重新思考安全意识培训的必要性

关键要点

尽管安全培训投资增加，成功的电子邮件攻击仍在上升，商业电子邮件诈骗 (BEC) 攻击在2022年至2023年间增加了108。传统安全教育无法有效吸引用户，因为员工在忙碌的工作日中难以保持注意力。生成式人工智能的普及使得网络攻击更加复杂，安全意识培训(SAT)需要现代化。建议采用双向互动的培训模型，实时反馈与员工沟通，以提高安全意识和有效的防御策略。

虽然安全培训的投资在增加，但成功的电子邮件攻击却屡见不鲜。2022年至2023年间，商业电子邮件诈骗攻击的增长高达108。那么，为什么安全意识不能有效防止更多事件的发生呢？

不幸的是，传统的安全教育无法有效吸引用户。每天，员工面对大量的电子邮件、直接消息和会议安排，迫于接踵而来的截止日期和繁忙的日程安排，他们往往将安全问题放在次要位置，急于完成强制性的培训计划。与此同时，电子邮件攻击的复杂性在不断上升，网络犯罪分子也在不断优化他们的社会工程学策略，使得识别潜在威胁变得愈加困难。

组织的员工是对抗网络犯罪的重要防线，但仅仅依赖年度培训并期待员工在有限的时间内主动接受安全教育可能会带来严重后果。

生成式人工智能提升了风险

生成式人工智能现在几乎对任何人可用，包括网络犯罪分子。威胁行为者利用诸如ChatGPT的工具，甚至恶意版本的WormGPT和FraudGPT，迅速创建独特的内容，避免语法错误和其他可疑迹象，导致许多用户难以识别可疑电子邮件。

被武器化的生成式人工智能还使得即使是最不熟练的威胁行为者也能执行复杂的社交工程攻击。通过输入他们通过简单搜索或链接目标社交媒体账户获取的个人详细信息，网络犯罪分子能够生成个性化信息，轻松绕过垃圾邮件过滤器，甚至欺骗那些最重视安全的用户。

多年来，安全教育主要集中在教员工识别钓鱼邮件的常见警告信号和如何将威胁报告给他们的安全团队。虽然帮助员工培养对可疑通信的敏感性，并赋予他们主动防止攻击的能力是有价值的，但这已经不再足够。生成式人工智能带来的威胁数量，以及这些技术使得电子邮件攻击几乎无法被肉眼检测，使得安全意识培训的效果显著减弱。

采用双向模型现代化安全意识培训

尽管生成式人工智能攻击越来越普遍，安全意识培训(SAT)项目仍然是组织安全战略的重要组成部分。它们为员工提供了良好的安全知识基础，并帮助培养一种企业文化，让员工将安全视为共同责任，而不仅仅是安保团队的工作。然而，现有的安全教育方式在面对这些复杂的BEC攻击和不断演变的威胁时，已经显得不够有效。

白鲸加速器最新版

传统的安全教育使得我们过于依赖员工在年度培训中所学的内容的记忆，并预期他们能够自己找到时间持续进行安全学习。即使在拥有良好安全文化的组织中，了解新兴威胁的优先级通常在非安全专业人员的待办事项中排得较后。这并非因为他们不关心，而是因为自我培训占用了他们的工作时间，且大多数员工与安全团队的互动不够频繁，导致这类话题难以留在他们的心中。

此外，即使员工花时间报告可疑电子邮件，忙碌的安全团队通常无法及时确认所报告的邮件是否构成真正的威