Cybersec Wednesday｜強化企業網絡防禦：實施員工網絡安全培訓和意識政策
去年香港的科技罪案頻生，數目更超過34,000宗，比前年增加近五成，造成的損失金額接近55億元，增幅達71%。網絡安全已成一大挑戰，企業若想加強防禦，關鍵之一就是員工的網絡安全培訓。
員工網絡安全培訓和意識政策，是指企業或組織針對其員工實施的一系列措施和規範，旨在提高員工對於網絡安全威脅的認識，教育他們如何預防和應對這些威脅，以及如何在日常工作中保護信息資源。這種政策通常包括定期的培訓課程、指導安全最佳實踐，以及介紹相關安全程序和應對措施。目的是在辦公環境建立安全意識文化，普及網絡安全知識，從而降低資料洩露和其他安全事件的風險。具體來說，就是令員工能夠辨識和防範如網絡釣魚、惡意軟件、資料洩露等常見的安全威脅，降低網絡攻擊的成功率以保護企業資產。
角色和職責
政策理應適用於所有員工，包括全職、兼職和合約員工，以確保每位員工都了解自己在保護公司資訊安全方面的角色和責任。政策主要涉及IT和人力資源部：IT部門需要負責制定和更新安全策略，監控安全漏洞，並處理安全事件；而人力資源部門則需確保所有員工接受必要的培訓，同時推廣安全文化。而各部門的員工必須遵守公司的安全政策和程序，積極參與培訓，並在日常工作中實踐所學的安全措施。透過合作和分擔責任，企業可以有效地降低網絡安全風險，保護公司和客戶的敏感信息免受威脅。
考慮因素及培訓方法
企業實施該政策時，需要考慮培訓頻率、深入程度、適用的工具和方法，以及如何有效衡量培訓成效，並定期根據新興的安全威脅和技術變化更新培訓內容。建議選擇多樣化的培訓手段，包括：
1. 研討會
邀請網絡安全專家進行演講，分享最新的安全威脅和防範措施，並透過案例研究來展示實際攻擊的例子和防護策略，並設置問答環節，讓員工有機會提問並得到專業的解答。
2. 模擬演練
進行模擬攻擊練習，幫助員工在實際情境中學習如何識別和應對安全威脅，如透過模擬釣魚郵件攻擊，員工可以在一個控制的環境下學習如何識別詐騙郵件。
3. 線上課程
提供了靈活學習的線上課程，讓員工可以根據自己的時間彈性安排進行學習，透過影片教學、互動式手法和測驗，幫助員工以自我導向的方式掌握網絡安全的基礎知識和進階技能。線上平台還可以追踪員工的學習進度和成績，以評估培訓效果。例如網絡安全員工培訓平台(Cybersec Training Hub)就提供免費的自學內容，降低機構提供網絡安全培訓予員工的門檻，尤其是協助缺乏網絡安全人才的中小企進行相關培訓，從而加強機構及員工對網絡安全的認知，由源頭降低機構網絡安全風險。
培訓內容
培訓內容需全面覆蓋從密碼策略、數據保護、身份及訪問管理、物理安全、社會工程防禦，到合規性要求等關鍵領域，能教育員工如何創建強密碼、安全地管理和分享敏感信息、識別及回應社會工程攻擊，並瞭解保護企業物理和數位資產的重要性。同時，應根據特定行業面臨的獨特風險和法律要求定制培訓內容，確保教育活動的時效性和相關性，從而裝備員工以防禦當前及未來的網絡威脅，保障企業和客戶數據的安全。
企業可以參考以上健議，進一步增強培訓的互動性和吸引力，鼓勵員工積極參與和實踐學到的知識，確保每位員工都能成為企業資訊安全的守護者。
網絡安全在很多方面還需要注意，如有任何疑問歡迎加入我們的 Cybersec Infohub 計劃，讓行業裏的網絡安全專家為你解決，如果你懷疑自己或公司的電腦被駭或有可疑的行為，亦請盡快聯絡網絡安全專家求助。
關於 Cybersec Wednesday
每逢星期三，HKIRC網絡安全團隊都會挑選一個網絡安全主題，以文章、貼士或最佳實踐的形式與大家分享。 請留意每週三的更新，定時掌握最新鮮的網絡安全資訊。
