去年有个做外贸的信息朋友，公司二十来人，安全被一封“客户询盘”邮件钓走了财务的培训邮箱密码。三天后，课件骗子用他公司名义给所有供应商发了变更收款账户的免费通知，差一点转出去八十万。信息事后他找我喝酒，安全说想给员工做信息安全培训，培训问有没有现成的课件课件。我告诉他，免费网上免费的信息课件多得是，但光发课件没用。安全

免费课件确实好找。培训公安部官网有“网络安全宣传周”的课件专题页面，里面PPT、免费视频、测试题一应俱全。各大银行、电信运营商的安全教育栏目也对外开放，内容偏实用，讲密码管理、钓鱼邮件识别、公共WiFi风险这些。开源社区像GitHub上，有人整理过“SecurityAwareness”资源合集，英文为主，但结构清晰，翻译一下就能用。不少高校的网络安全实验室也把教学PPT挂在网上，理论偏多，适合技术岗。

问题在于，这些课件直接丢给员工，打开率可能不到三成。我见过一家公司行政把课件发到群里，附一句“请大家抽空学习”，然后就没有然后了。信息安全培训的难点从来不是内容稀缺，而是让人愿意看、看得进去、看完能记住。

我自己试过一个办法。把免费课件里的案例挑出来，换成公司内部真实发生过的糗事。比如有人把密码设成“admin123”，有人点过“您的邮箱容量已满”的链接。隐去姓名，做成两三页的简报，每页只讲一个场景，配一张截图，底下写两行应对建议。开会时花五分钟过一遍，比让员工自己看一小时视频管用。

免费课件的另一个坑是更新慢。2020年的课件还在讲“不要用生日做密码”，可现在的钓鱼手段已经进化到用AI模仿领导声音打电话了。我习惯每季度去几个固定来源扫一遍：国家信息安全漏洞共享平台（CNVD）的公告、 Krebs on Security 的博客、还有Twitter上几个安全研究员的账号。看到新案例就截下来，攒够四五个就做一期内部通讯。这比整套课件替换省事，也跟得上变化。

还有一点，别把培训搞成考试。我见过一家公司要求员工在内部系统上做安全知识测试，80分及格，不及格扣绩效。结果大家把答案抄在纸上互相传，考完就忘。后来他们改成“钓鱼演练”——IT部门每隔两个月发一封模拟钓鱼邮件，谁点了链接，就弹出一个在线小课程，五分钟讲清楚这封邮件哪里可疑。点的人不扣分，但要点完课程才能继续上网。半年后，钓鱼邮件点击率从34%降到了7%。

免费课件是起点，不是终点。拿过来，拆开，换成自己人的故事，配上最新的案例，用轻量的方式反复触达。信息安全这件事，员工不是不知道，是知道了但觉得“轮不到我”。培训要做的就是让那个“万一”变得具体、可见、跟自己有关。

我那个外贸朋友后来没再找我要课件。他把骗子那封邮件的截图打印出来，贴在财务和业务部的墙上，旁边写了一行字：“这封邮件差点让我们损失八十万。”底下附了三个检查步骤。他说这比任何PPT都有效。