CIS关键安全控制 第8.1版 8.1

开展针对特定角色的安全意识和技能培训。具体实施示例包括为IT专业人员提供的安全系统管理课程、为Web应用开发人员提供的OWASP®前10漏洞意识与防护培训，以及为高风险岗位提供的高级社会工程学意识培训。

建立并维护安全意识计划。安全意识计划的目的是教育企业员工如何以安全的方式使用企业资产和数据。应在员工入职时进行培训，至少每年进行一次培训。内容应每年审核和更新，或在发生可能影响该保障措施的重大企业变更时进行更新。

对员工进行身份验证最佳实践的培训。示例主题包括多因素认证（MFA）、密码设置以及凭证管理。

培训员工意识到非故意数据泄露的原因。示例主题包括敏感数据寄错、丢失便携式终端设备或将数据发布给未预期的受众。

培训员工，使其能够识别潜在事件并能报告此类事件。

培训员工识别社会工程攻击，例如网络钓鱼、借口欺骗和尾随进入。

培训员工如何识别和妥善存储、传输、归档以及销毁敏感数据。这也包括对员工进行清屏和桌面最佳实践的培训，例如在离开企业设备时锁定屏幕、在会议结束时清除物理和虚拟白板，以及安全存储数据和资产。

培训员工了解如何验证并报告过期的软件补丁或任何自动化流程和工具的故障。培训的一部分应包括在自动化流程和工具出现故障时通知IT人员。

对员工进行培训，使其了解在企业活动中连接和通过不安全的网络传输数据的危险。如果企业有远程工作人员，培训必须包括指导，确保所有用户安全配置其家庭网络基础设施。