In today’s digital age, 公司经常面临网络安全威胁，这些威胁可能对其声誉造成无法弥补的损害, finances and customer trust. 建立稳固的网络安全文化对任何公司的网络战略都至关重要，应该成为组织和安全团队的首要任务.
But what is security culture? A security culture is the shared values, attitudes and behaviors that help organizations protect their assets, 包括人, 数据和系统. 这是一种积极主动的方法，强调安全作为业务优先事项的重要性，并涉及到每个人. Building a robust and positive security culture is not a one-time project. 相反，它需要不断努力跟上新威胁、新技术和新法规的步伐.
Why does security culture matter? 强大的安全文化对您的组织有几个好处，包括:
- Reducing the risk of cyberthreats当你的员工了解安全的重要性以及如何保护组织的资产时, they are less likely to fall for phishing scams and malware, or make other security mistakes that could lead to a breach.
- Building trust with customers:一个强大的安全文化可以通过表明你关心隐私和安全来帮助你赢得客户的信任.
- 加强合规: A good security culture can help you comply with regulations and standards, 比如GDPR, PCI DSS, HIPAA和ISO 27001, 通过确保您的员工遵循所需的安全控制和程序.
How do you create a strong security culture? 构建强大的安全文化需要组织中每个人的共同努力. Security is not just an IT issue but also a human one. 根据Verizon的说法在美国，82%的违规行为，包括网络钓鱼、社交攻击或滥用，都涉及人为因素. 不幸的是, people have become the primary attack vector, 最重要的挑战之一是有效地管理人类风险. 以下是建立和维护强大的安全文化的一些关键步骤，这些文化还可以促进弹性和数字信任:
- 从头开始: A security culture starts with leadership. 公司的领导者应该是第一个采用安全思维的人，并为组织的其他成员树立榜样.
- Start with an assessment: Before improving your security culture, 您必须了解组织的文化及其当前的安全状态. 通过将安全性与现有文化结合起来，您将有更大的成功机会. 进行彻底的 安全评估 to identify your critical assets, potential threats and vulnerabilities, and use the findings to develop a comprehensive security strategy.
- Develop a security strategy安全策略是概述组织安全计划目标的路线图, objectives and action plan. 该战略还应包括指导员工处理敏感信息的政策和程序, reporting security incidents and complying with regulatory requirements. 您应该使您的策略与业务保持一致，并致力于将安全性集成到业务的所有方面, from procurement to product development to customer service.
- Provide training and awareness: Security awareness training is essential to help employees, 承包商和合作伙伴了解他们在安全方面的角色和责任，并且应该持续下去, not a one-time event to comply. 关于安全最佳实践的定期培训课程可以帮助您的员工了解安全漏洞的风险和后果, and promote a security-conscious culture.
- 了解你的受众: When it comes to security, it’s essential to know your audience. Different teams may have various security concerns. 例如，财务团队可能会担心与工程团队不同的事情. 所以，确保你知道你在和谁说话，以及他们的具体需求和问题. 花点时间为你的听众量身定制你的信息和倡议，这样他们就能保持参与和了解情况.
- 做好准备: Resilience is the ability to withstand and recover from a cyberattack. It requires a combination of technical and organizational measures, 比如备份, 冗余, disaster recovery plans and incident response procedures. 强大的安全文化可以通过培养准备心态和模拟真实网络攻击期间可能发生的情况来提高弹性.
- 培养数字信任: Building digital trust means ensuring customers, 合作伙伴和其他人相信你的公司可以保证他们的数据安全并保护他们的隐私. 要做到这一点, 组织必须在使用个人数据方面保持透明和负责任，并遵守GDPR和CCPA等法律法规. 拥有强大的安全文化是促进道德行为和尊重隐私的一种方式, which can help build digital trust.
- 简化政策: Security policies drive a big part of the security culture. 你的安全政策和程序应该是清晰的，协作的，所有员工都可以访问. 每个人都应该知道公司对他们的期望是什么，以及不遵守规定的后果.
- Foster a positive security-aware culture: A security culture should not be punitive or fear-based. 您可以通过员工如何与安全团队互动来判断安全文化是否积极. 例如，表彰和奖励那些表现出良好安全措施的员工, by reporting security incidents and concerns. This could be as simple as a public acknowledgement or a small bonus. 赋予他们权力，不加评判地庆祝人们的胜利、报告、问题和关注.
- Building a security champions community: Security teams are usually understaffed, 但是，如果您可以帮助您的安全团队扩展他们的资源并灌输一种设计安全的心态呢? 通过将来自不同团队和背景的专业人士聚集在一起, 您可以培养一种澳门赌场官方下载意识，支持并授权每个人优先考虑安全性，并为创建安全环境而努力.
- Monitor, measure and report:最后, 监视和度量安全文化计划的有效性是必不可少的. 定期进行调查和评估，以衡量员工的知识和行为, and use the results to identify any areas for improvement. 与您的关键利益相关者分享这些指标，以展示项目的投资回报，并使用结果来确定需要进一步支持的任何领域.
建立强大的安全文化可能看起来令人生畏，但这是一项明智的长期投资. With the right commitment, resources and leadership, 强大的安全文化的好处是值得的:一个更安全、更有弹性的组织, better collaboration between security teams and other departments, 改善遵从性, and increased customer trust. 除了, with a strong security culture, 通过促进对新威胁的准备，您可以积极地影响组织的安全状态, 帮助您的组织更有效地抵御和恢复网络攻击.
编者按: 有关建立数字信任和获取来自8个以上的见解的其他策略,100 digital trust professionals, download ISACA’s latest State of Digital Trust report.
