Security Awareness Training
ที่ พนักงานไม่หลับ

หลายองค์กรลงทุน technology ด้าน cybersecurity อย่างจริงจัง แต่ลืม factor ที่สำคัญที่สุด — คน Verizon Data Breach Investigations Report 2025 ระบุว่า 74% ของ breach มีปัจจัยมนุษย์เกี่ยวข้อง ไม่ว่าจะเป็นการคลิก phishing, ใช้ password อ่อนแอ หรือตั้งค่า system ผิด

ทำไม Training แบบเดิมถึงไม่ได้ผล?

Training แบบ "ดูวีดีโอ 30 นาที ทำ quiz 10 ข้อ" ล้มเหลวเพราะ:

• Passive learning — คนไม่ได้ actively engage กับเนื้อหา
• Context ไม่เชื่อมกับงานจริง — ตัวอย่างใน training ไม่ relevant กับสิ่งที่พนักงานเจอจริงๆ
• ทำครั้งเดียวลืมหมด — ไม่มี spaced repetition
• ไม่มี consequence — ผ่านก็ผ่าน ไม่ผ่านก็ลองใหม่ ไม่มีผลอะไร

วิธีที่ได้ผลจริง: Continuous + Contextual

1. Phishing Simulation อย่างต่อเนื่อง

ส่ง simulated phishing email ให้พนักงานโดยไม่แจ้งล่วงหน้า เดือนละ 1–2 ครั้ง พอใครคลิก ระบบจะ redirect ไปยังหน้าสั้นๆ ที่อธิบายว่าทำไมอีเมลนั้นจึงน่าสงสัย — teachable moment ที่เกิดขึ้น "ขณะนั้น" มีผลกว่า lecture มาก

2. Microlearning: 5 นาทีแทน 30 นาที

แทนที่จะทำ training ยาว 30 นาที ปีละครั้ง — ทำ module สั้น 3–5 นาที ทุก 2 สัปดาห์ ส่งผ่าน email หรือ LINE ธีมเปลี่ยนตามภัยที่เกิดขึ้นจริงในช่วงนั้น เช่น ช่วงปลายปีเน้น gift card scam, ช่วง tax season เน้น phishing จาก "กรมสรรพากร"

3. Gamification: ทำให้เป็นเรื่องสนุก

ใช้ leaderboard, badge, และ point system — แผนกที่มี click rate ต่ำที่สุดในไตรมาสได้รับการ recognize ต่อหน้าองค์กร สร้าง healthy competition ระหว่างแผนก และทำให้ security เป็นเรื่องที่คนอยากพูดถึง

วัด ROI ของ Awareness Program ยังไง?

Metric ที่วัดได้จริง:

1. Phishing click rate — ลดจาก X% เหลือ Y% ใน 12 เดือน
2. การรายงาน suspicious email — คนรายงานมากขึ้นหรือน้อยลง?
3. IT helpdesk ticket จาก human error — ลดลงหรือไม่?
4. Password hygiene — % ของ account ที่ใช้ MFA และ password manager