组织投入大量资金部署技术来抵御外部网络威胁，这无可厚非；但它们最大的安全漏洞来自内部，而且显而易见：员工。
Willis Towers Watson 的网络保险理赔数据显示，三分之二的网络安全事件由员工疏忽或不当行为造成或促成，包括笔记本电脑遗失、意外泄露信息或员工蓄意违规行为。相比之下，只有 18% 的事件直接由外部威胁引发。
员工可以成为组织网络安全战略中最有力的资产。然而，要让他们成为抵御网络威胁的第一道防线，仅靠技术解决方案还不够。
这一认识促使越来越多的组织审视内部文化，以及这种文化如何鼓励有助于降低网络风险脆弱性的行为。参与2017 年 Willis Tower Watson 网络风险调查的组织中，超过 80% 表示，希望在未来三年内将网络风险管理融入公司文化。但组织的风险文化有很大一部分深藏于表面之下，它们该如何实现这一目标？
以下措施有助于组织建立强大、精通网络安全的文化：
1）评估内部风险文化
要建立规避风险的文化，组织必须能够衡量员工行为中固有的风险。或许最实用、也最容易被忽视的评估工具是网络风险文化调查——通过员工调查，评估个人对网络安全的责任感和问责意识。
让员工回答有关其网络风险认知和应对威胁行为的问题（例如，员工是否会通过设置密码保护，用电子邮件发送重要或机密信息？），雇主便可了解哪些群体最需要关注。
这类评估还有助于揭示组织及其领导者对网络风险文化的支持程度。例如，调查可以衡量员工对各主要职能领域网络风险培训的看法。
此外，凭借适当的能力和数据，组织可以将自身成果与同行业者及全球表现优异的组织进行比较。
由此获得的洞见将帮助高层领导锁定高风险群体，并制定计划，弥补网络风险教育方面的不足，同时加强组织整体对网络安全的支持。
2）重新重视有针对性的培训
员工对网络风险的认知和了解程度各不相同，因此必须针对不同员工群体量身设计持续培训计划。
培训内容可以包括在线培训或由讲师现场授课、自定进度学习，以及“在实践中学习”的方式——例如模拟演练，让员工应对网络钓鱼等网络威胁。
全面培训的益处显而易见：根据2017 年 Willis Tower Watson 网络风险调查，77% 的员工认为培训增强了他们在工作中对数据安全的个人责任感。
3）重新思考技能战略
鉴于许多经济体信息安全技能人才短缺，且人才需求不断变化，组织必须定期评估技能差距，并确定如何最好地弥补这些差距——通过招聘新人才，或提升现有员工的技能。持续提供学习新技能的机会，也能让高价值员工更愿意留在组织中。
鉴于许多经济体信息安全技能人才短缺，且人才需求不断变化，组织必须定期评估技能差距，并确定如何最好地弥补这些差距——通过招聘新人才，或提升现有员工的技能。持续提供学习新技能的机会，也能让高价值员工更愿意留在组织中。
随着信息安全在组织中的作用日益关键，人才方面的新挑战也随之出现。例如，在一些组织中，信息安全由业务部门共同领导。这一变化催生了对网络安全复合型岗位的需求，任职者既要具备商业头脑，也要拥有技术技能。跟上这些岗位变化，有助于获得竞争优势。
网络威胁近期没有减弱的迹象。通过评估威胁、持续提供学习机会并制定面向未来的人才战略，组织可以建立强大、具备网络安全意识的文化，以防范网络安全事件。
