近几年，“临时工”、“合同工”等等开始红遍大江南北。诡异的是，多数时候“临时工”已非还是劳动力市场上的用词，它越来越多的成为一些重大安全事故中的“替罪羊”或“挡箭牌”。

尽管社区论坛、自由博客及社交网络等等仍然被舆论监督部门严格把控，但是或多或少给普通大众在公共社会问题上的“起哄”机会；创新的科技不仅掌握在权力机关，也进入了大众的手中，这让居心不良的家伙们在行恶之时多少有些顾虑和收敛。

危机来临之时，公关高人们第一时间想到降低损失，这是再自然不过的。舆论需要一个责任人，“一把手”如何都难逃其咎，但是又不可能无论大小甚事都怪罪到“一把手”，再说“一把手”并非多数安全事故的直接造成者或参与者。

人非圣人，孰能无过？为了照顾大局，公关高人们往往不得不找出“临时工”来担当“常委”，而媒体要联系这些“常委”的时候，则会被告知：已被辞退。

不过，如果一味拿“临时工”当安全事故的缓冲剂，并不一定会百试不爽，原因不仅仅由于法律法规和相关监管审计系统越来越严格，办公室内外的政治斗争也是关键因素。

其实抛开用于权力制衡也有利于良性竞争的职场政治因素不谈，安全事故越来越成为各主任经理们业绩考核的关键指标。虽然将安全事故的终极责任归于主管领导可能有些残酷，但是也有其积极的一面，便是安全能够得到最高领导层的必要重视，因为只有高层重视了安全之后，下属中低层员工方可将安全当回事儿，安全工作方可得到必要的落实。

从科学发展观上来讲，安全事故并非可以完全杜绝，在信息安全领域，中央各部委的相关监管和指导文件也都特别提到信息安全事件，往往并没有刻意提出如何处理信息安全事件的责任人，但是却无一例外地强调安全事故报告和响应流程，因为中央政府及相关部委明白：终极的责任可能并非在下级单位或某位领导，不过对信息安全事故的刻意忽视、隐瞒甚至夸大等等不但不利于一盘大棋，更会令中央和地方多级受损。

而要降低信息安全事故损失的关键动作看起来很简单却不一家能够做到——及时发现安全事故的隐患或苗头，并且报告给适当的安全响应机构和人员。难做到的原因也很简单：可能不知道要报告安全事故，“临时工”们可能根本不会意识到安全事故或持观望心态，员工们可能会认为与自己无关，或想自作主张低调处理；中层领导可能在忙于别的事务，或不想因安全事故而被上级责难……

不少机关或公司并非需要对公众直接负责，所以在出现信息安全事故之后，也不用媒体掺合，只需依据标准的流程将事故划分为合适的等级并且汇报给相关的监管机构和人员。出现信息安全事故，可能是一个人造成的，但是却需要大批人参与事件的响应之中。如果是黑客搞得破坏，我们谴责黑客并进行内部修复；如果怀疑是商业间谍，我们可以报警并诉诸法律；如果是内部员工不经意犯错，我们要加强安全意识教育；如果是第三方员工如“临时工”恶意为之，我们更要加强教育和惩戒。

虽然临时工与正式工相比，素质、法律观念上还是有差距的，但是我们不能只在信息安全事件之后方才注意到强化安全意识教育，也不能只给正式员工适当的安全意识教育，而忽视“临时工”。

虽然“临时工”可能对组织机构的归属感和认同度不够，他们对公司安全环境的熟悉程度不比正式员工，感受企业安全文化的熏陶也不够深入，但是我们不能否认“临时工”对组织信息安全成功的贡献度和重要性。

我们要张开怀抱，如同会提供特别的“转正”政策让“临时工”好好表现一样，我们也需要在信息安全方面教育、感化和激励他们。

“临时工”、“合同工”、“实习生”、“外包岗”等等不是“替罪”的代名词，但是由于战略的需要，他们客观存在，甚至他们也的确更容易带来安全事故。解决之道并非设置更多的人为障碍和阶层对立，对立不如对话，管理好信息安全事件，降低损失，从对“临时工”的信息安全意识教育开始。

如同社会上少数人不再相信教育能够改变未来一样，几乎每年都有少量安全业者质疑安全意识培训的价值，但是人们仍然希望孩子们能读好的大学受到好的教育，安全管理负责人仍然在对员工们实施着基础的安全认知培训。

我们的确需要反思，我们为什么对员工要搞安全意识教育呢？在员工们在安全认知上太“菜”，还是我们的系统在进行安全设计的时候没有考虑到员工们的“菜”呢？我们相信两方面的原因都有，但是无论员工们的安全认知，还是系统的安全设计，都是在不断改进之中。

员工们除了每年接受一定时间的安全意识培训之外，实际上也会受到人类进化和社会环境的影响，比如看看电视了解了新型的电话诈骗，丢失了手机后更深入地认识到移动信息的安全等等，这是很自然不过的了。

说到安全意识教育，人们可能会说，“相关的知识理念人们都了解，甚至也认同，但是就是不遵守，别说黄赌毒，就问问抽烟、酗酒和熬夜的那些人们吧，他们可能比没有那些行为的人更理解其危害，然而有什么用呢？”这难道是教育的失败吗？昆明亭长朗然科技有限公司的安全培训顾问Alice Wong说：这种情形的确是教育的失败，但并不全是，准确点说更多是受众的选择问题。因为在有些情况下，人们并不选择正确的答案，这里面可能有外因和内因，外因往往是外界的刺激、环境的影响等等，内因则是对诱惑的抵制力、对行为的约束力等等。比如多年不见的老朋友相聚，往往都知道不应该喝得乱醉，但仍然会受酒桌文化的影响，又不得不在心里告诉自己去放纵一次。

上述的例子可能并不全适用于安全教育，多项安全事故调查表明：职场新人往往更容易成为安全事故的受害者，显然在多数职业人士的心目中，安全生产事故的后果不同于偶尔一次放纵对身体健康的影响。

设计可以不断地改进以增长安全性，但是相靠安全的设计来避免“菜鸟”们出现危险的行为路途漫长，甚至很不现实。比如菜刀可以用来切菜，当然也能误切手指，我们不否定可以在菜刀的设计上考虑误切手指的防范功能，但是又有多少人使用这样的“安全”菜刀呢？

有不少公司出台了安全相关的规章制度，但是却没有与员工进行沟通，员工们对安全的认知远达不到规章制度所期望的水平，这种情形便是安全知识教育的不足。

安全意识教育，不仅仅是给人们安全知识，更需要教会人们进行正确的安全选择。如果某人有正确的安全知识，但是却要故意捣烂，比如自残或实施破坏，那的确是教育的失败，但和教授正确的知识没有关系，只和选择有关。

向员工们提供正确的安全意识知识教育是永远不可少的，但是在选择方面，需要给予必要的外部刺激。虽然关于安全行为的选择权握在最终用户的手中，但是适当的外部刺激能够促进员工们在面临安全问题时进行正确的选择。

有不少公司出台并颁发了安全相关的规章制度，并且同员工们进行了必要的沟通和培训，但是员工们遵守不遵守这些都没有关系，违反规定的也不会受到任何惩罚，甚至都不会受到正义的谴责；严格遵守规章的员工们没有得到任何奖励，也不会成为道德的楷模。缺乏必要的奖惩刺激，让员工们不辨是非，碰到安全选择时甚至有些迷惘。

我们可以在技术甚至流程层面上对系统进行必要的安全设计，比如关于密码安全，我们可以在系统中启用复杂密码策略，但是能少掉必要的安全意识教育吗？能不告诉用户什么是所期望的复杂的密码吗？我们必须得告诉，无论是在密码输入栏旁边还是专门的密码安全培训，我们都需要同用户进行沟通，否则可能有用户不理解、不支持的行为，比如输入几次简单的不符合要求的密码被拒绝后便放弃或罢工了。

再回到最初的问题，为什么对员工要搞安全意识教育呢？我们的目标是想要员工们有正确的安全行为表现，我们首先要告诉员工们什么是正确的安全行为，然后要通过奖惩来刺激进行正确安全行为的选择。我们可以通过系统安全设计来帮助实现正确的安全行为选择，但是安全意识教育仍然很必要。比如想让一支队伍排列整齐，我们可以通过拉一条线来进行规范“设计”，但是这条线是个辅助，我们不告诉队伍如何好好使用这条线的话，不进行必要的知识灌输和行为激励的话，这条线仍然可能被拉得东倒西歪的。即使后来“设计”成一条钢管，也可能成为队伍拿来当棒使的武器或拔河用的器具。