Browsing: 安全意識

    不少企業也有為員工舉辦網絡安全培訓課程,以為做完就安全?可惜事與願違,有調查發現34%員工受訓後依然用紙寫低密碼,60% 員工依然接駁公共 Wi-Fi 工作。其實舉辦培訓都要成本,究竟如何才能有效地運用資源?一齊學習四個要點。 根據 TalentLMS 和 Kenna Security 一項員工網絡安全風險意識調查發現,大部分安全培訓都未能達到預期效果。調查訪問了 1,200 個美國員工,當中 69% 已接受安全培訓,除了上述學完等於無學的例子外,受訪者當中有 61% 未能通過主辦機構提供的基本安全測試。 由此可見,設計網絡安全培訓課程絕不簡單,罐頭式培訓內容未必。網絡安全專家認為安全培訓課程要有成效,不可忽略以下四點。 定期審核:做完培訓班都要有跟進,企業管理者必須安排人手定期進行內部審計,評估員工有否執行課程內容,例如檢查員工電腦有否未經批准使用的軟件、帳戶密碼是否繼續採用易於破解的組合,同時亦可留意員工工作枱上有否隨意擺放敏感度高的文件。如效果未有改善,就有可能要改課程內容或教學方法。 實用淺白:影響網絡安全培訓效率的經典原因是內容大路及充斥大量專業術語。首先如員工未能了解釣魚電郵、社交工程攻擊的意思,根本無法了解自己有可能中招的原因。另外如內容過於大路或理論化,員工亦無法將課程內容應用到實際工作上,因此導師應針對行業實況及公司文化,設計出實用淺白的教程,同時以實例進行分析,確保員工清楚掌握入侵原理。 持續培訓:培訓應定期進行,一次性課程不可能讓員工記住所有內容,最好每次課程有不同主題,加深員工印象。…

    公司被黑客入侵,好多時都因為員工疏忽,錯誤開啟了電郵內的惡意連結或附件,不過在怪責他們的同時,企業管理者有否反思公司提供的網絡安全訓練是否足夠?內容能否吸引同事細心閱讀?記著以下 5 個要點,才可令同事在培訓課程時專心及上心。 有調查顯示,企業被入侵的原因九成出於員工誤開釣魚電郵,而且隨著疫情下在家工作 (Work From Home) 變得普及,員工在公司以外環境下工作,防禦力自然更薄弱,因此有必要提高員工的網絡安全意識,於源頭阻截惡意攻擊。不過,有企業管理者會懷疑,明明公司已提供各種網絡安全培訓,為什麼員工就是無法上心?歸根究底,問題可能出在培訓課程之上。不妨留意以下幾點,重新審視安全培訓課程內容,才能讓課程變得有效率及有意義。 1. 內容要專 一個優質的課程,內容必須夠專及到位,必須因應行業特性安排培訓內容,而不是隨便拿取網上的網絡安全培訓樣本使用,以金融業為例,同事可能須更注意各種合規要求,貿易公司則可能面對較多商業詐騙電郵 (BEC) 攻擊,不能一概而論。 2. 真實事例 在準備培訓內容時,必須加入真實事例講解,以釣魚攻擊為例,如只告訴員工釣魚攻擊可令電腦中毒,員工未必意會到有多嚴重。應該清楚舉例說明黑客的攻擊手段,例如會引誘員工開啟惡意附件,或預先架設一個虛假網站套取帳戶登入資料,員工才會理解如何防範。 3. 簡潔說明 這點不難理解,培訓課程的時間不應太長,解說亦要簡潔到位,員工才不會因說明時間太長而失去集中力。如果能夠加入有趣的例子或互動元素,自然更容易上心。 4. 高透明度 公司引入各種網絡安全守則及工具,雖然出發點是為了公司及員工著想,但始終會引來員工疑慮,擔心公司會以安全為名,實則加強監控工作。因此企業管理者必須詳細解釋安全守則及工具的內容及會收集到哪些資料,讓員工清楚理解不會侵犯其私隱,員工才會樂於按照安全指引辦事。 5. 因人而異 每個同事對網絡安全的認知不一,因此培訓內容也要作出調校,企業管理者可安排員工接受安全測試,因應其安全意識分成不同的小組並提供合適的課程內容,這做法不單可找出高風險員工優先培訓,更不會因課程內容太深或太淺,令員工失去專注力。…