摘要：信息安全意识是信息化安全建设的基石，只有基石牢固，才能铸造稳固的城墙。但是往往越是基石，越不被重视，最后在高昂的设备和技术防护下，出现安全事件。信息安全意识的提升有很多种方式，常见的有培训、考核、海报、活动等，但是做的比较成熟的是信息安全意识培训。经过不断反思和总结，我们总结一套适合安全意识培训的方法，从刚开始对安全的漠视到现在开始主动找安全部门反馈和上报问题。这套方法，我们称之为安全意识培训“四步法”。本文就跟大家分享下这套方法。
正文：
在进行安全意识培训的时候，核心点有四个。第一是在培训开篇引起大家的兴趣，愿意放下手机听你讲；第二是要跟员工互动，让大家感知到安全意识的重要性并有参与感；第三是要有充足的案例，最好是相同行业的案例，把枯燥的课程用案例变得趣味生动；第四是跟本单位的业务、部门或具体项目挂钩，引起员工的思考，这样才能在培训结束后落地执行。“四步法”就是把安全意识培训的PPT分成了四部分：引言篇、概念篇、规范篇和案例篇，引言引起大家的兴趣、概念进行知识科普、规范用来阐述风险及要求、案例用来分析反思。
一、引言篇
安全意识培训的第一部分是引言，本部分的目的是调起大家的兴趣、让大家知道什么是信息安全意识、为什么要进行安全意识的培训及安全意识跟我有什么关系。引言可以开篇有四种方式：
1. 选择一段安全意识相关的视频，比如《唐人街探案》中女黑客的视频剪辑、《速度与激情8》中僵尸汽车的剪辑、《幽灵》中黑客视频剪辑或在抖音搜索相关视频剪辑。视频往往能吸引员工的注意力，引出他们的兴趣。
2. 选择一个意识相关的故事，比如袋鼠跑出笼子，饲养员不断加高围墙，加到100米的时候，长颈鹿问袋鼠“你明天还出去吗？”“应该会出去，如果他们依然忘记关门的话。”袋鼠回答。这个故事就很好的诠释了意识的重要性，如果意识不到门没关，一味的加高围墙，只能是本末倒置。
3. 开篇可以放几道选择题，让员工选择，既可以互动又能很好的引出培训的主题。比如：你有如下的经历吗？
A. 经常被营销电话骚扰
B. 快单直接丢弃
C. 街头调研经常会留下真实的姓名和电话
D. 经常收到中奖的消息
问题跟员工的日常生活息息相关，让大家很快就能进入听课的状态。
4. 热点事件，如微盟删库、微博数据泄露等热门事件作为开篇引导，会激起大家的好奇心。
二、概念篇
当大家进入听课状态后，要给大家进行安全概念的普及。什么叫信息安全？信息安全的范围很广，重点放在本单位信息资产的安全性。介绍有哪些资产、这些资产都在哪里、跟我们有怎样的关系？信息安全相关的趋势是怎样的？法规有哪些？如果违反规定，有哪些处罚措施或后果。这些都是概念篇需要解决和科普的内容。
三、规范篇
介绍了信息安全的概念，接下来就要划重点了。既然信息安全如此重要，我们要怎么做才能保障安全呢？一般来讲，信息安全意识规范可概括为七大类，具体如下：
1. 账户安全
几乎每个人的工作都会用到单位的信息系统，所以从账户安全开始。
账户安全常见的风险包括共享账户、使用自动保存密码、设置弱密码或空口令。所以该部分的安全规范为禁止账户共享、慎用自动保存及密码安全（8位：大小写字母+数字+特殊字符）三部分。
2. 软件安全
软件安全常见的风险包括下载未知软件、不安装杀毒软件、私自安装商业软件。所以该部分的安全规范为禁止私自安装与工作无关的软件，需安装杀毒软件（统一部署），预防病毒。
3. 邮件安全
收发邮件是日常工作必不可少的部分，伴随的安全风险也不可忽视。如误发邮件、错发邮件导致的信息泄露、敏感资料不加密或加密的密码直接放在邮件中、收到钓鱼邮件或垃圾邮件等。该部分的安全规范为仔细核对收件人、抄送人和邮件内容，规避误发、错发导致的信息泄露、敏感资料加密发送，禁止直接粘贴到邮件正文，收到钓鱼、垃圾邮件要上报。
4. 社交安全
现在的工作生活均离不开社交软件和工具，微信、抖音、微博、QQ等。社交安全其实主要有二大点要注意，其一是收到的信息要仔细分辨（如骗子冒用同事信息骗取公司资料、离职员工索要公司资料），其二是发出去的信息要谨慎（不能发反党、反政府、色情暴力等敏感言论，不能通过社交软件发送公司敏感信息、不能在朋友圈发送工作信息）。
5. 个人隐私
个人隐私部分跟每个人都息息相关，该部分的风险在于日常工作中的一些不良习惯，如快递单直接丢、街头调研填写真实信息、复印件不添加签注等。该部分的规范为，养成安全小习惯，快递单撕毁后或用马克笔涂掉个人信息（姓名、电话、住址）后在丢弃，街头或网络调研，尽量不要填写个人真实信息，因为你不知道这些信息会被怎么处理，会不会发给黑中介导致电信诈骗？复印件一定要加签注。不添加签注被盗用的风险极高，如去办理网络贷款等。
6. 办公安全
办公安全是指日常工作中的规范要求，如离开工位要锁屏、打印文件及时取、会议信息要擦除、敏感文件使用碎纸机等。
7. 电信诈骗
电信诈骗是一个较复杂、多维度的事件，可以放在安全意识培训中，也可以不放。为帮大家更好的分类汇总，这里也同步介绍。电信诈骗的套路都是一致的，如下图：
对于电信诈骗的防护，接到陌生电话如果涉及洗钱、转账、公检法相关的直接挂掉就好，不要纠缠也不要想着反套路，术业有专攻。多关注媒体、公安部门通报的案情，增长防骗知识，如接到诈骗电话最好反馈给行政，进行内部信息共享，规避其他同事上当。
四、案例篇
本部分主要是对案例进行剖析，选择一些有代表性的案例，让大家结合前面学到的知识去分析，案例是如何发生的？怎样可以规避。借助案例让员工回顾前面的内容，与员工增加互动，并应用到案例中。
最后就是答疑，也是检验培训效果的时刻。如果很多人跟你沟通，反馈问题，那么培训比较成功，员工认真听了课程并开始反思。如果没有人和你沟通，课程结束后就散开或趴下睡觉，那估计效果并不好，因为员工没有触动。当然也不绝对，安全都是相对的，何况是安全意识培训。祝每位安全从业者的每次培训，都能让安全建设的基石更牢固！