．「建立安全文化計劃」的最佳做法

Building a Security culture

這篇文章非常值得閱讀及省思……

台灣安控產業的文化是什麼？產業文化代表的意義是什麼？產業文化中有傳統的文化、有破壞的文化、更有創新的文化。

產業的演進，也代表產業文化的發展。我們都在其中扮演著一個角色，而這些我們所扮演的角色，是否演的淋漓盡致？

siw

安全文化需要以一種易於理解，易於度量和易於管理的方式，去進行定義 ——

在深入進行文化變革計劃之前，必須了解需要改變文化的哪些方面。

如今在美國，關於安全文化，以及如何讓組織接受和建構安全文化的討論很多。但是，如何建立一種安全文化呢？如何衡量，改進或更改它？

在許多情況下，組織正在錯誤地對待安全文化。造成這種情況的主要原因之一是，他們採用了實施策略變革的方式，來實施文化變革計劃。

讓我來舉例說明。

美國大多數人都熟悉馬丁·路德·金（Martin Luther King Jr.）臭名昭著的短語「我有一個夢想」。這是一個人的例子，他知道需要進行文化變革，並且為了促進這種變革，他需要吸引人們的情感，他需要分享希望和夢想的願景。想想看，他是否發表了同樣的演講，但他沒有說自己有一個夢想，而是說他有一個關於實現平等的七點策略計劃。該消息可能是相同的，但是接收方式卻截然不同。

改變組織的安全文化，只在一個部落格的文章中提起的議題，並不是一件容易的事情。可能需要一本書（或兩本書）才能充分充實思想和概念。

但是對於那些希望著手進行文化變革計劃的人來說，以下三個支柱可以作為一個良好的起點：

1. 了解哪些是需要改變的地方

2. 集中精力

3. 測量

了解需要改變的地方

在深入進行文化變革計劃之前，必須了解哪些方面是需要改變文化的。一個組織需要一種安全文化，說很容易，但是這是要會轉化為哪些行為呢？

解決此問題的一個好方法，是和不同部門的人員，舉行小型研討會，並按照以下四步過程確定一些想法：

．問題

我們試圖改變哪些文化行為？

．我們如何做？

把那些問題變成一個問答。

．挑戰：

有哪些挑戰？

．解決方案：

列出一些解決方案。一個透過這些步驟，進行工作的組織性處理的簡單案例如下所示。

．問題

人們離開機器時不會鎖定機器。

．我們如何做？

當人們離開機器時，我們如何鼓勵他們鎖定機器？

挑戰：

人們不知道如何鎖定他們的機器。

他們認為這很安全。

他們不喜歡在返回時，重新輸入密碼。

解決方案：

在鍵盤上添加標籤，以提醒人們鎖定他們的機器，是有多麼容易的事。

設置螢幕保護程式，以在閒置 30 秒後鎖定電腦。

使用者走開時，使用感應卡自動鎖定機器。

懲罰未鎖定電腦的使用者。

啟用指紋機讀取，以快速登錄。

一旦提出了許多解決方案，就可以將它們繪製到工作量與影響力圖表中，以找出最適值追求的解決方案。理想情況下，你期待尋找既省力又影響深遠的想法，這些想法可以減輕使用者的工作負擔，同時在潛移默化中讓使用者做正確的事情。

在簡單的案例中，我們的假想焦點小組達成共識，即感應卡可能會產生最大的影響，但確實需要最大的努力（成本、時間、資源）。

但是，啟用指紋登錄並在鍵盤上貼上標籤，以提醒人們離開時要敲擊它們，將是最容易實現的。

集中精力

因此，現在我們有了前進的道路 - 我們意識到，在虛擬化和簡單化的工作職行組織中，是讓人們在無人看管的情況下鎖定機器，這就是文化變革的一部分。

但是組織所犯的一個錯誤是，他們試圖向整個組織推出解決方案，但這並不總是可行的。為了更好地理解，如何改變人們的心靈，我們必須追溯到 1962 年，埃弗里特·羅傑斯（Everett Rogers）首先提出的創新擴散法則。

你可能會看一下，並認為這只是一個鐘形曲線。而且您會認為是正確的。但是，這種鐘形曲線適用於，和採購決策與我們的案例行為變化，有關的許多事情。用常理可知的，為了普及一個想法，我們應該針對早期和晚期的多數群體，進行有意義的溝通。一旦大多數人採取了一種行為、價值或產品，那將影響整個文化。

但是，大多數人會對「改變」持著懷疑的態度 - 並且在許多方面，他們都是很實際的人，在無法預知評估結果的情形下，他們為什麼要採用一種對他們沒有明顯好處，或會佔用時間和精力的新做法？

因此，實際上，您需要針對早期採用者 - 並且僅針對早期採用者，優先進行溝通說服。

誰是早期採用者？

早期採用者，是那些整夜排隊購買最新技術，或在首播之夜看電影的人。他們非常了解，如果他們等待一個星期，他們只需走進商店或劇院，就可以避免麻煩。但這是驅使早期採用者的麻煩 - 他們是如此的想成為第一個，並在其他人之前經歷一些事情，以至於他們會忽略這種痛苦。他們在其他人之前看到了最終目標，並願意在其他人之前採納它。

更重要的是，早期採用者不僅會首先體驗某些東西，然後也會非常樂意與他人分享經驗。

在安全方面，我們可以將這些人稱為「文化載體」。一些組織將這些人稱為安全大使或傳教士。這個詞並不重要；重要的是這些人之間的社交關係，使他們能夠在短時間之內，向大量的人傳播思想。

通常，它們在許多不同的領域中聯繫在一起，因此這些想法在傳統的筒倉之外傳播。

引爆點

一旦建立了足夠的文化載體，工作就是保持發展態勢，直到達到臨界點，並蔓延到多數人。

這意味著你可以幫助保持文化載體的高度參與，並使他們分享他們的資訊和提示，以解決為什麼在無人看管時，鎖定工作場景的問題。

馬爾科姆·格拉德威爾（Malcolm Gladwell）在他的書「小費要點」中，闡明了三個規則，這些規則有助於使一個想法，變成一個熱點。

少數法則

根據眾所皆知的「帕累托原理」或「 80/20 原理」，少數人法則指出，最重要的關注點，將僅來自少數關鍵參與者。正如帕累托原則所指出的那樣，80％的行動將由 20％的參與者推動。少數人法則還討論了這些關鍵角色，具有特定角色。「行家」是資訊專家，「聯繫者」或營運商是將想法帶到更大範圍的消費者網路的人，「推銷員」是那些……很好賣掉它的人！你也可以將這些關鍵參與者，視為創新或創意的早期採用者。

粘性因素

這本質上是在問一個想法，產品或服務有多難忘，以及它在消費者和參與者之間，流行的難易程度。格拉德威爾（Gladwell）在他的書中，使用「藍色線索」和「芝麻街」等受歡迎的兒童節目，展示了他們如何開創一種新的粘性學習方式，以提高孩子們的學習和娛樂價值。

語境的力量

該規則基於人類行為與其環境，具有緊密聯繫和敏感性的概念。當在關鍵的時機和位置上，引入想法和創新概念時，強大的環境，可以進一步促進傳播。

強度與一致性

到現在為止，您已經制訂了計劃，已經確定了早期採用者，並讓他們向大眾傳播了正確的文化價值觀。正是在這一點上，許多組織放任自流。畢竟，這是「任務完成」的情況……對嗎？

你會看到，組織中的文化變革，需要很多個人行為來改變 - 這並非一朝一夕就能發生。它可能會發生在很短的一段時間內，例如飲食如何在進入一月份後的幾週內存活下來，然後才失去動力。

這就是組織需要圍繞一致性計劃，其策略的原因 - 這是一場馬拉松，而不是短跑。許多組織陷入了試圖透過激烈的變革，來改變安全文化的陷阱 - 發布了新的倡議，進行了重組，並聘請了空缺的顧問。但這並不是改變文化的原因 - 最多只是抑制了文化，真正的文化是直到壓力消退，人們再次恢復正常。

考慮一個好朋友。一開始你只是陌生人，但隨著時間的流逝，你變成了朋友。沒有確定的時刻，你突然認為你需要將該人從熟人，轉移到朋友的歸類。這是要用很長時間，才能發生的事情。開會、分享經驗、互相幫忙買咖啡，期間會記住關於對方對咖啡要求的詳細資訊，等等。作為個人行為，與某人喝咖啡，並不能使他們成為您的朋友。但是，在一段時間內重複該過程，了解他們的喜好，分享交談時間，也許就會發生。

組織內部的文化變革可以是相同的。

測量

到此階段，你已經確定了需要在組織內，進行更改以影響文化的行為。你已經確定了早期採用者，並製訂了一致的計劃，以達到使文化轉變為，更安全臨界點的目的。

但是，您如何衡量變化呢？您是否正在產生影響，還是只是將資源，用於可能無法正常工作的任務？

在這裡，需要一種客觀的科學方法來評估，報告和比較安全文化。幸運的是，比我更聰明的人，對此應用了很多思想。 Cltre（KnowBe4 公司）闡述瞭如何在七個不同的維度上，系統化地評估安全文化。