员工常被视为企业网络安全中最薄弱的一环。 威瑞森的《2025年数据泄露调查报告》支持了这一观点，发现大约60%的泄露事件都涉及人为因素，包括人为错误、凭证被盗和社会工程学攻击。
无论是意外还是恶意，内部威胁都可能造成巨大的财务和声誉损害。好消息是，如果接受了适当的培训，员工也能成为组织的第一道防线。安全工具可以降低内部威胁的可能性，但要真正深入根源，从核心上预防用户相关的安全事件，IT领导者需要制定并实施一个全面且一致的网络安全意识培训计划。
以下的安全意识培训测验包含了一系列问题，旨在测试和巩固员工的网络安全基础知识。通过此测验可以获取网络安全知识的基线水平，并发现员工在哪些方面需要更多的培训。
编者按： 编辑在生成此测验时使用了AI工具作为辅助。我们的专家编辑在发布前始终会对内容进行审查和编辑。Sharon Shea是Informa TechTarget旗下SearchSecurity网站的执行编辑。
开始我们的测验！
问题 1 / 15
贵公司的IT部门通过电子邮件发送给您一个重置密码的链接。您应该首先做什么？
- 立即点击链接重置密码
- 回复邮件询问是否是真实请求
- 在操作前通过官方渠道验证发件人的合法性
- 删除邮件而不报告
问题 2 / 15
当您需要暂时离开时，锁定工作站的最佳做法是什么？
- 如果只离开一分钟，就让它保持解锁状态
- 请同事帮忙照看
- 无论离开时间多短，每次都锁定它
- 每次都完全注销
问题 3 / 15
您在办公室停车场发现了一个U盘。应该怎么做？
- 将其插入您的电脑看看里面有什么
- 交给IT部门
- 留作私用
- 扔进垃圾桶
问题 4 / 15
如果您怀疑计算机感染了恶意软件，应该怎么做？
- 忽略它，希望它会消失
- 尝试自行卸载该软件
- 立即断开网络连接并向安全或IT部门报告
- 重启并继续工作
问题 5 / 15
在安全术语中，“尾随”（tailgating）是什么意思？
- 未经授权跟随他人进入限制区域
- 在公司时间观看视频
- 使用个人设备进行工作
- 将尾端系统连接到网络
问题 6 / 15
您收到一封来自公司人力资源部门的电子邮件，要求您通过链接验证您的工资单详细信息。该电子邮件看起来很专业，并包含您公司的标志。您的第一反应是什么？
- 点击链接——它来自人力资源部
- 将电子邮件转发给IT或安全部门并询问其是否合法
- 回复邮件询问是否真实
- 通过您常用的人力资源门户（而不是链接）登录以查看是否有警报
问题 7 / 15
您接到一个自称是IT部门的人打来的电话，索要您的密码。您应该怎么做？
- 如果对方听起来很专业就提供密码
- 提供密码，因为IT部门总是需要访问权限
- 拒绝并尝试报告给安全或IT部门
- 请对方通过电子邮件发送给您
问题 8 / 15
如果您不小心将敏感信息发送给了错误的收件人，最重要的步骤是什么？
- 等待，看是否会引起任何问题
- 立即向安全或IT部门报告此事件
- 要求收件人删除并保持沉默
- 删除电子邮件并忘记这件事
问题 9 / 15
您收到一封来自已知供应商的电子邮件，其中包含发票附件，但该邮件看起来有些不寻常。最安全的下一个步骤是什么？
- 打开附件检查其是否合法
- 使用供应商的官方联系信息致电以进行核实
- 将电子邮件转发给同事以征求他们的意见
- 回复发件人询问文件是否安全
问题 10 / 15
为什么在公共Wi-Fi上连接公司VPN比不连接VPN更安全？
- VPN可以提高连接速度
- VPN会对流量进行加密
- VPN可以阻止弹出广告
- VPN会自动删除恶意软件
问题 11 / 15
员工应避免在个人和工作账户中重复使用密码的主要原因是什么？
- 它使登录变得太容易
- 如果一个账户被攻破，攻击者可以在其他地方重复使用相同的密码
- 它减少了密码过期提醒
- 它使得密码管理器变得不必要
问题 12 / 15
在视频会议期间，有人以您总监的姓名和头衔加入，但没有视频画面，声称“摄像头故障”。最佳行动是什么？
- 继续，因为您认识这个名字
- 问他们一个只有您总监才知道的问题
- 结束通话并通过单独的沟通方式进行确认
- 在同一次通话中私下给他们发信息进行验证
问题 13 / 15
您的浏览器警告：“此站点正尝试在安全页面（HTTPS）内加载不安全内容（HTTP）。” 真正的危险是什么？
- 无害；混合内容很正常
- 攻击者可能向不安全的部分注入脚本
- 证书不匹配
- SSL令牌过期
问题 14 / 15
以下哪项在技术上是安全的，但仍然违反了政策？
- 使用个人密码管理器存储工作凭证
- 在浏览器内置管理器中保存密码
- 将密码写在纸上并锁在抽屉里
- 每30天轮换一次密码
问题 15 / 15
您的团队使用一个共享的“服务账户”来自动执行某项任务。该密码多年来未曾更改，并且有数十人知道。该系统仅供内部使用且是隔离的。真正的风险是什么？
- 没有风险——它不面向互联网
- 内部人员滥用或无法追踪的访问事件
- 外部服务重复使用密码
- 如果通过安全脚本使用则没有风险
后续步骤
- 执行用户访问审查的最佳实践
- 如何制定公司密码策略（含模板）
- 顶级IT安全框架和标准详解
- 为何需要电子邮件安全策略以及如何构建
- 主要的云错误配置及避免它们的最佳实践