安全意识项目卡在第几级？从「办完培训」到「看见行为」的三次跳跃

原创

Sec小易
Sec小易

谷安天下

2026年9月30日 07:03
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

9 月 20 日，2026 年国家网络安全宣传周收官。今年的主题是\"网络安全为人民 网络安全靠人民——智能时代 网安护航\"，聚焦人工智能安全治理、个人信息保护、关键信息基础设施防护等议题。

与此同时，法规层面的要求也在变实：新修订的《网络安全法》自 2026 年 1 月 1 日起施行，首次在法律层面对人工智能应用安全、网络数据安全作出综合性规范，处罚力度全面升级；《网络数据安全风险评估办法》自 2026 年 8 月 20 日起施行，明确处理重要数据的网络数据处理者应当每年度开展风险评估。

一边是要求越来越实，一边是不少企业的安全意识工作还停在\"办完培训、交一份总结\"的状态。差距究竟在哪里？SANS Institute 在今年发布的两份报告里，给出了一个很好用的坐标系。

01 先问一个问题：你的项目在第几级

SANS Institute 在 2026 年 1 月发布的《Security Awareness and Culture Maturity Model（安全意识和文化成熟度模型）》中，把安全意识项目分成五个阶段：

1. 不存在：没有成体系的项目；

2. 合规导向：以满足最低培训要求为目标；

3. 促进意识与行为改变：聚焦少数几个高影响行为，并看到可测量的变化；

4. 长期文化变革：安全行为成为组织的默认状态；

5. 优化与韧性：靠持续改进维持，而不是\"达成\"。

五个阶段之间最直观的差别，是时间尺度：

• 阶段 2 大约一个月就能\"完成\"——因为它的目标只是满足培训要求，而不是塑造行为；

• 阶段 3 通常需要 6 到 12 个月，才能看到可测量的行为改变；

• 阶段 4 要在组织范围内实现，通常需要 3 到 10 年，取决于组织规模、复杂度和既有文化；

• 阶段 5 不是终点，而是一种持续状态，靠不断度量和调整来维持。

这里有一个很值得琢磨的结论：如果一件事一个月就能\"完成\"，那它只能是合规。 培训通知发下去、视频播完、考试通过、签到表归档——不到一个月，一切都能结束，也确实有据可查。

而\"行为有没有变\"这件事，一个月永远完成不了。这就是\"办完培训\"和\"看见行为\"之间那道坎。

02 为什么升不上去：卡点不全是预算

SANS 在 2026 年 8 月发布的《2026 Security Awareness & Culture Report》（第 11 年，基于全球 1700 余名安全意识从业者的反馈）给出了两个门槛：

• 要让员工行为真正发生改变，大致需要至少 3 名把大部分时间投入这个项目的专职人员，并持续 3 到 5 年；

• 要形成稳定的安全文化，需要 4 名以上专职人员，投入 5 到 10 年。

报告同时指出，多数受访项目并未达到这两个门槛——缺的往往不是预算，而是人和时间。

同一份报告里还有一个变化值得注意：AI 已经升为第 2 大人为风险，仅次于社会工程。 两年前它还排在第 4 位。报告特别提示了三类需要分别对待的 AI 风险：员工未经授权使用生成式 AI 工具、没有开发背景的员工用 AI 写代码、以及智能体在没有人工复核的情况下自主执行操作。与此同时，75% 的安全意识团队已经在用 AI 来建设和运营自己的项目。

这几件事放在一起看，指向同一个结论：内容从来不是瓶颈。 每年新出现的知识点、新形式、新工具都不缺，AI 甚至能再帮你把内容生产效率提高一截。真正稀缺的，是\"有人长期盯着这件事\"。

这也和我们做宣教服务时的观察一致。员工的意识培养有几个绕不开的特点：要利用碎片化时间、形式不能让人反感、知识点必须和员工的工作生活真正相关、表达方式要新颖。它更像一项日常运营工作，而不是一个能\"结项\"的项目。

03 第一次跳跃：从「完成率」到「行为率」

成熟度模型还揭示了一个容易被忽略的细节：度量口径会随阶段演进。

• 阶段 2 看的是完成类指标：培训完成率、考试通过率；

• 从阶段 3 起，看的是行为类指标；

• 到了阶段 5，看的是组织级指标：事件从发现到恢复的时间、与同行业的对标情况。

换句话说，你考核什么，就会得到什么。 如果全年唯一被检验的是\"培训有没有做完\"，那么项目就一定会停在\"做完\"。

我们在给企业做意识宣教服务时，有一个不太愉快的观察：不少单位对这类项目的验收，最终落在\"提交一份年度总结报告\"上。交付物验收当然必要，它证明工作确实发生了；但它只能证明\"办了\"，证明不了\"变了\"。

所以第一次跳跃的开关，其实是一次很小的改动：把年度总结报告里的\"完成情况\"，换成\"行为情况\"。

• 钓鱼演练的点击率与上报率，分部门做前后对比；

• 微答题的参与率与正确率，按部门、按岗位拆开看；

• 学习平台的登录与学习时长，看的是触达，不是考核；

• 一年之内员工主动上报的可疑事件数量变化。

这几个数不需要新系统，现有的内部平台大多都能出。它们的作用，是让\"意识\"第一次变成一个可以被讨论、被比较、被改进的对象。

04 第二次跳跃：把「抓典型」换成「抓上报」

行为指标里，最容易被低估的一个是上报率——员工发现可疑情况之后，有没有主动上报、多久上报。

它的特殊性在于：这是一个完全依赖信任的指标。 一旦上报者被当成\"添麻烦的人\"，或者演练中上钩的人被点名通报，这个数字就会迅速归零。而且归零之后很难恢复，因为员工不会告诉你他们为什么不再上报。

SANS 成熟度模型里有一句话很值得记住：有效的宣教沟通，是把员工当成有能力改变行为的主体，而不是合规负担。这句话落到日常动作上，是四件事：

1. 建零责备的上报通道：明确写出来——上报可疑邮件不会被追责，早报比晚报好，误报也没关系；

2. 给一个具体动作，而不是一句\"提高警惕\"：发现可疑邮件点哪个按钮、发现账号异常打哪个电话、发现设备异常找谁；

3. 第一批上报者公开表扬：不是靠奖金，而是让全体知道\"这个人做了正确的事\"；

4. 把上报数放进汇报：让管理层看到这条曲线在涨。它比点击率更能说明安全文化正在长出来。

演练数据用来找薄弱环节，上报数据用来证明组织在变强。同一批数据，用错方向是问责，用对方向是激励。

05 第三次跳跃：从「项目」到「机制」

SANS 成熟度模型里还有一个常被忽略的结论：真正把项目推向成熟的关键因素之一，是跨部门协作——尤其是与人力资源、宣传和运营部门的合作。

原因很直白：安全意识项目要触达的是\"所有人\"，而没有任何一个安全团队能独立触达所有人。真正决定覆盖率的，是那些每天都在和员工打交道的部门：

• 与人力资源：把第一次宣教放进入职流程，让新员工在正式接触业务之前就上完\"第一课\"；

• 与宣传、党群：把安全内容嵌进已有的内部宣传动线，而不是每周额外再开一个新渠道；

• 与业务运营：把关键安全行为写进岗位规范和流程，让\"该做的事\"变成\"必须做的事\"。

这也是我们做体系化宣教时的基本顺序：先定目标，再定对象范围，然后才是知识点、表现形式、工作计划与评估优化。顺序反了，做出来的就只是一堆素材。

写在最后

成熟度不是一个排名，而是一张\"下一步做什么\"的地图。

宣传周刚刚收官，正是难得的重新定位时点：先诚实地判断一下自己在第几级，然后把今年的目标，从\"办了哪些活动\"改成\"看见了哪些行为\"。

数据来源：SANS Institute《2026 Security Awareness & Culture Report》（2026 年 8 月）与《Security Awareness and Culture Maturity Model》（2026 年 1 月）；新修订《中华人民共和国网络安全法》《网络数据安全风险评估办法》公开信息；2026 年国家网络安全宣传周公开信息

网络安全意识宣教系列 · 谷安天下 安全易视®