胡立

很多企业安全部门将预算和资源都投入到软硬件安全解决方案的采购与部署，侧重技防，而选择性忽略或者根本没有更多预算投入人防。实际上人防与技防处于同等重要的位置，基于技术的解决方案覆盖的领域是有限的，即使企业花了很多钱构建安全防線，有时候一个来自内部人员的小错误就可能将企业置于岌岌可危的境地。

从攻击端来看，攻击者越来越重视终端用户的行为心理研究，不断通过各种方法绕过企业的安全防御策略来达到目的，水坑式攻击和鱼叉式钓鱼攻击就是两种典型的方式。

要建好“人民防线”，离不开良好的人员操作机制和安全意识提升计划。通过制定周密的安全意识提升项目，员工能够主动担负起责任，更好地保护企业数字资产和知识产权。此外，从更高的角度来看，员工还能将所学的安全知识延伸到个人生活中，使更多家庭受益。

2016年，Gartner曾发布了一篇安全指南，提出了一些帮助中小型企业在预算十分紧张的情况下提升员工安全意识的建议。三年过去了，网络空间的形态发生了很多变化，因此Gartner的安全专家重写了这篇指南，提出了几种简单可行、立竿见影的方法，仍坚持“调动最少的资源”这一原则。

方法一：简单明了的消息通知

（1）内网横幅

采用网络广告的思路，在企业内部网页顶端添加横幅，推进安全意识的树立和安全消息的传达能力。

（2）登录消息

诸如Microsoft Word和Unix等应用和操作系统为管理员提供了系统登录时发送消息的通道。……