網絡安全風險絕非僅來自外部黑客攻擊，同樣可能源於內部員工對安全邊界的誤判、內部權限的濫用，以及離職管理流程中的漏洞。

技術漏洞可以透過掃描與修復來解決，惡意流量亦可進行監測與攔截，但技術防禦始終無法完全替代組織管理、權限控制與員工安全意識建設。一旦人員行為與公司制度、技術控制之間出現斷層，即使企業部署了多重安全設備，亦可能付出數據洩漏、業務受損乃至行政處罰的嚴峻代價。

以下結合寧夏、江蘇及北京三起公開通報的案例，深入剖析企業當前面臨的典型人因風險，並探討安全意識培訓平台 KnowBe4 能發揮的核心作用與適用邊界。

一、 先看法律：安全教育培訓不是可有可無的企業活動

不少企業至今仍將網絡安全培訓視為新員工入職流程中的一項例行公事，或者每年一次的合規「打卡」任務。然而從現行法律法規的規定來看，安全教育培訓是特定主體依法必須履行的法定安全管理義務。

主要法律依據包括：

• 《個人資訊保護法》第五十條第四項：個人資訊處理者應當合理確定個人資訊的操作權限，並定期對從業人員進行安全教育和培訓。
• 《數據安全法》第二十七條：開展數據處理活動，應當建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，並採取相應的技術措施和其他必要措施，保障數據安全。
• 《網絡安全法》第二十三條：規定網絡運營者在網絡安全等級保護制度下應當履行的安全保護義務，包括建立內部安全管理制度、採取技術措施、留存網絡日誌以及落實數據分類與加密等要求。
• 《網絡安全法》第三十六條：明確要求關鍵資訊基礎設施運營者定期對從業人員開展網絡安全教育、技術培訓和技能考核。

需要特別說明的是，上述條款的適用主體與具體義務並不完全相同。其中，《網絡安全法》第三十六條關於定期培訓與技能考核的明確規定，主要針對關鍵資訊基礎設施運營者；切不可簡單地將所有條款解讀為對所有企業均提出了完全相同的培訓要求。

然而，對於個人資訊處理者及數據處理活動主體而言，開展安全教育培訓本身已具備明確的法律依據。

這意味著，企業不能僅僅向監管機構證明自己採購了哪些安全設備，更需要根據適用法律規範與實際風險狀況，建立起配套的內部制度、技術控制、教育培訓及紀錄留存機制。

二、 三個真實案例：人因風險是如何暴露的？

三、 把三個案例放在一起：企業需要管理的不只是技術漏洞

三個案例呈現了不同的人因風險：未經授權外發敏感資料、員工擅自訪問和下載數據，以及離職前植入惡意代碼。

這三個案例並不能證明所有網絡安全處罰都是由員工行為造成的，也不能說明技術措施不重要。

相反，它們共同說明：安全事件往往發生在技術控制、管理流程與人員行為的交界處。

防火牆、數據洩漏防護（DLP）、日誌審計和安全開發工具各有其適用範圍；員工安全意識培訓則幫助員工理解並遵循安全規則。兩者相互補充，才能形成更完整的風險管理體系。

對企業而言，安全教育的目標也不應僅僅是讓員工完成課程，而應當是逐步建立一套可以持續運行的機制：識別風險 ➔ 培養正確行為 ➔ 驗證培訓效果 ➔ 並根據實際風險調整後續措施。

四、 KnowBe4：讓安全意識培訓從一次性任務變成持續的風險管理

在安全意識培訓與模擬釣魚測試領域，KnowBe4 是一家具有較長產品積累的廠商。公司成立於2010年，目前稱其服務全球超過70,000家組織。

KnowBe4 的核心思路是透過安全意識培訓、模擬攻擊、行為反饋和效果分析，幫助企業持續改善員工的安全行為，而不是把培訓簡化為一年一次的在線課程。

結合前述案例，可以從以下幾個方面理解其應用價值：

1. 培訓、測試與強化相結合，持續觀察安全行為

傳統培訓的一個常見問題是：員工聽過課程，並不意味着真正能夠識別工作中的安全風險。

KnowBe4 將安全意識培訓與模擬釣魚測試、後續強化結合起來，透過持續測試了解員工面對模擬攻擊時的表現，再根據風險情況安排相應培訓。

其中一個常用指標是 Phish-prone Percentage (PPP，易受釣魚率)，用於衡量員工在模擬釣魚測試中表現出的易受攻擊程度。

KnowBe4 官網當前引用的基準數據顯示，相關組織的平均 PPP 在12個月培訓週期內可從 33.1% 下降至 4.1%。這一數據反映的是廠商公布的基準結果，不代表每家企業都能夠達到相同效果，也不應直接等同於企業整體網絡安全風險下降的比例。

對應寧夏案例，這一模式可以幫助企業透過培訓提升員工對敏感信息處理、可疑鏈接和社交工程攻擊等風險的認知。但對於公開倉庫上傳行為，企業仍應結合具體數據管理制度、技術限制和場景化培訓進行治理。

2. 利用 AIDA 和實時輔導，讓培訓更貼近實際風險

KnowBe4 的 AI Defense Agents (AIDA) 是一組用於自動化安全意識培訓項目管理和內容個性化的人工智能代理。

其相關能力可以根據用戶的風險情況，自動安排模擬釣魚測試和培訓內容；在啟用相應功能後，Real-Time Coaching (實時輔導) 還能結合模擬測試結果或已連接安全工具產生的風險信號，提供針對性的安全提示或補救培訓。

這一模式的價值在於，把培訓從統一內容、統一時間的安排，逐步轉變為結合員工行為和風險情況的持續強化。

例如，對於在模擬釣魚測試中反複出現不安全操作的員工，企業可以安排更有針對性的培訓，幫助其識別可疑鏈接、異常請求和社交工程攻擊的特征。

需要明確的是，實時輔導的觸發條件、數據來源和具體處理方式取決於所啟用的功能及相關配置。它不能被理解為系統能夠自動糾正所有真實工作場景中的風險行為。對於內部數據違規使用和惡意代碼植入這類風險，企業仍需依靠權限管理、代碼審查、行為監測和離職管理等措施。

3. 通過 PAB 與 PhishER，鼓勵員工參與可疑郵件識別和舉報

KnowBe4 的 Phish Alert Button (PAB，釣魚舉報按鈕) 允許員工透過郵件或受支持的協作平台報告可疑消息。

配合 PhishER，企業可以依據配置的規則分析員工報告的郵件或消息，進行分類、研判和後續處置，並在啟用相關能力後採取進一步的郵件阻斷或清除措施。

這有助於建立一個從員工發現可疑消息、提交報告，到安全團隊分析和響應的協作流程。

對企業而言，這不僅能夠幫助員工提高識別和報告釣魚攻擊的積極性，也有助於安全團隊觀察常見威脅類型，持續優化培訓內容。

不過，PAB 和 PhishER 的核心對象是員工舉報的可疑郵件及相關消息，不能將其直接視為內部數據導出監控、數據庫審計或源代碼安全檢測工具。如果企業需要發現未經授權的數據下載或惡意代碼變更，應當配合適用的數據庫審計、終端監測、數據防洩漏和軟件供應鏈安全措施。

4. 豐富的培訓內容與報告能力，為風險治理提供記錄

KnowBe4 培訓內容庫提供1,000多種培訓模塊，內容支持35種以上語言，覆蓋安全意識、社交工程、釣魚攻擊以及其他網絡安全相關主題。

此外，平台提供60多份內置報告及面向管理層的報告能力，幫助組織查看培訓完成情況、模擬釣魚測試表現，以及相關指標隨時間的變化。

對於企業而言，這些功能可以為培訓計劃管理、內部審計和整改跟蹤提供記錄，使安全意識建設不再停留於「組織過培訓」的描述，而是能夠進一步觀察參與情況和行為表現。

KnowBe4 還提供 Email Exposure Check Pro (EEC Pro) 等郵箱暴露檢查能力，可透過深網信息和洩漏數據庫等來源幫助企業識別可能已經暴露的企業郵箱信息。

這類結果可以作為風險識別和後續跟進的參考，但郵箱暴露檢查本身不等於實時攻擊檢測，也不能默認會自動觸發個性化培訓。需要特別強調的是，平台報告可以輔助企業留存培訓和測試記錄，但不能單獨證明企業已滿足中國全部監管要求。企業仍應結合適用法律、內部制度、培訓內容、考核記錄、技術措施和整改過程，建立完整的合規證據鏈。

5. 將 KnowBe4 定位為人因風險管理的重要組成部分

將 KnowBe4 放在前述三個案例中考察，可以更清楚地理解其適用邊界：

• 對於敏感信息違規外發：安全意識培訓有助於強化數據分類和外發規範，但仍需技術限制和審批流程配合。
• 對於內部數據違規使用：培訓有助於明確授權與數據處理邊界，但不能取代最小權限、日誌審計和異常行為監測。
• 對於離職前植入惡意代碼：培訓有助於強化代碼安全與責任意識，但需要獨立代碼審查、發布權限分離和離職權限撤銷等措施共同防範。

因此，KnowBe4 的價值不是替代企業現有的安全技術體系，而是幫助企業把員工安全意識納入持續、可衡量的人因風險管理過程。

如果企業計劃將該平台用於中國境內的網絡安全意識培訓和合規項目，還應根據具體部署、數據流向及適用法律，另行評估數據處理與服務使用的合規要求，不能僅憑平台具備報告功能就認定其滿足全部國內合規要求。

五、 寫在最後：真正有效的安全防線，是技術、制度與人的共同作用

從敏感信息被上傳至公開代碼倉庫，到員工違規下載測評數據，再到離職員工植入惡意程序，這些案例都在提醒企業：網絡安全不僅是設備和系統的問題，也是權限、流程、人員行為與責任落實的問題。

企業既需要部署必要的技術防護，也需要建立清晰的安全管理制度、完善權限與離職管理，並持續檢驗員工能否在真實業務場景中做出正確的安全決策。

KnowBe4 提供的安全意識培訓、模擬攻擊和實時輔導能力，可以成為這套體系的重要組成部分，幫助企業更持續地開展培訓、觀察員工表現，並據此調整教育和風險治理措施。

技術負責提供控制與檢測能力，制度負責明確邊界與責任，安全意識培訓則幫助員工理解並執行這些要求。 三者形成閉環，企業才能更有效地降低人因風險。

當安全意識不再只是一次性培訓任務，而成為日常工作中的行為規範和持續改進機制，企業才有機會把風險管理做在事件發生之前，而不是等到問題暴露之後才着手補救。