服务

安全意识与文化建设

一周后就没人记得的年度合规培训，不是安全意识，只是给审计员的一个条目。真正降低人为风险暴露的组织，并不是拥有最精美培训视频的那些，而是人们敢于报告“我想我点了不该点的东西”而不会挨骂的那些，并且培训反映了他们的员工实际被盯上的具体方式。

我把意识工作分为两层。第一层是基线：确保人们能识别网络钓鱼，理解为什么 MFA 很重要，知道如何处理可疑附件，知道该找谁。这一层是必要的，但真正降低风险的不在这里。第二层是文化：人们是把安全看作 IT 对他们做的事，还是自己也参与其中的事；报告错误是否安全；以及领导层是否明显把安全视为真正的优先事项，而不是全员大会上的一张幻灯片。

我的做法

我先弄清您实际的风险暴露在哪里，而不是假设每家公司的风险都一样。律师事务所最大的人为风险途径，通常是针对电汇和客户信托账户的商务邮件欺诈（BEC）。医疗机构的，通常是针对电子健康档案访问的凭据钓鱼。我围绕真正可能找上您的情况来构建场景和培训内容，运行与这些威胁相符的逼真网络钓鱼模拟，并跟踪行为是否真的在改变，而不仅仅是人们是否点完了一个培训模块。

我也关注激励结构。如果有人因为中了模拟钓鱼而被公开羞辱，他们就不会再报告真实的钓鱼了。我更愿意建立这样的体系：当某件事看起来不对劲时，第一反应是转发给安全部门，而不是悄悄希望它自己消失。

哪些组织需要

如果您目前的培训是一年一次、没人看过第一屏之后的视频；如果您遭遇过一次网络钓鱼的惊险时刻，想知道自己究竟有多暴露；或者保险公司或审计员正在询问，除了打钩之外，您的意识计划实际是什么样，这都值得谈一谈。

联系我，告诉我您团队的薄弱环节在哪里，或您怀疑可能在哪里。