校園安全風險管理

又見孩童在校遭襲擊:從安全管理觀點談校園安全

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

是時候,我們認真思考校園安全這件事了...

不幸的,又見 校園傷童 事件了。前天台南有一位20歲女子,帶著7把美工刀,到一家幼兒園廁所割傷4歲小朋友的手臂,當場被逮後,昨天竟然又到附近的國小,以同樣手法犯案,用刀劃傷7歲男童。與2015年北投文化國小女童割喉命案一樣,兇嫌都是躲在學校廁所,伺機傷害手無寸鐵、毫無反抗能力的學童,而且是無特定對象的隨機犯案

作為一名以 校園安全風險防治 為己業的人,看見又有小朋友在校園裡被攻擊受傷了,除了不捨,也一時湧上許多話想說,和大家分享安全管理的一個最重要基本觀念。

台灣 校園安全事件 接連發生,而且頻率越來越高。根據台南市教育局的說法,學校與警方訂有「維護校園安全支援約定書」,已經加強孩童上下學期間學校周邊的巡查和門禁管理,並檢視校園安全防護和緊急應變機制,同時與衛生局合作聯繫,掌握社區內危安因子。

但即使如此,還是有小朋友在學校裡面遭到攻擊。雖然校方每次都承諾會加強防範,但是,從安全管理的角度看來,無論警方再怎麼加強巡邏,圍牆設備再滴水不漏,類似事件還是極可能再度發生...

因為這些措施都忽略了安全管理中最基本的觀念:阻隔

何謂阻隔?

所謂阻隔,是指將「保護對象」和「可能造成傷害的人事物」進行隔離。可以分為時間阻隔和空間阻隔:

A. 空間阻隔

基本上,校園圍欄或大門進出管制的存在,都是為了進行隔離;但現在強調「友善校園」,開放社區居民進入活動,便較難在空間上隔離「閒雜人等」。即使如此,開放範圍最好和小朋友的活動範圍分開,避免場域重疊、接觸。

B. 時間阻隔

或者,如果學校開放校外人士進入學校活動,那麼,開放時間必須和有小朋友在校的時間錯開,必要的話,兩個時段之間也可以像電影院一樣進行清場。

我們細想這幾宗校園孩童受傷事件,可以發現,這些兇嫌進入校園,幾乎有如入無人之境,根本沒有人把他們攔下來!如果在制度、環境上落實阻隔的觀念,看到 不應該出現的人,在 不應該出現的空間、不應該出現的時間 出現,都會比較容易警覺、第一時間處置。但如果沒做好阻隔,任警衛再小心、家長再擔心,任大家再步步驚心,都於事無補。

誰應該被阻隔?

但誰是不應該出現的人?也就是說,誰是要被阻隔的 「陌生人」?

專業安全管理中定義的 陌生人,是沒有被「授權」進入校園的人。他可能是教職員的朋友,也可能是孩子的親戚。因為,只因為他是學校的家長,或是常見的面孔,就不會是犯罪人嗎?

舉前陣子的事件為例,有位女老師跟男朋友發生感情糾紛,男朋友就來學校找女老師,跟警衛說他是XXX的男朋友,居然就順利進入了學校,後來就在校園對女老師進行攻擊。雖然受害對象是女老師,但是,設想另外一種情況,這名憤怒的男子也可能會傷害學校裡脆弱的學童,不是嗎?

校園安全健檢

陌生人進入校園,對孩童安全造成威脅。(Photo: Kenming Wang/Flickr)

只要是不被授權進去學校的人,都屬於陌生人,都屬於「不安全」的存在。更何況現在社會壓力頗大,某些人在心智低潮的時候,會讓他「失去理智」,失去原有的行為準則或道德立場,讓他在有意識或是無意識的狀態下產生犯罪行為。而這些人,可能是一個不熟悉的親切鄰家大哥哥,如鄭捷,或是你熟悉的某些鄰舍。

怎樣做到阻隔?校園安全健檢

怎麼樣做到阻隔呢?其實,每間學校的狀況都不一樣,位置地點、學生人數、人口組成...都是會影響到校園安全風險的評估項目。因此像台南教育局全體一套適用的「維護校園安全支援約定書」,在我看來,是非常不切實際的,更不用說校園安全演練經常淪為形式,只剩下重複演練單調劃一的腳本。

唯一能杜絕類似傷害事件再發生、最有效的防治方式,是各校延請專業人員進入校園第一線,進行完整的 校園安全健檢,以國際級安全標準,實地檢測  校園安全四大環節,量身打造安全補強設計,找到弱點,才能有效防範。

校園安全健檢

最後,引用著名安全管理專家Don Rondeau說的話:「我們必須要認清,我們的孩子上課學習的環境,是非常容易受攻擊的。」

加強校園安全,不是要把小孩生活學習的環境變成監獄,而是要有效保護小朋友,讓他們快樂、健全的學習長大。台灣的小朋友一天有超過六、七個小時待在學校裡,重要的校園安全,必須要靠校方、專業人士、家長和小朋友,大家一起共同鞏固。

(Front photo:Kelvin Wang/Flickr)

校園安全國際注目度升高...暗藏危機的台灣國中小校園

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

台灣的小朋友一天有超過六、七個小時待在學校裡,校園環境,是他們成長、生活、呼吸的場所,校園環境安全至關重要…

安全管理專家|孫保忠 Steven

是時候,所有關心小朋友安全的家長或老師,仔細思考孩子在校園面臨安全威脅的可能性,以及校園防範機制了。

從北投小二女童在校內廁所遭到割喉殺害,到剛屆滿一年的內湖小燈泡事件,台灣公共安全和校園安全,近年頻頻亮起紅燈,這些新聞對社會大眾來說尚於心不忍,更何況是孩子的父母?

我自己就是兩個國小小朋友的爸爸。這些小朋友受害的社會新聞,帶給我的衝擊,不亞於任何父母親──事實上,殺害北投女童的龔姓殺人犯,在那天早上,原本是想闖入西湖國小行兇,蹲在170公分高的圍牆牆墩上,鬼鬼祟祟探頭探腦時,被小朋友和家長發現,才慌忙離開去尋找其它下手對象。

看到這則新聞,任何身為父母的人都會不禁想:如果當時缺少了這位格外留心、具有「安全意識」的家長,事件的後續發展如何?被害人是否就是西湖的小朋友了?就像嫌犯說女童「她倒楣遇到我」?接下來,可不可能他在隱密處犯案、無人發現,因而有2-3個孩子受害?

監視器、保全人員…這些表面安全,並不是真的安全

於是,我開始留心研究調查台灣中小學校園的安全管理。

現在台灣校園普遍都有監視設備、保全人員(雖然其中少數可能是保全爺爺),一般父母親如果沒有仔細觀察和思考,可能認為有了這些東西,孩子的安全就可以放心了,但從我的安全管理經驗來說,這些設備和人員,如果沒有搭配正確的觀念、定期的巡檢,是無法發揮任何防備效果的。有幾個原因:

  • 「存在」不表示「能用」

只要是機器,都需要保養、維護、更新,可惜的是雖然很多學校都有編預算買安全設備,卻沒有編預算進行維護。所以,往往在保固期過了、設備出狀況時,學校方沒有進行更換,甚至根本沒有察覺──比方說,雖然你可以在螢幕上看到監視畫面,但是硬碟早已失去儲存的功能,萬一事件發生,根本無法提供任何證明資料。

  • 有監視「設備」不代表有人「監視」

更多的問題,不是硬體的不足,而是來自人的管理。監視設備在安全管理中的功能,通常是偏向事發後的釐清處置,至於「當下發生」或「即將發生」的安全危機,是否能夠及時制止,必須倚靠監看人員、巡邏人員的配合。然而,學校是相對來說比較安逸的環境,通常不會有大事,監看設備畫面的保全人員,只要一不小心,就會處於放空或是忽略的狀態。恐怕假如真有人在畫面中行兇,只要畫面占比不要太大,都無人覺察。

學校是個相對安全的環境,安全管理仍舊不容許片刻鬆懈。(Photo: ajari_flickr)

  • 因為「不方便」而關閉設備:

為了培養小朋友開放、健全的身心,前一陣子台灣很流行低圍欄或沒有圍欄的「開放校園」。而有些開放校園雖然設置了電子圍籬設備,但可能經常有小狗小貓們穿越,誤觸警鈴,導致鈴聲大響、勞師動眾,後來覺得徒增行政困擾,便把警報器關閉,不只經費付諸流水,更把孩童的安全暴露於危險之中。

這些問題共通的根本原因,其實是我一直不厭其煩強調的:”Awareness”的重要性。真正要落實一個安全的環境,除了設備維護,流程與機制的設計執行,和保全人員辨識危機的能力,更有賴校園所有成員的安全意識與警覺心,就像西湖國小那位見義勇為的家長一樣。

孩子一天超過六個小時在學校裡:至關重要的校園安全

台灣的孩子一天待在學校至少六、七個小時起跳。(Credit: Tony Tseng_flickr)

Rockfiled安全管理公司的總裁Don Rondeau,本身也是一名知名的安全管理專家,訓練過國土安全局人員、經手處理過DC校園槍擊事件。針對校園安全問題,他曾表示,我們必須要認清,我們的孩子上課學習的環境,是非常容易受攻擊的。學校必須針對校舍加強安全措施、進行風險防治,這麼做,不代表大人要把小孩生活學習的環境變成監獄,而是要讓安全設計不干擾學生的學習,但仍能有效地保護他們。

台灣的小朋友一天有超過六、七個小時待在學校裡,校園環境,是他們成長、生活、呼吸的場所,至關重要的校園安全,必須要靠校方、專業人士、家長和小朋友,大家一起共同鞏固。

進一步了解校園環境安全風險

 

像競爭對手一樣思考,並發動攻擊:歐美企業都在用的「紅隊作業」

by 孫保忠 Steven Sun 孫保忠 Steven Sun 無迴響

美國國安局有一支菁英部隊,叫做「老虎小組(Tiger Team)」,這個部隊專門「自己人打自己人」,對美國軍隊發動無預警攻擊,以測試自家人的防衛、應變、安全管理能力...

「大多數企業根本不知道自己安全弱點在哪裡。」安全駭客Chris Nickerson說。

有一個下午,他打給美國名人圈最高調炫富的鑽石商「比佛利傑森(Jason of Beverly Hill)」,在電話裡聲稱自己是高檔生活時尚雜誌Crave 的記者,下個月要製作比佛利傑森的封面專題,要求進入比佛利傑森總部拍攝訪問。

隔天,Chris順利進入比佛利傑森公司內部,近距離訪問到比佛利傑森的CEO。

一個月後,Chris帶著兩名同夥,趁著陽光明朗的周末,在人來人往的比佛利精華地段,侵入比佛利傑森在商業大樓裡、戒備森嚴的公司總部。他們最後成功偷走了保險箱裡數百萬美元的鑽石,以及比佛利傑森所有好萊塢名人富人等客戶資料,包括銀行帳戶。Chris還大搖大擺地在CEO辦公桌上留下一張三人行竊得手後對著鏡頭大笑的拍立得照片。

但Chris並沒有被起訴。

相反地,他獲得了一筆比佛利傑森給他的豐厚酬勞。

誰來告訴我,應該怎麼做?

這是怎麼一回事?

話說,美國國安局有一支菁英部隊,叫做「老虎小組(Tiger Team)」,這個部隊專門「自己人打自己人」,對美國軍隊發動無預警攻擊,以測試自家人的防衛、應變、安全管理能力。

而Chris和他的夥伴,就是民間企業的老虎小組,又稱作「紅隊(Red Team)」──他們進行的紅隊作業(Red Team Operation),是接受企業委託的安全駭侵(hacking),嘗試攻破那些自稱安全的企業大樓和系統,找出防護弱點,然後提供改進方案。

就在Chris受比佛利傑森安全主管秘密委託、佯裝記者進入比佛利傑森公司訪問CEO的那個午後,他其實帶著隱藏攝影機,將公司內的監視器位置、室內布局、甚至在訪問過程中將CEO的生日和公司內部線索,都摸得一清二楚。他甚至還利用請櫃檯小姐幫他印一份USB文件當作藉口,在比佛利傑森公司的電腦下載後門程式,破解該企業所有安全密碼。

red team, 紅隊作業, chris nickerson

在美國電視節目Tiger Team, Chris示範趴在地上爬行,躲過比佛利傑森的動作感測監視器。(Credit: Youtube截圖)

在每次入侵「成功得手」後,Chris 都會在事後製作一份安全檢討報告書,告訴企業經營者他突破保安的方式,以及應該怎麼做,才能用最低的成本、最高的效益,讓安全系統更加完備──比方說,為企業門禁卡加一個只要區區幾百塊台幣的護套,就可以避免門禁卡資料被有心人士竊取。

Chris Nickerson不只被視為安全駭客界的最後良心,他的行動,也是民間紅隊作業的始祖。

企業嚴重自我認識不足的三大原因

就像Chris說的,大多數企業根本不知道自己的安全弱點在哪裡。但之所以如此,有三大原因:

  1. 安全設施防君子,不防小人

很多企業認為裝設安全系統,就「安全」了。事實上,警報器、防盜系統等安全措施雖然是必要的,卻完全阻擋不了「積極、有計畫」的入侵。

就拿比佛利傑森的例子來說,就算企業總部布滿密密麻麻的監視器、動作感測警報器、安檢雙層門、尖端保險箱…這些安全措施,還是輕而易舉地遭到Chris破解。就如另一位紅隊專家Jayson E. Street說,一般實體的安全設施「完全阻擋不了一個決心要入侵的惡棍。」

  1. 我會中樂透,他會遭小偷:大腦認知的欺騙伎倆

人,通常不願意仔細思考可能會發生在自己身上的倒楣事。認知科學家Tali Sharot指出,大多數人都有「樂觀偏見(Optimism Bias)」,亦即,在「已經被告知」事實數據的情況下(例如樂透得獎機率是千萬分之一,而離婚率是1/2),大多數人仍然會高估發生在自己身上的好事機率,低估發生在自己身上壞事的或然率。更別提人類認知中錨定效應、驗證偏誤等認知陷阱,使得像分析師等企業人員,很可能在一開始評估時,就給出具有誤導性的數據。

  1. 沒有壞消息,是最糟的壞消息:群體盲點

一個企業主管在會議上分享了一個想法、宣布一個決策,獲得全體一致無異議通過。這時,企業主感覺棒呆了。

但他並不應該。熟悉紅隊作業的人都深知,沒有壞消息背後通常有兩種原因:其一,它意謂著企業組織文化已經成功滲透到每個員工身上,每個人用習慣的文化,習慣的邏輯,習慣的語言,進行習慣的工作。以至於沒有人有能力,跳脫思考框架,查覺到潛在的重大風險。

其二,員工不敢表達反對意見的。多數企業經營者都高估了自己給予「員工表達反對意見」的空間,或者,好像有一個匿名申訴管道就可以解決這個問題,殊不知此舉只是暴露──甚至加強──「無法容忍公開異見」的企業文化。哈佛商學院教授Amy Edmonson則說得一針見血:「從來沒有人因為不說話而被開除」,向上司報告可能風險,員工就必須冒著失去工作的風險。

任何層級組織內部,都有溝通盲點。美國參謀長聯席會議主席Martin Dempsey回憶,他正式升任4星上將的那天,有另外一個四星上將向他道賀:「從現在開始,再也不會有人和你講真話了。」

用更強的力量反擊

沒有人可以當自己的裁判,為自己的表現評分;要求企業組織可以不靠外力自行產生有價值、有建設性的異見,更是不切實際。最理想的做法,還是請「組織外部」專業人士協助進行,校園、建築物等安全實體滲透,或是企業重要決策前的商戰模擬,讓沒有組織束縛的外部團隊,運用解放手段,和可靠的技術經驗,協助企業組織評估潛在風險。

就像美國知名大律師Dudley Malone說,「我從不曾從那些和我意見相同的人身上,學到任何東西。」為企業進行紅隊作業,讓企業經營者能夠在傷害發生前,先用「用敵人的角度思考」,學敵人的方式攻城,才能知道,怎麼把自己的牆蓋得更牢。