斯科特·奥尔德里奇 (Scott Alldridge)是 IP Services 的首席执行官、一位富有远见的企业家领袖，也是 VisibleOps 系列丛书的作者。

在瞬息万变的网络安全世界中，有一个方面常常被忽视：实际使用这些系统的人。多年来，我一直身处其中，引导客户渡过数字威胁的浑水。我亲眼目睹，即使是最强大的安全设置，在与人们的工作方式发生冲突时也会失效。

让我给你描绘一下。我当时正在为一家金融服务公司提供咨询服务，这家公司在科技领域非常积极进取。他们想通过在所有系统中添加“高级”多因素身份验证 (MFA) 来巩固他们的数字壁垒。初衷是好的，但结果如何？生产力直线下降。员工们原本只是想做好自己的工作，却被无休止的登录信息搞得焦头烂额。他们无奈之下，转而使用未经授权的解决方案，导致影子 IT 使用率飙升超过 40%。

我记得和他们的技术副总裁马克聊了一整夜，他经验丰富，见识过太多糟糕的IT经历。我们都一致认为，是时候采取不同的方法，让安全保障与员工共赢，而不是与员工作对。因此，我们引入了单点登录 (SSO) 来简化员工的工作，根据角色定制访问权限，并根据员工的工作地点和方式调整身份验证。结果，公司向我们报告称，影子IT事件在六个月内下降了65%，合规率提升至88%。

这并非个例。后来，我来到西海岸中心地带的一家制造工厂。他们都对推出新的端点保护工具感到兴奋，但最终却以失败告终。只有大约40%的员工表示支持。我建议他们改变策略，尽早让员工参与进来。他们启动了一项安全大使计划，邀请员工在全面部署之前测试和评估这些工具。参与度大幅提升，短短几个月内，公司报告称采用率跃升至92%。

网络安全将用户体验放在首位

这些经历深刻地印证了一个核心真理：我们的员工并非薄弱环节，而是我们的第一道防线。然而，当安全问题感觉像一道需要跨越的障碍时，人们自然会寻找捷径，这往往会增加风险。随着我们转向混合办公模式并逐渐推行零信任原则，将安全融入日常生活并非奢侈，而是至关重要。

作为网络安全领导者，我遵循以下指导原则：

以人为本，合规性其次。

• 安全应该在我们的工作日中自然流动，而不是感觉像是我们必须剥去的一层额外的保护层。

• 让我们把安全行动变得像呼吸一样简单，而不是清单上的另一项。

• 抛弃枯燥的讲座，通过真实且相关的培训让安全变得生动活泼。

密切关注人，而不仅仅是威胁。

• 不要只关注黑客；还要看看您的安全如何影响日常工作。

• 询问一线人员什么工作有效，什么工作拖累了他们。

• 深入研究数据，了解人们绕过系统的位置，然后找出原因。

引导，不要只是阻止。

• 在真正重要的地方加强防御，但在安全的地方留出一些活动空间。

• 使用能够适应风险水平的智能技术，就像变色龙改变颜色一样。

• 提供安全路径，满足那些可能不遵守规则的人的需求。

当新的威胁出现时，人们很容易认为加强管控才是解决之道。但重要的是要记住，这不仅仅关乎技术，更关乎文化。当安全几乎消失在我们的日常生活中时，它不仅能降低风险，还能增进信任，提升生产力，并让您的团队充满信心，尽其所能地完成工作。

结论

最具韧性的公司并非那些壁垒森严的公司，而是那些将员工视为安全故事关键角色的公司。网络安全应该让一切顺畅，而不是制造障碍。如果你的安全系统引发了冲突，问题不在于你的员工，而在于你的方法。

我的建议？把钱花在用户身上。想想用户如何体验你的安全措施，而不仅仅是如何让审计人员满意。当你将用户体验融入网络安全架构时，你不仅能最大限度地降低风险，还能构建持久运营实力的基石。

— 欢迎关注

原文始发于微信公众号（祺印说信安）：福布斯：为什么用户体验是网络安全成功中缺失的环节