为员工提供发现网络攻击警告信号所需的知识，并了解他们何时可能将敏感数据置于危险之中
网络安全中有一句古老的格言，人类是安全链中最薄弱的环节。 随着威胁参与者竞相利用轻信或粗心的员工，这种情况越来越真实。 但也有可能把这个薄弱环节变成强大的第一道防线。 关键是推出有效的 安全意识培训计划.
研究揭示 82 年分析的 2021% 的数据泄露涉及“人为因素”。 员工是攻击的首要目标，这是现代网络威胁不可避免的事实。 但是为他们提供发现攻击警告信号所需的知识，并了解他们何时可能将敏感数据置于风险之中，这是推进风险缓解工作的巨大机会。
什么是安全意识培训？
意识培训可能不是 IT 和安全领导者希望在他们的计划中实现的最佳名称。 实际上，目标是通过改进有关关键网络风险所在位置以及可以学习哪些简单的最佳实践来缓解这些风险的教育来改变行为。 这是一个正式的流程，理想情况下应该涵盖一系列主题领域和技术，以使员工能够做出正确的决定。 因此，它可以被视为希望创建 安全设计 企业文化。
为什么需要安全意识培训？
与任何类型的培训计划一样，其理念是提高个人的技能，使他们成为更好的员工。 在这种情况下， 提高他们的安全意识 不仅会在个人担任各种角色时处于有利地位，而且会降低潜在的风险 破坏性安全漏洞.
事实上，企业用户是任何组织的核心。如果他们可以被黑客攻击，那么组织也可以。同样，他们对敏感数据和 IT 系统的访问会增加发生事故的风险，这也可能对公司产生负面影响。
几个趋势凸显了对安全意识培训计划的迫切需求：
密码： 静态凭证与计算机系统一样长。 尽管多年来安全专家一直在恳求，但它们仍然是最流行的用户身份验证方法。 原因很简单：人们本能地知道如何使用它们。 挑战在于它们也是一个 黑客的巨大目标. 设法诱骗员工交出它们，甚至猜测它们，而且通常没有其他东西阻碍完全的网络访问。
据统计，超过一半的美国员工将密码写在笔和纸上 一个估计. 糟糕的密码习惯 为黑客打开大门。 随着员工需要记住的凭证数量的增加，滥用的可能性也在增加。
社会工程学： 人是善于交际的生物。 这使我们容易被说服。 我们想要相信我们被告知的故事和讲述这些故事的人。 这是 为什么社会工程有效：威胁行为者使用时间压力和冒充等说服技巧来诱骗受害者执行他们的命令。最好的例子是 钓鱼 电子邮件、短信（又名 SmiShing利用）和电话（又名 语音网络钓鱼），但它也用于 企业电子邮件泄露 (BEC) 攻击 和其他骗局。
网络犯罪经济： 今天，这些威胁行为者拥有一个复杂而复杂的暗网站地下网络，通过这些网络 买卖数据和服务 – 从防弹托管到勒索软件即服务，应有尽有。 它是 据说价值万亿. 网络犯罪行业的这种“专业化”自然导致威胁行为者将精力集中在投资回报率最高的地方。 在许多情况下，这意味着针对用户本身：企业员工和消费者。
混合工作： 在家工作的人是 被认为是 更有可能点击网络钓鱼链接并从事危险行为，例如将工作设备用于个人用途。 就这样，一个新时代的出现 混合工作 为攻击者在企业用户最脆弱的时候攻击他们打开了大门。 更不用说家庭网络和计算机的保护可能不如基于办公室的同类产品。
为什么培训很重要？
最终，严重的安全漏洞，无论是第三方攻击还是意外数据泄露，都可能导致重大的财务和声誉损失。 一个 最近的研究显示 结果，遭受此类违规行为的企业中有 20% 几乎破产。 单独研究 声称全球数据泄露的平均成本现在比以往任何时候都高：超过 4.2 万美元。
这不仅仅是雇主的成本计算。 HIPAA、PCI DSS 和 Sarbanes-Oxley (SOX) 等许多法规要求合规组织开展员工安全意识培训计划。
如何使意识计划发挥作用
我们已经解释了“为什么”，但“如何”呢？ CISO 应首先咨询人力资源团队，这些团队通常负责领导企业培训计划。 他们也许能够提供特别建议或更协调的支持。
要涵盖的领域可能包括：
- 社会工程和网络钓鱼/网络钓鱼/网络钓鱼
- 通过电子邮件意外披露
- 网络保护（安全搜索和使用公共 Wi-Fi）
- 密码最佳实践和多因素身份验证
- 安全的远程和家庭工作
- 如何发现内部威胁
最重要的是，请记住，课程应该是：
- 有趣和 游戏化 （想想积极的强化而不是基于恐惧的信息）
- 基于真实世界的模拟练习
- 在短期课程中全年连续运行（10-15 分钟）
- 包括每位员工，包括高管、兼职人员和承包商
- 能够生成可用于调整程序以满足个人需求的结果
- 为不同角色量身定做
一旦决定了这一切，找到合适的培训提供者就很重要了。 好消息是网上有很多不同价位的选择，包括免费工具。 鉴于当今的威胁形势，不采取行动不是一种选择。
