)影響），以及與財(cái)務(wù)信息相關(guān)的國(guó)內(nèi)外法律法規(guī)監(jiān)管要求。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：財(cái)務(wù)業(yè)績(jī)數(shù)據(jù)、預(yù)算、財(cái)務(wù)評(píng)估與審計(jì)報(bào)告、納稅申報(bào)、應(yīng)收/應(yīng)付賬款系統(tǒng)、薪酬與福利信息、合同等等
3、HR人員：包括人力資源、招聘、培訓(xùn)、薪酬/績(jī)效/員工福利//勞動(dòng)者關(guān)系等
培訓(xùn)目標(biāo)：HR應(yīng)確保將網(wǎng)絡(luò)安全知識(shí)、技能與能力納入員工培訓(xùn)與發(fā)展計(jì)劃；通過執(zhí)行背景調(diào)查降低新員工帶來的安全風(fēng)險(xiǎn)；確保選擇能夠有效維護(hù)員工個(gè)人信息機(jī)密性的供應(yīng)商；招聘時(shí)警惕偽裝應(yīng)聘人員發(fā)送的附件簡(jiǎn)歷、勿在面試交談過程中透露公司機(jī)密信息；員工離職后及時(shí)關(guān)閉相關(guān)權(quán)限。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：勞動(dòng)合同、員工數(shù)據(jù)、人力資源系統(tǒng)、招聘系統(tǒng)、績(jī)效管理系統(tǒng)、福利管理系統(tǒng)等等）
4、銷售與市場(chǎng)人員：包括銷售、業(yè)務(wù)發(fā)展、市場(chǎng)營(yíng)銷、公共關(guān)系、合作伙伴關(guān)系、政府事務(wù)等
培訓(xùn)目標(biāo)：銷售與市場(chǎng)人員應(yīng)在與外界溝通中防止敏感信息的泄露或丟失，維護(hù)公司品牌與聲譽(yù)，降低遠(yuǎn)程辦公/差旅所帶來的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)；充分理解郵件安全，在將文件（合同、報(bào)價(jià)單、采購(gòu)訂單、發(fā)票、產(chǎn)品PPT）傳輸給客戶/合作伙伴時(shí)注意加密，并僅提供必要的信息。在接受客戶/合作伙伴發(fā)來的文件時(shí)注意識(shí)別“釣魚郵件”；了解企業(yè)內(nèi)部安全事件響應(yīng)計(jì)劃與匯報(bào)流程； 另外，銷售與市場(chǎng)人員在傳播公司品牌時(shí)，尤其需要關(guān)注社交媒體安全，不在個(gè)人社交媒體賬戶上分享涉及公司商業(yè)機(jī)密的信息；開展境外營(yíng)銷活動(dòng)，需注意合規(guī)，了解當(dāng)?shù)叵嚓P(guān)法律法規(guī)；來訪人員全程陪同，離開時(shí)取消相關(guān)訪問權(quán)限。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：合同、產(chǎn)品規(guī)劃信息、訂單/發(fā)票、銷售策略、市場(chǎng)戰(zhàn)略、客戶/合作伙伴數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、CRM系統(tǒng)、社交媒體信息等等。
5、其他人員，包括研發(fā)部、IT部及以上未涉及的相關(guān)人員：同樣需要合規(guī)和信息安全意識(shí)教育培訓(xùn)，從深層次提升員工的安全意識(shí)！
維護(hù)企業(yè)網(wǎng)絡(luò)安全，需人人參與，落實(shí)到每一位員工的意識(shí)和行為上！
從樹立每一位員工的安全意識(shí)抓起，在工作中養(yǎng)成良好的“網(wǎng)絡(luò)衛(wèi)生習(xí)慣”，才可能有效地降低企業(yè)面臨的人為因素安全風(fēng)險(xiǎn)，提升整體安全管理水平。
培訓(xùn)目標(biāo)：管理層是網(wǎng)絡(luò)犯罪緊盯的高價(jià)值目標(biāo)！管理層也不可有例外，同樣需要接受相應(yīng)的網(wǎng)絡(luò)安全培訓(xùn)，雖不需要深入的安全技術(shù)知識(shí)，但需要了解國(guó)內(nèi)外的相關(guān)網(wǎng)絡(luò)安全法律法規(guī)、網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)和最佳實(shí)踐；了解常見的網(wǎng)絡(luò)攻擊方式、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)及防范措施、關(guān)注數(shù)據(jù)和商業(yè)敏感信息；充分理解網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與業(yè)務(wù)風(fēng)險(xiǎn)的關(guān)系，理解安全事件對(duì)業(yè)務(wù)的影響；因管理層差旅較多，尤其要關(guān)注在非辦公環(huán)境下、遠(yuǎn)程辦公時(shí)的網(wǎng)絡(luò)連接與移動(dòng)設(shè)備使用；同時(shí)慎重使用社交媒體工具，不過度分享。管理層以身作則，在工作中高標(biāo)準(zhǔn)要求自己，塑造良好的個(gè)人安全習(xí)慣，在安全實(shí)踐中起到模范帶頭作用，對(duì)于建立企業(yè)安全文化、取得全員安全意識(shí)計(jì)劃的成功至關(guān)重要。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：戰(zhàn)略計(jì)劃、知識(shí)產(chǎn)權(quán)、財(cái)務(wù)制度與流程、法務(wù)信息、董事會(huì)信息、敏感的日常通訊信息等
2、財(cái)務(wù)人員：包括財(cái)務(wù)、會(huì)計(jì)、出納、審計(jì)員、預(yù)算師、風(fēng)險(xiǎn)/合規(guī)、合同采購(gòu)、供應(yīng)商管理等
培訓(xùn)目標(biāo)：財(cái)務(wù)人員直接與錢打交道，是黑客的主要攻擊對(duì)象之一，特別需要注意BEC商業(yè)電郵欺詐與網(wǎng)絡(luò)釣魚，在工作中保持敏感財(cái)務(wù)信息的機(jī)密性和完整性；了解網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)計(jì)劃，第三方供應(yīng)商審查與監(jiān)督；了解網(wǎng)絡(luò)安全保險(xiǎn)（以抵消安全事件帶來的財(cái)務(wù)影響），以及與財(cái)務(wù)信息相關(guān)的國(guó)內(nèi)外法律法規(guī)監(jiān)管要求。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：財(cái)務(wù)業(yè)績(jī)數(shù)據(jù)、預(yù)算、財(cái)務(wù)評(píng)估與審計(jì)報(bào)告、納稅申報(bào)、應(yīng)收/應(yīng)付賬款系統(tǒng)、薪酬與福利信息、合同等等
3、HR人員：包括人力資源、招聘、培訓(xùn)、薪酬/績(jī)效/員工福利//勞動(dòng)者關(guān)系等
培訓(xùn)目標(biāo)：HR應(yīng)確保將網(wǎng)絡(luò)安全知識(shí)、技能與能力納入員工培訓(xùn)與發(fā)展計(jì)劃；通過執(zhí)行背景調(diào)查降低新員工帶來的安全風(fēng)險(xiǎn)；確保選擇能夠有效維護(hù)員工個(gè)人信息機(jī)密性的供應(yīng)商；招聘時(shí)警惕偽裝應(yīng)聘人員發(fā)送的附件簡(jiǎn)歷、勿在面試交談過程中透露公司機(jī)密信息；員工離職后及時(shí)關(guān)閉相關(guān)權(quán)限。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：勞動(dòng)合同、員工數(shù)據(jù)、人力資源系統(tǒng)、招聘系統(tǒng)、績(jī)效管理系統(tǒng)、福利管理系統(tǒng)等等）
4、銷售與市場(chǎng)人員：包括銷售、業(yè)務(wù)發(fā)展、市場(chǎng)營(yíng)銷、公共關(guān)系、合作伙伴關(guān)系、政府事務(wù)等
培訓(xùn)目標(biāo)：銷售與市場(chǎng)人員應(yīng)在與外界溝通中防止敏感信息的泄露或丟失，維護(hù)公司品牌與聲譽(yù)，降低遠(yuǎn)程辦公/差旅所帶來的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)；充分理解郵件安全，在將文件（合同、報(bào)價(jià)單、采購(gòu)訂單、發(fā)票、產(chǎn)品PPT）傳輸給客戶/合作伙伴時(shí)注意加密，并僅提供必要的信息。在接受客戶/合作伙伴發(fā)來的文件時(shí)注意識(shí)別“釣魚郵件”；了解企業(yè)內(nèi)部安全事件響應(yīng)計(jì)劃與匯報(bào)流程； 另外，銷售與市場(chǎng)人員在傳播公司品牌時(shí)，尤其需要關(guān)注社交媒體安全，不在個(gè)人社交媒體賬戶上分享涉及公司商業(yè)機(jī)密的信息；開展境外營(yíng)銷活動(dòng)，需注意合規(guī)，了解當(dāng)?shù)叵嚓P(guān)法律法規(guī)；來訪人員全程陪同，離開時(shí)取消相關(guān)訪問權(quán)限。
* 需要保護(hù)的信息和系統(tǒng)包括但不限于：合同、產(chǎn)品規(guī)劃信息、訂單/發(fā)票、銷售策略、市場(chǎng)戰(zhàn)略、客戶/合作伙伴數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、CRM系統(tǒng)、社交媒體信息等等。
5、其他人員，包括研發(fā)部、IT部及以上未涉及的相關(guān)人員：同樣需要合規(guī)和信息安全意識(shí)教育培訓(xùn)，從深層次提升員工的安全意識(shí)！
維護(hù)企業(yè)網(wǎng)絡(luò)安全，需人人參與，落實(shí)到每一位員工的意識(shí)和行為上！
從樹立每一位員工的安全意識(shí)抓起，在工作中養(yǎng)成良好的“網(wǎng)絡(luò)衛(wèi)生習(xí)慣”，才可能有效地降低企業(yè)面臨的人為因素安全風(fēng)險(xiǎn)，提升整體安全管理水平。
四、培訓(xùn)收益
通過信息安全意識(shí)教育培訓(xùn)，全面提高企業(yè)內(nèi)部人員對(duì)信息安全方面的意識(shí)，滿足合規(guī)要求，并掌握一定的面對(duì)網(wǎng)絡(luò)安全問題的處理方法。
