构建全组织强安全文化：RAINSTORMS法则

十月是国家网络安全意识月。

也碰巧是（除其他）乳腺癌关注月、口腔卫生月、全国反霸凌月、我最爱的全国披萨月。还有万圣节！扯远了……回到网安。

每个制造商应至少每年为全员举办一次网安意识培训。许多人一听“网络安全”“培训”就头大，十月安排似乎应景。培训至少覆盖相关公司政策：IT安全、信息安全、物理安全。

多年我们经历此类培训并学会恐惧。有人照念去年稿、发张签到纸让你签名证明到场。真催眠。这种培训虽勉强达标，对塑造员工行为几无影响。

网安意识培训真正目的：创建安全文化，即员工视良好网安实践为良好业务、为“我们这里怎么做事”。员工应感到被赋能做好网安决策、理解何为好决策。意识培训聚焦：

• 制止冒险行为： 帮员工知晓何种决策导致恶果。如：打开不明来源邮件附件。
• 鼓励低风险行为： 帮员工理解并践行提升安全的流程。如：如何设强密码。
• 把员工变哨兵： 帮员工识别并响应网安事件。如：访客将未授权USB插入设备怎么办。

理想情况下培训应持续。将网安培训融入日常运营的想法：

• 定期强调网安为公司重要目标。
• 每会议融入一个网安贴士/提醒/技巧。
• 工作场所张贴适当安全实践提醒。
• 定期开会讨论可能让员工更易做好安全决策的流程改进。

关于优秀员工网安培训研究颇多。总结可用首字母缩写“RAINSTORMS”（我刚编的）。

• Real（真实）：用真实案例或逼真场景落地教训。
• Actionable（可执行）：含员工即刻可做的事。如：改密码、盘点IT资产、确保事件上报联系人信息存手机。长期作业也适宜，但即时目标总有帮助。
• Interactive（互动）：角色扮演、小组讨论、动手练习都是好方式。理想情况下互动含双向对话、覆盖所有管理层级，确保所有人知责任共担、步调一致。
• New（新颖）：适度重复适合讲政策，但别陈腐。变换培训形式（讲座、角色扮演、视频）助兴。
• Small（微小）：小块信息比强塞整个计算机科学学位易消化。一次一主题通常更好。
• Testable（可测试）：网安培训应有可衡量可测试目标。如普及意识可搞测验。如目标缓解钓鱼攻击，可在活动前几周和后几周各发一次模拟钓鱼邮件，对比效果。
• Owned（归属感）：培训后员工应有归属感，觉网安是自己责任；被赋能做好网安决策。
• Relevant（相关）：多数公司有不同用户类型。针对性定制培训更真实。如车间员工与办公室员工分场培训。
• Memorable（难忘）：用首字母缩写、顺口溜，或我最爱的——幽默。人类记住好笑事——双关、烂MV、猫搞笑梗——远胜枯燥讲座。别怕非传统、别怕好玩。
• Simple（简单）：培训首要简单。满口技术术语的硬核课只适合催眠。

国家网络安全教育倡议（NICE）有少量免费低成本资源助员工培训。网上资源更多，搜一下即被淹没。用上述RAINSTORMS模板评估筛选。

十月全月，NIST MEP将发布系列博客，大致遵循国家网络安全联盟（NCSA）主题大纲。今年主题：“Do Your Part. #BeCyberSmart.” 个人不爱自推标签，但若你十月推特/博客谈网安，考虑用#BeCyberSmart——看能飞多远。

NCSA大纲：

• 10月5日周（第1周）：连接即防护
• 10月12日周（第2周）：家庭与工作设备安全
• 10月19日周（第3周）：医疗联网设备安全
• 10月26日周（第4周）：连接设备的未来

不知从何起步？联系本地MEP中心学习如何落地高效网安培训项目。也可访问NIST MEP网站获取制造商网安资源。

本博客为国家网络安全意识月（NCSAM）系列之一。系列其他博客：Zane Patalive《连接即防护》、Pat Toth《可疑心：你的企业可能被黑的非技术迹象》、Jennifer Kurtz《保护联网医疗设备》、Erik Fogleman和Jeff Orszak《连接设备的未来》。