Citrix首席技术官Stan Black已经在网络安全领域工作了20年。他目睹了这家软件和数据安全公司几代员工的来来去去。在思杰公司，三代人并肩工作，第四代人也在路上。思杰拥有9500名员工，其中51%是千禧一代。每一代人都面临着新的安全挑战，雇主们需要克服这些挑战，这样在未来几代人工作的时候，企业安全最终会成为他们的第二天性。CSO执行编辑瑞恩·弗朗西斯最近问布莱克，这些挑战如何才能在未来几代人身上减轻。
你认为新员工最大的安全问题是什么?
新员工面临的最大挑战之一是与新政策和流程的安全集成。安全性因组织的不同而不同——政策、设备、访问权限等等。挑战在于让每个新员工了解他们在安全方面的角色，并确保业务和个人信息的安全和可靠。关键是传达安全业务的挑战和目标、员工保持信息保密的角色以及对访问的期望。
安全是如何随着不同时代的员工而发展的?
安全一直是技术的一部分。现在是阳光普照的时候。直到21世纪初，工作和个人生活都有明确的划分。员工们有朝九晚五的工作时间，但这已经不再是常态了。现在，个人生活和职业生活正在融合，员工每天使用来自不同地点的多种设备访问工作和个人信息，我们作为安全专业人员必须专注于保护每台设备上的所有数据。它不再是锁定一个特定的设备，而是锁定设备可以访问的应用程序和数据，这样信息在任何地方、任何设备上都是安全的。
每一代都可以连接到哪些安全特性?
挑战在于每一代人对安全都有不同的体验或持有不同的心态。我们最近委托了波耐蒙研究所发现:
- 55%的安全和商业受访者表示，1981年至1997年出生的千禧一代在规避IT安全政策和在工作场所使用未经批准的应用程序方面的风险是所有年龄段中最大的。
- 33%的受访者称，1946年至1964年出生的婴儿潮一代最容易受到网络钓鱼和社会工程诈骗的影响。
- 30%的人说，1965年至1980年出生的x一代在遵守联合国安全政策方面最容易粗心大意
我们需要考虑到每一个这些弱点，并在每个层次上提供教育。
波耐蒙
对于为什么千禧一代比其他年龄段的人更有可能在工作场所使用未经许可的技术，没有一个单一的解释。对于组织来说，认识到这种威胁仍然来自各个年龄段，这是很重要的。不同时代的员工对安全有着不同的看法，但重要的是要记住，任何员工都可能成为任何类型的安全事件的受害者，无论年龄大小。
例如，攻击者在寻找窃取信息时，并不是针对特定人群;他们希望用最少的努力获得最大的攻击效果。创建一个安全程序，以教育各种风险，特别是那些利用用户的风险，对于帮助所有员工了解什么可能构成威胁是至关重要的。虽然可能发生用户无法控制的事件，比如设备被盗，似乎是一种快速解决方案，但如果该设备中存储了任何敏感的企业数据，那么该事件对安全团队来说就会成为一个更大的问题。千禧一代，就像任何一代的工人一样，可能不知道他们什么时候把组织置于危险之中，所以教育必须是基础。
对于一个由刚开始从事第一个职业角色的员工和已经从事职业生涯20年的员工组成的多样化的劳动力群体，你如何平衡安全意识培训?
虽然看起来新入行的员工和有几十年工作经验的员工有着天壤之别，但就安全感而言，工作经验并不是衡量一个人安全能力的可靠标准。安全程序因组织而异，所以分配资源让所有员工了解组织的政策是至关重要的第一步。此外，组织需要关注基础，并交付可重复的、一致的内容和指导。在潜在的钓鱼攻击中，有多少人，不管是否是婴儿潮出生的人，没有进行验证发件人电子邮件地址的基本测试?或者鼠标滑过邮件中的链接，看到“按钮”没有进入任何可能与发送邮件的供应商相关的域名?这些只是一些基本的，如果每个人都练习这些基本的，我们可以显著地减少，甚至消除网络钓鱼攻击的效率。
你能给安全教育计划设定一个时间表吗?你如何确定在入职的最初几周内需要分享哪些政策和计划，哪些可以等到员工安定下来再说?
绝大多数(如果不是全部的话)安全教育应该在入职后的90天内进行，而一些(比如针对相关员工的事故应对培训)应该在正常日程和工作“开始”之前进行。“也就是说，安全教育应该是一个持续的过程，这样员工就能意识到攻击的演变趋势，并对他们工作环境中出现的任何异常情况保持警惕。”此外，在任何组织结构的调整中，比如扩展BYOD程序，员工应该了解这是如何影响安全性的。
对于那些正在寻求改进员工意识项目的安全团队，你有什么建议吗?特别是在我们准备迎接Z一代——一个比千禧一代更懂技术的群体——进入职场的时候。
对基础知识进行教育，尽早和经常地传达期望，并投资于检测和执行能力。从一开始就围绕强制执行的教育过程进行咨询。，不要因为员工违反规定而立即解雇或停职，并将这些违反规定的行为记录下来，并与员工进行对话，作为“吸取的教训”。利用这些课程为新员工改进沟通、提高意识的内容和教育材料。千禧一代和Z一代成长于一个以技术为中心的世界，虽然他们可能更适应跨多种设备的数字平台，但也应该采取同样的预防措施，以确保他们接受如何保护他们正在分享或访问的信息的教育。
这个故事，“Q&A Citrix CSO:如何跨多代员工处理安全性”最初由方案 。