信息安全文化建设

问题从哪来

很多团队把安全停在制度与合规：有规章、有培训签到，但员工仍是「查到才改」——制度像摆设，钓鱼一点就中招，出事先找背锅人。根因往往不是缺条文，而是安全文化没起来：没人会在不被监督时主动做对的事。

技能覆盖什么

本技能按「方法论 → 培训 → 演练 → 评估」串起来，和 SKILL 里引用的 references/culture.md、references/awareness.md 一致，便于落地而不是堆口号。

• 核心理念：文化分三层——被迫（怕惩罚）、自觉（知重要）、自动（成习惯）；目标是让每个人在无人盯梢时仍会警觉、会举手。
• 建设要点：领导层是否在例会提安全、出事查根因还是甩锅、预算是否到位；用正向激励替代「被钓扣钱、出事就罚」，鼓励发现风险与及时报告；承认培训遗忘曲线，用持续渗透（如每月小贴士、季度钓鱼演练、年度全员培训与测验）代替「训一次就完」。
• 可交付内容：安全文化建设方法论、安全意识培训体系设计、钓鱼演练实施方案、效果评估方法。

适用边界

这是组织行为与运营设计向的指引，不能替代具体的技术控制（IAM、补丁、日志等）。领导层若完全不背书，下面很难推动；效果评估要配合你们自己的基线与合规要求，技能提供的是通用框架而非行业专属条例。