對加強企業(yè)網(wǎng)絡(luò)安全意識教育的思考

對加強企業(yè)網(wǎng)絡(luò)平安意識教育的思考必須有組織有體系地持續(xù)完善該項工作，提高員工的平安防范意識和技能，防御網(wǎng)絡(luò)釣魚等攻擊，這樣才能有效構(gòu)建起網(wǎng)絡(luò)平安的人民防火墻。網(wǎng)絡(luò)攻擊的產(chǎn)業(yè)化、市場化、云犯罪、犯罪即服務(wù)、共享犯罪、內(nèi)部共謀等趨勢，讓更多善于利用"人的漏洞”的攻擊者"如虎添翼"。在近幾年開展的網(wǎng)絡(luò)攻防演練中，越來越多成功入侵企業(yè)內(nèi)網(wǎng)的攻擊采取了網(wǎng)絡(luò)釣魚、供應(yīng)鏈預(yù)置等社會工程攻擊。一些企業(yè)往往忽視全員網(wǎng)絡(luò)平安意識教育的提升與演練，在網(wǎng)絡(luò)平安意識培訓(xùn)方面投入少，使得人員成為企業(yè)網(wǎng)絡(luò)平安防護(hù)體系中的巨大短板。同時，社工欺騙的方式不斷翻新，人員的網(wǎng)絡(luò)平安意識能力提升卻很難量化評價，僅僅通過簡單的基本知識培訓(xùn)，很難形成敏銳持久有效的平安風(fēng)險意識。如何有效提高人員網(wǎng)絡(luò)平安意識、防御社工及網(wǎng)絡(luò)詐騙風(fēng)險、建立企業(yè)網(wǎng)絡(luò)空間平安全員防火墻，一直是網(wǎng)絡(luò)平安行業(yè)的難題。從企業(yè)實踐出發(fā)，建議做好以下工作。一、加快網(wǎng)絡(luò)平安意識標(biāo)準(zhǔn)的制定開展網(wǎng)絡(luò)平安意識教育提升工作必須標(biāo)準(zhǔn)先行，才能做到有"標(biāo)"可依、規(guī)范執(zhí)行。美國作為全球網(wǎng)絡(luò)最為興旺的國家，從20世紀(jì)開始就陸續(xù)建立了一系列網(wǎng)絡(luò)平安意識培ij11評價標(biāo)準(zhǔn)和規(guī)范。國內(nèi)近年出臺的網(wǎng)絡(luò)平安法律規(guī)范均對網(wǎng)絡(luò)平安意識教育考核有明確要求，但在如何落實國家或行業(yè)對網(wǎng)絡(luò)平安意識教育的內(nèi)容、要求和測評方法等方面仍然探索缺乏，缺乏一套全面的國家或行業(yè)標(biāo)準(zhǔn)。2021年，由北京紅山瑞達(dá)科技牽頭承當(dāng)?shù)摹毒W(wǎng)絡(luò)平安技術(shù)網(wǎng)絡(luò)平安意識評價指標(biāo)體系》標(biāo)準(zhǔn)研究工程，在全國信息平安標(biāo)準(zhǔn)化技術(shù)委員會WG7會議通過驗收。該標(biāo)準(zhǔn)研究工程制定了單位網(wǎng)絡(luò)平安意識風(fēng)險的量化評價指標(biāo)體系和計算方法，從評價單位或組織人員群體網(wǎng)絡(luò)平安意識風(fēng)險出發(fā)，設(shè)計了兩級網(wǎng)絡(luò)平安意識指標(biāo)體系，設(shè)計了每個指標(biāo)的數(shù)值測量和標(biāo)度方法。每個一級指標(biāo)和二級指標(biāo)都有其指標(biāo)權(quán)重。根據(jù)行業(yè)、地域、評價目標(biāo)、評價活動導(dǎo)向等不同，可直接調(diào)整一級或二級指標(biāo)權(quán)重。后續(xù)，相關(guān)單位可以在此基礎(chǔ)上加快推動網(wǎng)絡(luò)平安意識全員教育相關(guān)的國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的評價方法、知識體系、工作指南、最正確實踐等標(biāo)準(zhǔn)的制定工作。二、加強網(wǎng)絡(luò)平安意識教育基地建設(shè)2016年，"兩會"正式通過了《關(guān)于在全國范圍建設(shè)"國家網(wǎng)絡(luò)平安青少年科普基地"的建議》議案。此后，全國先后建立了北京網(wǎng)絡(luò)平安教育體驗基地（國家科技館）、福州網(wǎng)絡(luò)平安科普基地、鄭州網(wǎng)絡(luò)平安科技館等科普基地。這些科普基地面向廣大青少年、學(xué)生群體及家長，運用現(xiàn)代化技術(shù)手段、通過豐富的視聽內(nèi)容，科普互聯(lián)網(wǎng)的原理、開展及平安知識，極大地提高了廣大青少年的網(wǎng)絡(luò)平安意識。針對領(lǐng)導(dǎo)干部、涉密人員等特殊群體，局部省市先后建成了幾十個保密教育實訓(xùn)平臺，通過體驗式、互動式演示教學(xué)，直觀生動地展示網(wǎng)絡(luò)竊密方式和危害，在保密教育轉(zhuǎn)型升級的道路上邁出了重要一步，大大提升了特殊人員網(wǎng)絡(luò)平安保密意識。這些基地和實訓(xùn)平臺的建設(shè)，突出了網(wǎng)絡(luò)平安意識教育的責(zé)任主體，可以有效支撐國家網(wǎng)絡(luò)平安宣傳、普法、科普等任務(wù)，推進(jìn)網(wǎng)絡(luò)平安進(jìn)機關(guān)、進(jìn)農(nóng)村、進(jìn)社區(qū)、進(jìn)學(xué)校、進(jìn)企業(yè)、進(jìn)軍營，有效增強全體人員的網(wǎng)絡(luò)平安意識。三、健全基于行業(yè)崗位的網(wǎng)絡(luò)平安教育知識體系由于各地區(qū)、各行業(yè)的信息化程度、管理體制和產(chǎn)業(yè)重點不同，因此，各個地區(qū)和行業(yè)的全員網(wǎng)絡(luò)平安教育內(nèi)容，其考核重點也不一樣，需要根據(jù)實際情況健全不同地區(qū)、不同行業(yè)、不同崗位類別的網(wǎng)絡(luò)平安教育知識體系。通常情況下，網(wǎng)絡(luò)平安知識體系自下而上逐漸由通識教育轉(zhuǎn)向精英教育。例如，普通員工僅需打好網(wǎng)絡(luò)平安意識基礎(chǔ)，了解并掌握一般性網(wǎng)絡(luò)平安防范知識即可；工程開發(fā)人員需要掌握網(wǎng)絡(luò)平安工程領(lǐng)域的平安知識；企業(yè)高管需要強化網(wǎng)絡(luò)平安風(fēng)險管理、網(wǎng)絡(luò)平安戰(zhàn)略和策略制定等方面的專門知識。這樣才能表達(dá)出針對性更強、效果更好的培訓(xùn)效果。四、部署全員網(wǎng)絡(luò)平安意識教育提升與社工演練上報系統(tǒng)人員漏洞是企業(yè)最危險的漏洞（很容易被攻擊者利用）和最容易修復(fù)的漏洞（不需要昂貴的技術(shù)產(chǎn)品和頂尖技術(shù)人才），但也是最難修復(fù)的漏洞（不被重視、缺乏預(yù)算，每個員工都是一個社工攻擊面）o因此，開發(fā)并部署低本錢、全員覆蓋的網(wǎng)絡(luò)平安意識教育與社工演練上報系統(tǒng)是合適并具有性價比的解決方案。紅山瑞達(dá)與國家互聯(lián)網(wǎng)應(yīng)急中心、北京理工大學(xué)等開展產(chǎn)學(xué)研合作，聯(lián)合研制出了國內(nèi)第一套全員網(wǎng)絡(luò)平安意識教育提升與社工演練上報系統(tǒng)，其關(guān)鍵技術(shù)和應(yīng)用填補了國內(nèi)空白。該系統(tǒng)具有網(wǎng)絡(luò)平安文化宣傳、教育考試、釣魚演練、量化評估、事件上報等功能，能夠支撐網(wǎng)絡(luò)平安宣傳周、保密教育、大型網(wǎng)絡(luò)攻防演練等網(wǎng)絡(luò)平安活動。同時，系統(tǒng)還能夠?qū)悠髽I(yè)郵箱賬號、企業(yè)微信、釘釘?shù)?，連接全員認(rèn)證和身份管理系統(tǒng)，支持SaaS部署或私有化部署。該系統(tǒng)的功能和應(yīng)用場景包括但不限于防網(wǎng)絡(luò)釣魚模擬演練、網(wǎng)絡(luò)平安保密宣傳教育、網(wǎng)絡(luò)平安意識量化評價、網(wǎng)絡(luò)平安保密在線文化宣傳等場景。五、完善企業(yè)網(wǎng)絡(luò)平安事件上報機制在企業(yè)內(nèi)部網(wǎng)絡(luò)平安事件上報機制建設(shè)及運營上，我國企事業(yè)單位和網(wǎng)絡(luò)平安企業(yè)遠(yuǎn)遠(yuǎn)落后于國外。例如，國外從事網(wǎng)絡(luò)平安意識教育與釣魚郵件模擬上市公司KnowBe4,是全球最大的平安意識培訓(xùn)和模擬網(wǎng)絡(luò)釣魚平臺的提供商，累計被全球44,000多家組織使用。該公司的釣魚模擬與上報數(shù)據(jù)說明，威脅模擬訓(xùn)練是最為有效的社工威脅防御方式，上報是最有效的釣魚郵件防御手段之一。國內(nèi)專業(yè)從事網(wǎng)絡(luò)釣魚模擬與上報處置的系統(tǒng)與服務(wù)的提供商較少，企業(yè)內(nèi)部的釣魚模擬上報運營機制剛剛開始，這方面與國外差距較大。六、加強國家網(wǎng)絡(luò)平安宣傳周等網(wǎng)絡(luò)平安意識的宣傳教育加強員工網(wǎng)絡(luò)平安法規(guī)和網(wǎng)絡(luò)平安知識技能普及宣傳教育，結(jié)合熱點事件和法律法規(guī)，圍繞重點案例、個人信息保護(hù)、網(wǎng)絡(luò)平安風(fēng)險及應(yīng)對，制作宣傳教育材料；定期提供網(wǎng)絡(luò)防詐騙、網(wǎng)絡(luò)平安普及、網(wǎng)絡(luò)平安普法等宣傳材料，定時定量做好公眾號、抖音、微博等社交平臺內(nèi)容維護(hù)，建成全員網(wǎng)絡(luò)平安意識教育平臺；將網(wǎng)絡(luò)平安宣傳教育活動列入重要議事日程，認(rèn)真制定活動方案，加大投入力度，調(diào)動各個單位積極性，在國家網(wǎng)絡(luò)安全宣傳周期間集中組織開展各類網(wǎng)絡(luò)平安宣傳教育活動，突出宣傳實效。充分利用各類媒體平臺，加強活動宣傳報道，制作播出專題節(jié)目，開展知識競賽、主題晚會等，普及網(wǎng)絡(luò)平安防護(hù)技能，提升網(wǎng)絡(luò)平安意識。總之，企業(yè)網(wǎng)絡(luò)平安意識提升工作難度較大，涉及文化宣傳、教育培訓(xùn)I、攻防對抗等不同工作，也涉及辦公室、保密、人力、IT、風(fēng)控等眾多部門，面臨工作量大、工作瑣碎