当你问到企业安全主管最近的主要工作，你会惊喜地发现他们最关心企业“安全文化”。的确，企业安全文化的缺失不容乐观：从很多安全评估资料和渗透测试的结果来看，即使企业在安全技术上做足了功课，一个很弱的安全文化也会让企业在这方面的努力付之东流。令人欣慰的是，安全主管们已经开始直面问题，并将注意力从寻找技术解决方案转向了安全文化的建立、宣传和员工的安全意识培养上。

安全文化如何建立？安全意识如何培养？为了进一步了解企业的员工安全意识培养计划，我们进行了详细的调查研究，以确定成功的关键因素。我们采访了财富500强

公司的安全意识培管理训者，并调查了公司的安全工作人员和普通员工。另外，我们还在英国的一个超过150名安全管理人员参加的安全管理项目中验证了结果，并收集到不少额外信息。

我们总结了7个重要的建议，尽管仍有很多地方待进一步优化，但这些建议还是能够引导我们实施一个成功的安全意识培养计划。

1. 争取获得C级支持

任何一个计划的实施，在获得C级支持后会更容易成功。这样的支持毫无疑问能获得更大的空间，更多的预算和更多来自其他部门的支持。安全意识培养计划负责人应当首先去争取有力的支持，而不是把精力放在其他事务上。

我们承认获得这一级别的支持有一定的困难，但我们的研究也找到了获得这种支持的最佳实践。成功的努力方向是经常强调安全意识属于合规性要求，强调服从安全意识带来的投资回报可以明确地为公司节约支出。另外针对高管还要准备特别的材料，比如给总经理准备通讯和短文，提供相关新闻和忠告等。

2. 与关键部门的合作

成功的安全意识培养计划能够找到一种方法让其他部门参与进来，比如法律、合规、人力资源、市场、隐私和人身安全等部门。如果获得了C级支持，那么搞定这些部门轻而易举。这些部门往往有共同利益可能服从甚至提供额外的资源，比如资金或分担宣传。通常情况下，这些部门能够强制进行安全意识的灌输。例如，法律和合规部门能够通过组织施加很大的影响，能够让安全意识成为其他流程所需的“组件”，例如拟定一个新的职责介绍。

为了获得这些支持，你可能已经发现，你必须在平常的安全意识培养工作中纳入合作部门的需求。例如，你可能会被建议在安全意识培养内容中包含合规内容。但如果这样做你能获得所需要的支持，这样的努力绝对是值得付出的。

3. 创意让工作更顺利

创意是必须的。虽然充足的预算将提供很大的帮助，但只有很少经费的公司依然能够实施成功的计划。创意和热情能够弥补经费的不足。举个关于创意的例子：某公司在一次安全活动中使用一个“安全立方体”。安全意识培训部门在主走廊设置了一个模拟柜，装有10个常见的安全违规项。员工如果能够分辨所有10个违规项则可以参加抽奖。另一个公司的活动则是在情人节当天分发巧克力，在巧克力包装中夹带安全策略文档。员工报告称他们感觉被强迫阅读文档，因为他们只喜欢巧克力。--这只是举例，但显然有不计其数的可能。

4. 让工作得以量化

工作是否成功，仍需要你自己去证明。做到这一点唯一的方法是意识培养工作启动之前明确工作成功的度量标准。没有标准，很难证实你的努力超过假设的成功。

度量标准包括态度的调查，可能还包括网络钓鱼的仿真工具的使用，预先以及后续的意识培训。你也能检查一系列与安全相关世间来客观评判，比如是否有人尝试访问被禁止的网站。如果你能够展示任何与安全相关的可度量的改进，你可以证明你的计划有效，可以获得额外的资金和支持。这是普遍现象，公司每个部门都需要证明自己的价值，安全也不例外。

5. 选择有效的措施

意识培养应关注于怎么去做而不是告诉人们什么不能做。显然很多行为不被允许，但是这些应该成为例外而不是规则。比如，你告诉员工不能使用社交网站是不现实的，有效的做法是你告诉他们该如何安全地使用社交网络。

6. 制定“90天计划”

大多数安全意识培养计划直接采用一个一年的计划，同时还企图占用一个主题月。这些都是无效的，因为它既不传授知识，也不回馈或者记录正在发生的事。相反，制定一个90天计划，每隔90天评估预先规划的目标，这才是最有效的。最成功的案例显示可以同时关注3个主题并且规律地充实整个90天。每个90天计划被单独评估以决定哪些议题需要解决和向前发展。

7. 多种形式的宣传材料

最成功的计划不仅有创意，他们还依靠多种形式的宣传材料。学习管理系统训练模块是一个有效方案，很多计划完全依赖它们进行宣传工作。但成功的方案却是采用了很多宣传工具，包括通讯，海报，游戏，新闻推送，博客，网络钓鱼仿真，等等。

另一个需要考虑的问题是所准备的材料应该符合不同阶层的喜好。比如，一些视频看起来适合年轻男性的口味，这时候你需要使用其他的视频或者材料去满足老年员工和女性员工。肯定没有所谓“一劳永逸”的方法。

结论

很多措施可以让安全意识培养计划成功，但也有些会导致其失败。不管如何，这些都应该是你的起点。没有技术能够永远弥补安全文化的不足，安全意识培养计划的实施可以补充、完善企业安全体系，安全显然应该成为常识。