数据安全管理能力提升专项行动 · 培训：\"四两\"如何\"拨千斤\"

原创

Richard
Richard

方桥安全漏洞防治中心

2026年7月11日 09:23
上海

在小说阅读器读本章

去阅读

本文约2,150字。阅读时长约4~5分钟。

听讲时思考，培训完行动。

一、培训做了不少，为什么不管用二、从\"听讲\"到\"思考\"再到\"行动\" 三、\"四两\"如何\"拨千斤\"

一、培训做了不少，为什么不管用

数据安全管理能力提升专项行动开始后，宇宙保险公司开了一场动员会。会后有业务部门提出：给我们做培训。

这不是归口部门推着做，是业务部门自己要的。他们知道24号文，知道“谁管业务，谁管业务数据，谁管数据安全”，但不知道从哪下手。

自从93号发出来，宇宙保险公司参加、组织了好几轮各种形式的培训。先是请顾问来交流，讲政策、讲共识、讲应对；然后参加保险行业协会的数据安全培训；又参加了两次面向六个省/自治区/直辖市的金融机构课程——专家很厉害，内容很精彩。

但是，没感觉到有什么具体收获，更没有体现到行动上。

员工隐约觉得\"跟我有点关系\"，又没明白具体关系在哪里；领导觉得\"培训做过了\"，也算完成了一项工作。

问题出在哪？

——培训停在\"听讲\"，没有走到\"思考\"，更没有走到\"行动\"。

直到归口部门统筹安排，在专家的支持下做了一组定制培训，IT条线2次、业务条线2次，这才开始有点不一样。

二、从\"听讲\"到\"思考\"再到\"行动\"

先看讲给谁听。

前三次培训，都是“听安排”。内容完整，深入浅出，就是找不到感觉。

定制培训不一样。两次面向IT条线的培训，针对6个岗位（系统管理员、网络管理员、DBA、安全岗、软件开发、应用维护）逐项拆解监管要求，还给出好/中/差三档作对照。比如：堡垒机+双因素认证是好，部分服务器直连是中，大量未纳管是差……对着表一看就知道自己差在哪。应用开发安全具体讨论数据安全需求、设计、密钥管理、加密、脱敏等，做没做，做到什么程度一目了然。

业务条线的两场培训，各举各的场景，却发现了相同的问题：员工固然没搞清楚规定，更没意识到自己\"正常做业务，不自觉违规\"。

IT条线知道哪里不合规——日志不够、密码太弱、账号没清……

业务条线不知道。大家觉得自己在正常干活，在帮忙，在协作。直到拆解场景，才看见自己的盲区。

终于对上号，迈出了第一步。

下面三个场景，都是\"我在帮忙\"式的违规。

续保名单发微信

晨会上，片区经理说：\"大家把手上的续保名单理一理，快到期的客户主动联系一下。小李把名单导出来发到群里，方便大家跟进。\"

你导出一份含姓名、车牌号、手机号、到期日的清单，发到部门微信群。

经理让发的，都是自己人，有什么问题？

续保清单全是敏感级数据。进了微信群，文件可以转发、下载、截图——没有人能控制后续扩散。

正确做法：名单在业务系统内共享，不导出，更不能发微信。

4S店\"知会一声\"