了解如何评估组织的安全文化。
了解这种安全文化对组织安全有多大益处。
了解如何优化组织的安全文化，从而提升整个组织的安全水平。
让我们先来看看文化是什么，以及它为何重要。文化本质上是隐性的、难以捉摸的。它往往没有明言，而是体现在行为中，藏在人们的思想和意识里。我们常常能在组织的框架中看到文化的体现：愿景、使命和价值观；这些也能反映组织对各种事物的态度。例如，它是否重视创新胜过传统？它关注的是人还是流程？它是否拥抱变革？还是会一路抵制到底？
可观察到的文化，体现在组织如何欢迎新员工、在危机时刻是否团结一致、如何管理员工绩效、庆祝生日、回应变化和想法，以及如何对待客户和供应商。
文化也体现在无人监督时，你如何开展日常工作。COVID-19疫情导致我们转为远程办公，这一点由此凸显出来；当时我们目睹了网络安全事件和成功入侵案件有所增加。
我们都熟悉“有毒文化”这个说法。它指的是一个不适合工作的组织：人们彼此刻薄，没人真正想来上班，不良行为受到奖励或被忽视，整体氛围也非常消极。
什么是安全文化？
这取决于你问谁。2019年11月，KnowBe4委托Forrester Consulting评估全球企业的安全文化。在这项针对1,161人的研究中，人们对安全文化给出了758种独特定义。随后，研究根据每种定义所体现的总体倾向，将这758种定义归为五类。具体分布如下：
29%的人认为，安全文化就是遵守安全政策。
24%的人认为，安全文化意味着具备安全意识并理解安全问题。
22%的人认为，安全文化意味着认识到安全是整个组织共同承担的责任。
14%的人表示，安全文化与建立能够影响安全决策的正式人员团体有关。
12%的人认为，良好的安全文化意味着安全融入组织之中。
所有回答都有其道理，但有一种定义尤为突出，因为它涵盖了其他所有定义：12%的人认为，良好的安全文化意味着安全融入组织之中。
世界经济论坛在网络安全方面开展了哪些工作？
网络安全中心为领导者提供了一个值得信赖的平台，让他们齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联互通的数字世界中增进理解与信任。
通过推动跨行业协作和洞见分享，该中心帮助合作伙伴增强网络韧性，并应对需要集体行动的挑战。
什么是良好的安全文化？
良好的安全文化意味着人们在安全问题上作出正确决策，了解威胁态势，知道应留意哪些危险信号，报告所有可疑活动，并理解自己作为网络安全“人类终端”的角色。
（网络）安全文化不仅仅是完成培训或报告网络钓鱼邮件。它还体现在那些不易察觉、有时无法衡量的情境及其后续应对中。让我们来看看拥有安全文化与缺乏安全文化各自带来的影响。
以下情境从人的角度出发——也就是你的用户——展现了他们遇到与安全相关的情况时的想法。
情境1——一封来自银行的网络钓鱼邮件（恶意邮件）进入收件箱。邮件有多处语法错误，含有明显可疑的链接，字体大小不一，格式混乱，而且发件人的电子邮件地址明显是假的。
情境2——办公走廊的地板上发现了一个USB设备，上面写着“Payroll 2022”（2022年薪资）。
对于我们这些每天与信息安全和网络安全打交道的人来说，这些情境似乎不言自明，但对其他人而言却并非如此。我向你保证，你的员工每天想的、做的正是这些。
你的组织有安全文化，但它是你想要的那种吗？
事实确实如此。无论你是否喜欢，每个组织都已经有了自己的安全文化。挑战在于了解其当前状况，明确你希望它变成什么样，并着手实现这一目标。
要了解组织当前的安全文化，你需要提出一些问题、进行一些观察，并花时间记录自己的发现。
不妨先问问：员工是否了解发生安全漏洞会对组织造成什么影响？他们是否了解网络威胁态势？无论何种情况，他们离开设备时是否都会锁定设备？他们是否遵守现行政策（互联网使用、整洁办公桌、报告事件等）？他们如何应对网络钓鱼和其他社会工程攻击？他们是否经常采用不安全的权宜做法（例如在工作中使用个人Dropbox或不安全的个人设备等）？
了解组织当前所处的位置后，就该考虑、讨论并明确组织的安全文化应该是什么样了。
KnowBe4的安全文化七大维度是一个很好的起点，因为它考察了以下要素：
1. 你期望员工对安全持有什么态度？
2. 你希望员工改变哪些行为，或展现哪些行为？
3. 员工是否具备理解力、知识和安全意识？
4. 你如何与员工沟通？他们是否觉得自己是解决方案的一部分？
5. 你是否在制定政策时考虑并纳入了员工的意见？他们是否知道该怎么做？
谈到组织中不成文的行为规范时，你是否考虑将（网络）安全纳入其中？
7. 最后，也许也是最重要的一点——如果缺少这一点，你注定会失败：员工是否理解网络安全为何是每个人的责任，以及他们在其中肩负着关键角色？
回答这些问题后，你就已经朝着建立并培育理想的安全文化迈出了重要一步。接下来，可以使用我们的安全文化调查，向员工提出一系列问题。该调查摘自我们的《2022年安全文化报告》，可为文化七大维度提供基准。
可以问：我的组织是否重视安全？业务中哪些领域最不重视安全，哪些最重视？哪些员工最规避风险？我们的安全文化有多强或多弱？组织的哪些部分需要改善安全文化？我们的安全文化计划成效如何？
除了回答上述运营层面的问题外，安全文化调查还能为你提供相关指标，帮助你向董事会或执行团队报告组织的安全态势。它也为你在整个组织中开展意识提升、教育和培训提供了起点。
现在回到最初的问题：一个组织缺乏安全文化会怎样？我们换个问法：一个组织拥有你想要的安全文化会怎样？
按照你的定义，建立强大而积极的安全文化，是影响用户行为、进而降低组织风险并增强韧性的有效方式。
