在資訊安全管理領域，企業推動資安教育訓練時，經常會遭遇員工抗拒、學習成效不彰的問題，甚至出現所謂的「習得無助感」（Learned Helplessness）。ISO 27002:2022 6.3 條文強調，組織應確保所有相關人員接受適切的資訊安全教育訓練，以確保資訊安全責任得以落實。本篇文章將透過 3C 公司的案例，探討如何透過有效的資安教育訓練計畫，提升組織內部資安意識，並克服員工的無助感。
3C 公司遇到的資安培訓困境
3C 公司（Comms, Components, and Computing）是一家專門生產智慧裝置的中小企業，近期準備推動 ISO 27001 認證。然而，當公司內部開始實施資訊安全教育訓練時，發現員工反應冷淡，甚至出現以下現象：
- 資安訓練淪為應付交差：員工僅為了應付考核而參加，未真正理解資安的重要性。
- 員工對資安無感：許多人認為資安是 IT 團隊的責任，與自身無關。
- 資安推動遇阻力：部門主管對資安規範採取消極態度，影響全體員工的參與度。
透過ISO 27002:2022 6.3 條文設計有效的資安教育訓練計畫
為了解決這個問題，3C 公司採用了以下策略，使資安訓練計畫能夠符合 ISO 27002:2022 6.3 條文要求，同時避免員工習得無助感。
- 強化資安與業務的連結（降低認知負荷）
- 研究指出，當學習內容與日常工作無關時，員工容易忽視。3C 公司在培訓中引入「場景式學習」，將資安風險與日常業務結合，例如： 透過案例演練模擬釣魚郵件攻擊，讓業務人員理解社交工程攻擊的風險。 讓 IT 技術人員實作異常行為監測，提高系統管理安全意識。
- 營造正向行為激勵（行為經濟學應用）
- 根據研究，當學習行為能帶來正面回饋時，個體更願意參與。因此，3C 公司採取「資安積分制」，讓員工透過參加訓練、成功通報可疑郵件等方式累積積分，並提供獎勵，如購物禮券或額外休假。
- 建立「資安文化大使」計畫（社會影響理論）
- 研究指出，社會影響對行為改變具有極大影響力。3C 公司挑選各部門有影響力的員工作為「資安文化大使」，讓他們在部門內推廣資安政策，並主動解答同事疑問，促使資安成為團隊文化的一部分。
- 定期評估學習成效（確保認知轉化為行動）
- 3C 公司導入「情境式測驗」機制，而非傳統選擇題測驗。例如： 提供模擬資安事件的情境，讓員工選擇最佳應對方案。 設計實地測試，如發送釣魚郵件，檢視員工的警覺性。
- 這些測驗不僅提升員工的實戰能力，也讓公司能夠確保教育訓練真正落實。
結論與未來展望
ISO 27002:2022 6.3 條文強調，資訊安全教育訓練應與組織需求一致，並且持續強化員工對資安的認知與行動力。3C 公司的案例顯示，透過降低認知負荷、行為經濟學激勵、社會影響策略及實戰測試，可以有效克服「習得無助感」，提升整體資安文化。
未來，隨著 AI 技術的發展與資安威脅的演進，組織應持續優化資訊安全教育訓練，並運用最新的學習心理學與行為管理策略，確保員工能夠主動履行資訊安全責任。
