2024年，95%的数据泄露与人为失误有关，网络安全防护常因用户培训不足而失效。
因此，网络安全投入必须与通过教育和持续再培训对人员的投入相匹配。
网络安全培训的目标应是缩小专业人员与组织其他员工之间的差距。
多年来，网络安全的故事一直以机器的语言讲述。防火墙、杀毒软件、入侵检测系统，如今还有量子计算和人工智能——每一种新工具都承诺能够超越下一波攻击者。
尽管有这些创新，入侵事件仍每天发生，而且其中大多数并非由尖端攻击手段造成，而是由人为因素导致。例如，2024年，95%的数据泄露与人为失误有关。
精密的防御措施常因员工缺乏正确使用它们所需的网络安全培训而失效。因此，若数字韧性是目标，对人员的投入就需要与对技术的投入相匹配。
符合现实需求的网络安全培训
多年来，我们培养人员在网络世界中工作的方式几乎没有改变，而技术变革早已使传统课程体系落伍。学位教育仍将具有重要意义，但它不能成为实施网络安全培训的唯一途径。
资格认证必须更快速、更具适应性。与产业界、政府及高校合作开发的短期课程，可以为在校学生和职业中期员工提供与时俱进的技能。当然，利用人工智能（AI）生成的工具有助于课程保持更新，但这些工具始终应与人类教育工作者和安全专业人员协作使用。缺少这种合作，培训将始终落后于威胁。
同样重要的是，培训不能止步于IT部门。从工厂车间的员工到首席执行官，每一位员工都需要具备足够的网络安全意识，以发现可疑活动并做出负责任的反应。目标并非让每个人都成为网络安全专家，而是缩小专业人员与组织其他成员之间的差距。
超越网络安全专业人员的范畴
全球网络安全人才短缺的问题已有充分记录。世界经济论坛的研究表明，对专业人才的需求持续超过供给。但仅靠培养更多专家无法解决这一问题。
解决之道在于使安全成为组织日常文化的一部分。当员工能够识别钓鱼攻击或质疑伪造视频时，整个系统将变得更加坚固。对抗性思维和人工智能素养等理念不应再局限于专业人员。安全必须在全体员工中普及，而不应被封存在狭窄的孤立领域中。
此时此刻的不同之处在于人工智能的作用日益增强。这些系统不仅是工具，它们还在塑造行为。如果员工只接受技术操作培训，而无法质疑其所见所用的技术输出所带来的伦理影响，那么他们将毫无防御能力。
因此，将伦理和批判性推理纳入网络安全培训已不再是可有可无的选择。题为《Bad machines corrupt good morals》的这篇论文等研究表明，Bad machines corrupt good morals展示了人工智能如何影响决策，使原本负责任的人做出有害行为。因此，培训必须使个人具备质疑输出结果、识别操纵行为并抵制各种隐性胁迫的能力。
人工智能如何改变人的行为
攻击者向来利用人为失误，钓鱼邮件便是典型例子。新变化在于欺骗手段更加精密。深度伪造语音如今可以模仿高管。人工智能生成的信息经过精心设计，以规避怀疑。分辨真假正变得日益困难。
与此同时，人工智能降低了攻击者的门槛。过去需要专业技术才能掌握的技能，如今任何会打字的人都可以获取。几条提示词就能生成恶意代码或具有说服力的网络诈骗内容。原本从未想过实施网络犯罪的人，可能会突然发现它触手可及。
问责机制的削弱是另一个被忽视的风险。在传统黑客攻击中，由于指令是明确下达的或犯罪行为是明确实施的，因此意图是清晰的。而在人工智能系统中，意图变得模糊。一个含糊的提示词可能被自主解读和执行，从而使用户得以推卸责任。
这种问责缺口会带来严重后果。法院和监管机构将难以证明主观意图，而个人则可能躲在机器背后。为应对这一问题，必须培训员工理解，授权并不能免除责任。新的治理框架将是必要的，但组织必须持续树立意识，明确伦理责任不可外包。正如近期研究所指出的，这一“隐含意图”的灰色地带，是法律与实践领域最紧迫的前沿问题之一。
作为公共产品的网络安全
网络安全不能继续作为企业或政府之间的私人竞争。它是一种公共产品，对经济信任和社会稳定至关重要。与所有公共产品一样，它需要合作。
这意味着要投资于教育和持续的再培训，意味着建立分享而非隐瞒知识的合作伙伴关系，也意味着重视多样性，使解决方案能够反映全球威胁的现实。视野狭隘只会造就脆弱的防御。
全球网络安全日益复杂性表明，没有任何单一国家或行为体能够独自应对。唯一可行的对策是集体行动。而且 仅靠技术也无法拯救我们。防火墙和加密固然重要，但人更为关键。网络安全只有融入日常生活才能真正稳固。它不能仅由少数专家承担，而应被视为一种公民责任，在课堂、董事会和社区中同样得到讨论。它必须是融入日常生活习惯的集体责任。
世界经济论坛全球未来理事会已在构想如何打造安全、包容且自由的数字环境。这一未来是可以实现的，但需要从今天开始行动。拖延会放大风险，而合作则能开启新的机遇。
每个人都必须在网络安全工作中发挥作用，但你将成为薄弱环节，还是坚固的人类防火墙？
