2026年9月，國家網信辦與公安部先後公布了一批網絡安全、數據安全及個人資料保護領域的執法典型案例。從敏感資訊被上載至公開程式碼倉庫，到員工擅自下載測評數據，再到離職員工向應用程式植入惡意程式碼，這些真實事件為企業的人因風險管理（Human Risk Management）敲響了警鐘。
網絡安全風險絕非僅來自外部黑客攻擊，同樣可能源於內部員工對安全邊界的誤判、內部權限的濫用，以及離職管理流程中的漏洞。
技術漏洞可以透過掃描與修復來解決，惡意流量亦可進行監測與攔截，但技術防禦始終無法完全替代組織管理、權限控制與員工安全意識建設。一旦人員行為與公司制度、技術控制之間出現斷層，即使企業部署了多重安全設備，亦可能付出數據洩漏、業務受損乃至行政處罰的嚴峻代價。
以下結合寧夏、江蘇及北京三起公開通報的案例，深入剖析企業當前面臨的典型人因風險，並探討安全意識培訓平台 KnowBe4 能發揮的核心作用與適用邊界。
一、 先看法律：安全教育培訓不是可有可無的企業活動
不少企業至今仍將網絡安全培訓視為新員工入職流程中的一項例行公事，或者每年一次的合規「打卡」任務。然而從現行法律法規的規定來看，安全教育培訓是特定主體依法必須履行的法定安全管理義務。
主要法律依據包括：
- 《個人資訊保護法》第五十條第四項：個人資訊處理者應當合理確定個人資訊的操作權限，並定期對從業人員進行安全教育和培訓。
- 《數據安全法》第二十七條：開展數據處理活動，應當建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，並採取相應的技術措施和其他必要措施，保障數據安全。
- 《網絡安全法》第二十三條：規定網絡運營者在網絡安全等級保護制度下應當履行的安全保護義務，包括建立內部安全管理制度、採取技術措施、留存網絡日誌以及落實數據分類與加密等要求。
- 《網絡安全法》第三十六條：明確要求關鍵資訊基礎設施運營者定期對從業人員開展網絡安全教育、技術培訓和技能考核。
需要特別說明的是，上述條款的適用主體與具體義務並不完全相同。其中，《網絡安全法》第三十六條關於定期培訓與技能考核的明確規定，主要針對關鍵資訊基礎設施運營者；切不可簡單地將所有條款解讀為對所有企業均提出了完全相同的培訓要求。
然而，對於個人資訊處理者及數據處理活動主體而言，開展安全教育培訓本身已具備明確的法律依據。
這意味著，企業不能僅僅向監管機構證明自己採購了哪些安全設備，更需要根據適用法律規範與實際風險狀況，建立起配套的內部制度、技術控制、教育培訓及紀錄留存機制。
安全教育的真正價值，絕不僅是讓員工「知道規則」，更在於引導員工在具體業務場景中「懂得如何正確執行規則」。
二、 三個真實案例：人因風險是如何暴露的？
案例一：為了方便協作，員工將系統敏感資訊上載至公開程式碼倉庫
【案情回顧】
根據公安部公布的「護網—2026」網絡安全行政執法典型案例，2025年4月，寧夏某科技公司員工張某在負責某系統維運期間，為方便項目組內部協作與工作對接，私自將系統敏感資訊上載至某全球開源程式碼託管平台的個人公開倉庫中。
相關資訊涵蓋了系統網絡架構、安全防禦體系以及單位內部人員資料，導致該批敏感內容直接暴露於公眾網絡環境中。
公安機關在發現相關情況後，依法對該公司及員工張某處以行政處罰。
需要注意的是，官方公開通報中並未披露具體罰款金額，因此本文不對未經核實的處罰金額作任何引用。
【風險根因剖析】
該事件最值得企業警惕之處，在於員工的違規行為發生於日常工作場景之中。從項目協作的角度來看，利用程式碼倉庫存儲與共享檔案並不罕見。然而從安全管理的視角衡量，內部系統資料、測評材料及人員資訊決不意味著可以隨意上載至個人帳戶或公開倉庫。公開通報明確證實的是：員工未經授權上載了敏感資訊。至於該公司是否完全缺乏相關制度、員工事前是否接受過安全培訓，現有通報並未提供足夠細節以支持這些結論，因此不能直接斷言本案純粹是因為「缺乏培訓」而發生。
不過，此案例確實反映出企業必須清晰回答以下幾個關鍵問題：
- 哪些資訊可以外發？哪些檔案只能在指定受控環境內存儲？
- 員工在存取個人程式碼倉庫、雲端硬碟或其他協作工具時，應恪守甚麼規範？
若這些管理界限未能被明確定義、傳達並落到實處，業務上的便利性便極易與安全合規要求產生嚴重衝突。
【企業防禦策略】
首先，應建立數據分類分級與資料外發審批機制，明確敏感資料的存儲、共享與傳輸界限。
其次，可透過程式碼倉庫權限控管、公開倉庫創建限制、敏感資訊動態掃描以及適用的數據防洩漏（DLP）技術，降低未經授權外發的風險。
最後，還需要將這些規範轉化為員工易於理解並能落實執行的具體操作指引，透過場景化培訓，讓員工清楚知道哪些操作可能導致敏感資訊外洩，以及在遇到不確定情況時應如何妥善處理。
安全意識培訓固然無法取代技術限制，但能夠有效減少因合規認知不足而引致的風險行為。
案例來源：公安部公布網絡安全行政執法10起典型案例，2026年9月17日。
案例二：員工擅自下載測評數據，數據使用邊界成為管理短板
【案情回顧】
在公安部公布的同批典型案例中，江蘇某公司的數據安全事件同樣極具參考價值。
2025年11月，江蘇宿遷公安機關接獲有關部門線索通報，發現轄區內某服務平台存在數據 API 介面存取漏洞。
經調查發現，負責該平台建設與營運維護的江蘇某公司在開發與維運過程中，未有採取必要的數據傳輸與存儲保護措施，且對已發現的安全漏洞未作徹底整改。與此同時，公司員工擅自存取並下載了平台內的測評數據用於分析用途。
屬地公安機關依法對該公司予以行政處罰，並全程監督其銷毀擅自留存的個人資料。
官方公開通報並未說明該批數據是否已被出售，亦未披露涉事的數據總量，因此不應將其過度描述為「倒賣1.2萬條個人資訊」或認定相關員工已構成特定犯罪。
【風險根因剖析】
與單純的外部黑客入侵不同，本案例同時暴露出兩大類深層風險：
第一類是技術與管理控制不足。平台本身存在數據 API 介面漏洞，企業沒有採取充分的數據傳輸及存儲保護措施，也沒有徹底完成漏洞整改。
第二類是內部數據使用邊界不清。測評數據並非員工可以不受限制地存取、下載和留存的普通資料。即使員工是出於分析或工作便利的目的開展操作，也仍然需要遵守授權範圍和數據處理規則。
因此，企業不能只關注外部攻擊者上有沒有入侵，還需要關注內部人員可以存取哪些數據、可以開展哪些操作，以及相關行為是否符合授權用途。
【企業防禦策略】
技術層面：應落實最小權限原則（Least Privilege），嚴格管理數據介面，完善存取控制、日誌審計及異常下載監測，並及時修復已發現的漏洞。
管理層面：應明確測評數據、業務數據和個人資訊的使用邊界，規範數據導出、分析、共享和留存流程。
培訓層面：則應當幫助員工理解：擁有系統存取權限，不等於擁有不受限制的數據使用權；因工作需要接觸數據，也不意味着可以擅自複製、留存或另作他用。
需要強調的是，安全教育不能取代權限控制和行為監測。對於內部數據濫用風險，真正有效的防禦需要制度、技術與人員管理共同發揮作用。
案例來源：公安部公布網絡安全行政執法10起典型案例，2026年9月17日。
案例三：離職前植入惡意程式，約35萬用戶的應用安全受到威脅
【案情回顧】
2026年9月15日，國家網信辦通報了北京某網絡科技有限公司設置惡意程式案。
根據官方通報，該公司營運的某「助手」應用程式用戶數量約35萬。員工劉某在職期間曾參與該應用程式開發，後因勞動合同續簽問題心生不滿，在離職前向應用程式植入惡意程式，以獲取推廣費用。
用戶安裝該應用程式後，在使用瀏覽器首頁、搜尋引擎和書籤等功能時，頁面會跳轉至推廣鏈接。
調查發現，該企業未依法履行網絡安全保護義務，疏於對所營運應用程式以及員工的管理，未及時發現相關問題並採取補救措施。屬地網信辦依法責令其改正、予以罰款處罰，並將劉某涉嫌違法犯罪的問題移送公安機關。
官方通報確認的是該應用程式的用戶規模約35萬，並不意味着所有用戶都已被證實受到實際劫持。
【風險根因剖析】
這一事件體現了內部人員惡意行為與軟件開發、發布流程相結合的風險。
開發人員可能掌握代碼、構建和發布流程，了解系統架構及常見審核機制。如果開發和發布權限缺乏有效分離，代碼變更缺少獨立審核，離職前後的權限也沒有得到妥善管理，惡意操作就可能躲過常規檢查。
因此，這類風險不能簡單歸結為員工缺乏安全意識，也不能單純依靠培訓解決。
【企業防禦策略】
對於軟件研發企業，應從安全開發生命週期（SSDLC）入手，完善代碼審查、變更審批、構建與發布權限分離、代碼簽名和發布完整性校驗等措施。
exist人事管理方面，應建立覆蓋入職、在崗、崗位變更和離職全過程的權限管理機制，及時調整或撤銷不再需要的訪問權限，並對關鍵人員的權限變更和敏感操作加強審計。
安全意識教育的作用，是幫助員工理解代碼安全、職業操守、保密責任和違規行為的法律後果；而真正阻止惡意代碼進入生產環境，還必須依靠獨立審核和技術控制。
案例來源：國家網信辦發布近期網絡安全、數據安全、個人信息保護等領域執法典型案例，2026年9月15日。
三、 把三個案例放在一起：企業需要管理的不只是技術漏洞
三個案例呈現了不同的人因風險：未經授權外發敏感資料、員工擅自訪問和下載數據，以及離職前植入惡意代碼。
| 風險類型 |
代表案例 |
企業需要重點加強的防線 |
| 敏感信息違規外發 |
寧夏公開代碼倉庫案 |
數據分類、外發限制、場景化培訓 |
| 內部數據違規使用 |
江蘇測評數據案 |
最小權限、接口安全、日誌審計、數據使用規範 |
| 內部惡意行為與離職風險 |
北京惡意程序案 |
安全開發流程、權限分離、離職管理、代碼審查 |
這三個案例並不能證明所有網絡安全處罰都是由員工行為造成的，也不能說明技術措施不重要。
相反，它們共同說明：安全事件往往發生在技術控制、管理流程與人員行為的交界處。
防火牆、數據洩漏防護（DLP）、日誌審計和安全開發工具各有其適用範圍；員工安全意識培訓則幫助員工理解並遵循安全規則。兩者相互補充，才能形成更完整的風險管理體系。
對企業而言，安全教育的目標也不應僅僅是讓員工完成課程，而應當是逐步建立一套可以持續運行的機制：識別風險 ➔ 培養正確行為 ➔ 驗證培訓效果 ➔ 並根據實際風險調整後續措施。
四、 KnowBe4：讓安全意識培訓從一次性任務變成持續的風險管理
在安全意識培訓與模擬釣魚測試領域，KnowBe4 是一家具有較長產品積累的廠商。公司成立於2010年，目前稱其服務全球超過70,000家組織。
KnowBe4 的核心思路是透過安全意識培訓、模擬攻擊、行為反饋和效果分析，幫助企業持續改善員工的安全行為，而不是把培訓簡化為一年一次的在線課程。
結合前述案例，可以從以下幾個方面理解其應用價值：
1. 培訓、測試與強化相結合，持續觀察安全行為
傳統培訓的一個常見問題是：員工聽過課程，並不意味着真正能夠識別工作中的安全風險。
KnowBe4 將安全意識培訓與模擬釣魚測試、後續強化結合起來，透過持續測試了解員工面對模擬攻擊時的表現，再根據風險情況安排相應培訓。
其中一個常用指標是 Phish-prone Percentage (PPP，易受釣魚率)，用於衡量員工在模擬釣魚測試中表現出的易受攻擊程度。
KnowBe4 官網當前引用的基準數據顯示，相關組織的平均 PPP 在12個月培訓週期內可從 33.1% 下降至 4.1%。這一數據反映的是廠商公布的基準結果，不代表每家企業都能夠達到相同效果，也不應直接等同於企業整體網絡安全風險下降的比例。
對應寧夏案例，這一模式可以幫助企業透過培訓提升員工對敏感信息處理、可疑鏈接和社交工程攻擊等風險的認知。但對於公開倉庫上傳行為，企業仍應結合具體數據管理制度、技術限制和場景化培訓進行治理。
2. 利用 AIDA 和實時輔導，讓培訓更貼近實際風險
KnowBe4 的 AI Defense Agents (AIDA) 是一組用於自動化安全意識培訓項目管理和內容個性化的人工智能代理。
其相關能力可以根據用戶的風險情況，自動安排模擬釣魚測試和培訓內容；在啟用相應功能後，Real-Time Coaching (實時輔導) 還能結合模擬測試結果或已連接安全工具產生的風險信號，提供針對性的安全提示或補救培訓。
這一模式的價值在於，把培訓從統一內容、統一時間的安排，逐步轉變為結合員工行為和風險情況的持續強化。
例如，對於在模擬釣魚測試中反複出現不安全操作的員工，企業可以安排更有針對性的培訓，幫助其識別可疑鏈接、異常請求和社交工程攻擊的特征。
需要明確的是，實時輔導的觸發條件、數據來源和具體處理方式取決於所啟用的功能及相關配置。它不能被理解為系統能夠自動糾正所有真實工作場景中的風險行為。對於內部數據違規使用和惡意代碼植入這類風險，企業仍需依靠權限管理、代碼審查、行為監測和離職管理等措施。
3. 通過 PAB 與 PhishER，鼓勵員工參與可疑郵件識別和舉報
KnowBe4 的 Phish Alert Button (PAB，釣魚舉報按鈕) 允許員工透過郵件或受支持的協作平台報告可疑消息。
配合 PhishER，企業可以依據配置的規則分析員工報告的郵件或消息，進行分類、研判和後續處置，並在啟用相關能力後採取進一步的郵件阻斷或清除措施。
這有助於建立一個從員工發現可疑消息、提交報告，到安全團隊分析和響應的協作流程。
對企業而言，這不僅能夠幫助員工提高識別和報告釣魚攻擊的積極性，也有助於安全團隊觀察常見威脅類型，持續優化培訓內容。
不過，PAB 和 PhishER 的核心對象是員工舉報的可疑郵件及相關消息，不能將其直接視為內部數據導出監控、數據庫審計或源代碼安全檢測工具。如果企業需要發現未經授權的數據下載或惡意代碼變更，應當配合適用的數據庫審計、終端監測、數據防洩漏和軟件供應鏈安全措施。
4. 豐富的培訓內容與報告能力，為風險治理提供記錄
KnowBe4 培訓內容庫提供1,000多種培訓模塊，內容支持35種以上語言，覆蓋安全意識、社交工程、釣魚攻擊以及其他網絡安全相關主題。
此外，平台提供60多份內置報告及面向管理層的報告能力，幫助組織查看培訓完成情況、模擬釣魚測試表現，以及相關指標隨時間的變化。
對於企業而言，這些功能可以為培訓計劃管理、內部審計和整改跟蹤提供記錄，使安全意識建設不再停留於「組織過培訓」的描述，而是能夠進一步觀察參與情況和行為表現。
KnowBe4 還提供 Email Exposure Check Pro (EEC Pro) 等郵箱暴露檢查能力，可透過深網信息和洩漏數據庫等來源幫助企業識別可能已經暴露的企業郵箱信息。
這類結果可以作為風險識別和後續跟進的參考，但郵箱暴露檢查本身不等於實時攻擊檢測，也不能默認會自動觸發個性化培訓。需要特別強調的是，平台報告可以輔助企業留存培訓和測試記錄，但不能單獨證明企業已滿足中國全部監管要求。企業仍應結合適用法律、內部制度、培訓內容、考核記錄、技術措施和整改過程，建立完整的合規證據鏈。
5. 將 KnowBe4 定位為人因風險管理的重要組成部分
將 KnowBe4 放在前述三個案例中考察，可以更清楚地理解其適用邊界：
- 對於敏感信息違規外發：安全意識培訓有助於強化數據分類和外發規範，但仍需技術限制和審批流程配合。
- 對於內部數據違規使用：培訓有助於明確授權與數據處理邊界，但不能取代最小權限、日誌審計和異常行為監測。
- 對於離職前植入惡意代碼：培訓有助於強化代碼安全與責任意識，但需要獨立代碼審查、發布權限分離和離職權限撤銷等措施共同防範。
因此，KnowBe4 的價值不是替代企業現有的安全技術體系，而是幫助企業把員工安全意識納入持續、可衡量的人因風險管理過程。
如果企業計劃將該平台用於中國境內的網絡安全意識培訓和合規項目，還應根據具體部署、數據流向及適用法律，另行評估數據處理與服務使用的合規要求，不能僅憑平台具備報告功能就認定其滿足全部國內合規要求。
五、 寫在最後：真正有效的安全防線，是技術、制度與人的共同作用
從敏感信息被上傳至公開代碼倉庫，到員工違規下載測評數據，再到離職員工植入惡意程序，這些案例都在提醒企業：網絡安全不僅是設備和系統的問題，也是權限、流程、人員行為與責任落實的問題。
企業既需要部署必要的技術防護，也需要建立清晰的安全管理制度、完善權限與離職管理，並持續檢驗員工能否在真實業務場景中做出正確的安全決策。
KnowBe4 提供的安全意識培訓、模擬攻擊和實時輔導能力，可以成為這套體系的重要組成部分，幫助企業更持續地開展培訓、觀察員工表現，並據此調整教育和風險治理措施。
技術負責提供控制與檢測能力，制度負責明確邊界與責任，安全意識培訓則幫助員工理解並執行這些要求。 三者形成閉環，企業才能更有效地降低人因風險。
當安全意識不再只是一次性培訓任務，而成為日常工作中的行為規範和持續改進機制，企業才有機會把風險管理做在事件發生之前，而不是等到問題暴露之後才着手補救。
