沒有人會不小心跑完馬拉松
沒有人會在星期天醒來，伸展一下、查看天氣，然後不小心跑出 26.2 英里再吃早午餐。一場馬拉松是建立在孤獨的早晨、精心的計畫、丟失的腳趾甲和沒有社交生活的基礎上。你需要花幾周或幾個月的時間訓練。你會受傷。你會冰敷。你會綁膠帶。你選擇蛋白質而不是布丁。這一切都是因為你知道，沒有這些，你就無法衝過終點線。
安全文化的運作方式也一樣。你不會無意間踏入這個領域。你不會隨便印三張海報、丟個小測驗，就發現每個人都變得天生能抵抗詐騙。文化是當沒有人在看時，一系列小選擇在同一方向上累積的結果。它是雨中早起的數英里，並不是一張完美的衝刺照片。
跑者不會隨便行動，他們開始時都有計畫。安全領域也需要這樣的等同物。每年一次的訓練模組，不會在每個星期四下午 4:43 當他們看著收件夾時派上用場。
訓練和指導需要嵌入到工作流程中。短暫的提示。快速的檢查。在選擇的瞬間產生小摩擦。教會他們不僅僅是如何閱讀跑步手冊，而是如何持續往前跑。
事情會出錯。腿筋在第七英里抽筋。水泡在你最不想要的時候出現。解決方法從來不是要對腿大喊它軟弱無能。你調整。你休息。你學習。
如果你懲罰人們在這些時刻上，他們會隱藏它們。如果你讚賞快速報告，他們將會早早且經常告訴你。這樣你才能防止真正的損害。心理安全不是一張海報，而是你在事情出錯時展現的行為所證明的政策。
跑者在為馬拉松做準備時不會吃垃圾食品。因為不良的輸入會造成不良的輸出。安全文化也需要正確的輸入。那些減少摩擦而不是增加摩擦的工具。那些以人能理解的方式書寫的政策。那些公開對不安全的捷徑說「不」的領導者，而不僅僅是在私下的訊息中。
你可以穿著錯誤的運動鞋參加馬拉松，你只會不喜歡自己之後的感受。在安全領域，繁瑣的流程就像錯誤的鞋子。如果報告可疑電子郵件需要五個選單、一張票和你奶奶的娘家姓，那當沒有人報告任何事情時，不要感到驚訝。讓安全的道路變成輕鬆的道路。把錢花在運動鞋上，而不是膠布上。
社區的角色比人們想像的還要大。問任何一位初次馬拉松參加者，他們完成比賽的秘訣，你將聽到有關俱樂部跑步、導師和那位在第二十英里提供水分補給的陌生人的故事。培養你的旗手。慶祝那些發現潛在危險的人。講述靜默勝利的故事，而不僅僅是喧鬧的錯誤。
你總能看出誰將文化看作短跑，誰將其視為馬拉松。一組人希望有好天氣和平坦的路程。另一組則會準備計畫、配速帶、備用襪子，以及在一切出錯時能來接他們的電話號碼。安全不是永遠不犯錯，而是建立一個能夠早期識別、快速恢復並一起完成任務的團隊。
你不會意外地建立一個正面的安全文化。你需要循序漸進地去構建。透過重複、耐心以及幾筋肉酸痛來實現。
你會犯錯，然後再慢慢減少錯誤，最後變得越來越正確。某一天，你會驚訝地發現，你的團隊在不被要求的情況下主動尋找風險，毫不羞愧地報告，並互相幫助達到終點。
這才是真正值得為之訓練的終點。
Javvad Malik 是 KnowBe4 的首席 CISO 顧問，曾經嘗試為一次事件回應演練進行碳水化合物補給，這也是為什麼在 SOC 儲物櫃裡還有六袋意大利麵的原因。
