有人说，安全是很难衡量。周围缺乏的问题或事件产生可衡量的结果是具有挑战性的。但是，安全度量的领域在最近几年相当大的变化，给安全管理更多资源的情况下作出的安全方案和技术的投资。
现在SANS研究所，通过他们的保护人类计划，是提供一套旨在让安全领导跟踪和衡量自己的安全意识方案的影响的能力，自由的度量工具。
根据兰斯Spitzner，培训主任的程序，该工具可以用来提高训练，表明了投资回报率，或者在一个行业组织的人的风险比其他组织。所有的资源都是免费的，由社区，为社会发展，Spitzner说。
这些工具包括：
度量矩阵 - 一个电子表格，识别和文档用于测量安全意识计划不同的选项。它包括两个测量的影响（以行为改变），并跟踪合规性指标。
测量人体的危险性调查 - 最新加入仍处于开发工具中，25问题的调查有助于确定组织中的人的风险。每个问题及其各自的答案都有不同程度的与他们相关的风险。根据员工如何回应，答案可以累计，以确定您的人为风险的定量值。
网络钓鱼评估规划程序包 - 网络钓鱼的评估不仅是一个简单的来衡量你的意识方案的影响的有效途径，但要加强关键的训练理念非常强大的方式。这个包可以帮助你一步一步的计划，建立和实施一个成功的网络钓鱼评估方案，其中包括几个模板，Spitzner说。
CSO与Spitzner谈到使用的度量工具。
CSO：是什么创造这些收集度量工具的使命？
Spitzner：该工具是需要由安全意识社区的开发出来。我跑的约200名专业人员谁是所有参与的私人邮件列表，或引领安全意识计划为他们的组织。人民邮电什么，他们正在寻找，然后，我们作为一个整体开发资源帮助解决这个问题。
其中一个我们解决了创建安全意识成熟度模型，可帮助确定如何成熟的第一个挑战你的意识程序，然后你想怎么打造上。作为一个群体，我们再开发的安全意识的路线图，详细解释了如何以达到每个成熟度级别。有度量标准重复请求和需要。
什么是使用安全意识度量的挑战是什么？
由于总是有与度量几个挑战，安全意识的指标是没有什么不同。几个要点要牢记：
- 最终，指标是用来衡量你的安全意识计划以及如何提高它的有效性的工具。有时企业获得如此陷入了自己的度量指标，则程序本身，他们忘记了他们的最终目标是什么显得更为重要。因此最好的办法是只注重了几个，很不错的指标。
- 不幸的是良好的指标是很难的。他们必须易于措施（最好是自动的），他们（即使不同的人测量他们得到同样的结果，换句话说）被一致测量，他们要的东西，你可以采取行动。不好度量的一个经典的例子是十大最感染的国家。什么样的价值不在于指标有哪些？哪些行动是你应该基于该拿？
这是我们开发的安全意识度量矩阵的原因之一，它拥有超过15度量组织的名单可以从取决于哪个指标具有最大价值的他们选择。
什么是从其他类型的安全指标的意识度量不同？
您正在尝试测量人的因素，特别是人们的行为和意识。技术是比特和字节，其可以是容易测量（攻击次数检测，被防火墙阻断端口扫描次数等）。另一个挑战是根本原因分析。很多时候，事故是由人为因素造成，但组织没有意识到这一点，因为他们从来没有做根本原因分析。
典型的例子是受感染的系统。如果您的安全团队做受感染系统的根本原因分析，它们很可能会发现，绝大多数感染的是不是一个技术问题，而是人的问题。不幸的是许多企业无法做任何类型的事件的根本原因分析，从而隐藏的事实，人是最常见的问题，而不是技术。
为什么你的热情这个主题吗？
因为我热忱地相信这是我们可以有最大的影响。在过去的15年里，我一直在信息安全我们的社会已经几乎完全侧重于利用技术，安全技术，我们已经变得很擅长。其结果是，大多数操作系统已经变得非常难以侵入，但我们并没有做什么，以确保人的因素，我喜欢称之为HumanOS。他们HumanOS从来没有受过训练的，因为结果是他们没有防火墙，它们在默认情况下所有的服务，也没有打补丁。所有典型的错误，我们做15年前与今天人们仍在发生。这就是为什么人类成了主要攻击向量。通过投资一些基本的资源转化为人们可以在降低风险，就像我们今天在其他操作系统有巨大的影响。
什么类型的人做你预想使用SANS工具和什么样的好处你希望它会提供？
当然任何组织都可以从我们的免费资源用在个人生活中普通百姓受益，而不仅仅是组织。想想看，任何安全意识计划的70％-80％同时适用于组织和员工个人生活;主题，如电子邮件，移动设备，社交网络或密码。我们的做法是不只是让人们认识和工作改变自己的行为，但在家里改变那些同样的行为，因为他们面临着同样的风险。因此，安全成为他们DNA的一部分。
关于如何提高知名度指标资源反馈可以发送到community@securingthehuman.org。
这个故事，“使用安全指标来衡量人的意识”，最初是由出版CSO 。