隨著各種網(wǎng)絡(luò)威脅層出不窮，IT團(tuán)隊在與忽視安全警告的終端用戶的較量中持續(xù)失敗，這著實令人遺憾。CompTIA公司首席技術(shù)布道師JamesStanger將解釋如何讓用戶成為解決方案的一部分，而非問題所在。以下是五種方法，幫助企業(yè)的員工更加關(guān)注安全問題。

如今的網(wǎng)絡(luò)犯罪分子擁有龐大的攻擊面可供利用。他們有時會使用一種名為勒索軟件的惡意軟件，有時則利用配置錯誤的服務(wù)器或發(fā)動分布式拒絕服務(wù)（DDoS）攻擊。但在大多數(shù)情況下，他們攻擊的是鏈條中最薄弱的一環(huán)：人類。

1.應(yīng)對最常見的網(wǎng)絡(luò)安全威脅

當(dāng)攻擊者決定攻擊一家公司時，他們通常會進(jìn)行社會工程學(xué)攻擊，而這通常意味著利用電子郵件。據(jù)估計，絕大多數(shù)（超過90%）基于惡意軟件的網(wǎng)絡(luò)攻擊都源自商業(yè)電子郵件入侵（BEC）攻擊。

這還只是惡意軟件方面。如今的威脅行為者不僅利用電子郵件傳播惡意軟件，還進(jìn)行各種形式的魚叉式網(wǎng)絡(luò)釣魚攻擊和冒充戰(zhàn)術(shù)。我從世界各地的安全運營中心工作人員那里也聽到了同樣的說法。

為什么？因為電子郵件仍然是我們溝通的主要方式。因此，它也是主要的攻擊面。誠然，攻擊者已將注意力轉(zhuǎn)向其他服務(wù)，包括社交媒體和即時通訊。但電子郵件仍然是黑客和員工之間的主要聯(lián)系紐帶。

那么，IT專業(yè)人員學(xué)會如何與終端用戶溝通就順理成章了。畢竟，盡快獲取詳細(xì)準(zhǔn)確的信息只能幫助組織更有效地應(yīng)對。

2.明確終端用戶在網(wǎng)絡(luò)安全中的角色

終端用戶可以扮演兩種角色。他們可以是解決方案的一部分，也可以是問題的一部分。就在今天，我與一位來自英國的網(wǎng)絡(luò)安全專業(yè)人員交談過。他經(jīng)常在曼徹斯特市與執(zhí)法部門以及英國政府官員合作。

他直言不諱地說：“如果員工沒有良好的安全意識，那么你永遠(yuǎn)無法通過招聘來實現(xiàn)更高的安全性?！?/p>

專業(yè)人士表示，即使是最先進(jìn)的人工智能輔助軟件也無法解決未經(jīng)培訓(xùn)的終端用戶所產(chǎn)生的問題。

3.培訓(xùn)終端用戶

管理組織網(wǎng)絡(luò)安全風(fēng)險的關(guān)鍵步驟是實施有效的安全意識培訓(xùn)計劃，并結(jié)合IT專業(yè)人員的加強溝通。你不能只是不斷試圖教育人們；你必須加強溝通。作為網(wǎng)絡(luò)安全專業(yè)人員，以員工能理解的方式與他們溝通至關(guān)重要。

以下是與終端用戶溝通的一些技巧：

讓網(wǎng)絡(luò)安全人性化：不要讓IT專業(yè)人員只在幕后工作。指定一個人或一群人成為你溝通中的安全形象代言人。這將有助于員工將網(wǎng)絡(luò)安全視為更少的技術(shù)煩惱，更多的人類關(guān)切。

分享經(jīng)驗：講述你曾處于類似情境的故事。員工會產(chǎn)生共鳴。這樣做將建立一種同志情誼，有助于提升士氣，并讓人們想要了解更多他們?nèi)绾文軒椭恪?/p>

簡短傳授智慧：你不可能一下子解釋清楚所有事情。你也不應(yīng)該嘗試這樣做。沒有人想閱讀一封長篇大論講解技術(shù)步驟的電子郵件。很少有人愿意參加一個小時的安全會議。以用戶友好的方式分解信息。

進(jìn)行雙向溝通：僅讓IT和網(wǎng)絡(luò)安全工作人員單向與終端用戶溝通是不夠的。學(xué)習(xí)和溝通必須是互動的，而且必須是雙向的。一旦員工看到正在進(jìn)行真正的對話，你會驚訝于他們在遵守安全政策和網(wǎng)絡(luò)安全最佳實踐方面會有多大的改進(jìn)。

改變方式：是的，擁有可供日后參考的書面最佳實踐很重要。但是，要用多種媒介進(jìn)行溝通。一個組織制作了一系列短小的5分鐘視頻，展示經(jīng)驗豐富的網(wǎng)絡(luò)安全人員在輕松的環(huán)境中與終端用戶談?wù)撘豁椫匾獙嵺`。員工喜歡這種閑聊。另一個組織則舉行10分鐘的網(wǎng)絡(luò)安全市政廳會議，IT專業(yè)人員和終端用戶在其中提問和回答問題。當(dāng)你拆分信息并改變溝通風(fēng)格時，人們就會開始學(xué)習(xí)。

4.與個人合作，而非僅與群體合作

IT專業(yè)人員在與終端用戶合作時，最好的做法是找到與他們問題共情的方式。大多數(shù)情況下，人們會對敏感信息被泄露或他們遇到問題而感到非常不安。

一旦你表示理解，就更容易了解你正在調(diào)查的具體問題的關(guān)鍵細(xì)節(jié)。我發(fā)現(xiàn)，典型的禮貌行為總會讓人們感覺更好，包括解釋為什么在這里以及詢問他們的感受。這樣做不會花費太多時間，并且會對所有相關(guān)人員有所幫助。

為了讓某人放松下來，你可以講述你自己的故事，或者指出許多人經(jīng)歷過類似的問題。有時，遭受攻擊的人擔(dān)心他們會受到責(zé)備，甚至丟掉工作。關(guān)注你公司的安全政策——很少有公司會責(zé)怪個人受害者造成數(shù)據(jù)泄露。

當(dāng)你在應(yīng)對事件時，要找到方法溝通你接下來要采取的步驟。向他們展示你的行動是基于政策并依賴行業(yè)最佳實踐的。

一旦人們看到你表現(xiàn)出了專業(yè)性和同理心，你就會發(fā)現(xiàn)與他們合作很容易。然后，你可以開始詢問他們導(dǎo)致問題的活動。提出開放式問題也有助于你了解安全問題發(fā)生時他們正在做什么。

5.不要忘記網(wǎng)絡(luò)安全的人性化因素

隨著組織改進(jìn)溝通，他們發(fā)現(xiàn)可以減少漏洞，因為終端用戶意識到信息安全不僅僅是一個抽象的東西，也不是別人的問題。員工還意識到，在許多方面，他們才是第一道防線，而不是防病毒程序和防火墻。任何經(jīng)驗豐富的專業(yè)人士都會告訴你，在網(wǎng)絡(luò)安全意識計劃中改進(jìn)溝通是首要的風(fēng)險管理步驟。