信息安全文化建设
概述
安全文化是安全工作的根基。有制度没文化，制度是摆设；有文化有制度，执行才有效。
本技能包含：
- 安全文化建设方法论
- 安全意识培训体系设计
- 钓鱼演练实施方案
- 效果评估方法
核心理念
安全文化的本质：让每个人在不被监督时也做对的事。
三个层次：
| 层次 | 状态 | 行为特征 |
|------|------|---------|
| 被迫 | 怕惩罚 | 查到才改，不查不动 |
| 自觉 | 知重要 | 主动配合，按流程走 |
| 自动 | 成习惯 | 看到风险会警觉，发现问题会举手 |
建设要点
1. 领导层推动
领导的态度决定文化的走向：
- 开会提不提安全？
- 出了事是找人背锅还是找根因？
- 安全预算批不批？
领导不重视，下面做不动。
2. 正向激励
| 传统做法 | 问题 | 改进方向 |
|---|---|---|
| 被钓鱼→扣钱 | 大家逃避培训 | 发现有风险→奖励 |
| 出事就罚 | 隐瞒不报 | 及时报告不追责 |
让"做安全"的人有面子、有实惠。
3. 持续渗透
一次培训的效果：
- 第1天：记得50%
- 第7天：记得20%
- 第30天：记得5%
要靠重复渗透，不要指望一次就记住。
推荐频率：
- 每月：一条安全小贴士
- 每季度：钓鱼演练
- 每年：全员培训+测验
详细参考
- 安全文化建设详细指南：见 references/culture.md
- 安全意识培训详细指南：见 references/awareness.md
