連大企業都擋不住員工在辦公室拍BeReal、順手把內部資訊洩漏出去。
那面試搞個三輪四輪，到底還有什麼意義？
這個質疑相當犀利。
不過，如果只把問題歸結成「招募負責人沒看出來」，就有點偏了。
因為BeReal式的資訊洩漏，發生在面試能檢視的能力和人品之外的地方。
面試能看到的，頂多就這些：
- 能不能正常對話
- 能不能說清楚應徵動機
- 履歷有沒有明顯矛盾
- 會不會讓面試官不舒服
- 在當下的場合是否舉止得宜
可是，當BeReal的通知在辦公室響起的那一瞬間，
「現在這裡可以拍嗎？」
「背景有沒有拍到客戶名稱？」
「白板或電腦螢幕有沒有入鏡？」
「這只是給朋友看的，所以沒關係——這個判斷真的對嗎？」
這些念頭能不能在一秒內轉過來，光靠面試幾乎看不出來。
所以說，這與其說是招募面試的失敗，不如說是衝動型社群軟體時代的公司內部資訊管理問題。
BeReal的設計邏輯就是「馬上拍」
BeReal的特色是：每天在隨機時間發出通知，要求你在2分鐘內拍照分享。而且它會同時用前後鏡頭，拍下你自己和周遭環境。
這正是它比一般社群軟體發文更麻煩的地方。
發Instagram或X（原推特）時，你得先選照片、想文案，還有一點確認的時間。
但BeReal，顧名思義，價值就在於拍下「此時此刻」。
也就是說，App在逼著使用者：
馬上拍。
把現場亮出來。
別修圖，秀出真實的你。
這種設計放在日常生活裡很有趣。
朋友之間可以很自然地分享「你現在在幹嘛」。
但放到職場裡，簡直是八字不合。
因為職場裡不能入鏡的東西實在太多了：
- 客戶名稱
- 員工姓名
- 員工證
- 名牌
- 白板
- 電腦螢幕
- 文件資料
- 座位表
- 會議資料
- 產品資訊
- 合作夥伴資訊
- 工廠、研究所、辦公室內部
就算只是當作日常背景不小心拍進去，對公司來說也可能構成資訊洩漏。
到這一步，BeReal就不只是年輕人用的社群軟體，而是與職場資訊管理規定正面衝突的衝動型介面。
「教過就防得住」是個誤解
那麼，新人報到時做教育訓練就能避免嗎？
教育訓練當然是必要的。
「公司內不拍照、不錄影。」
「不要在社群平台上發公司資訊。」
「設成僅限好友也不行。」
「不管是BeReal、Instagram還是LINE（日本最常用的通訊軟體），跟App名稱無關，都不行。」
「白板、螢幕、文件、人臉、名牌、客戶名稱只要入鏡就算違規。」
這些都應該用具體的例子講清楚。
但教育訓練做完了，也不可能徹底杜絕。
因為人群裡總有「沒在聽的那一個」。
對100個人說明，99個人聽懂了，只要有1個人沒聽，事故照樣會發生。
資訊洩漏的特性就是，就算99個人都做對了，一個人發一則貼文就成立了。
這就是所謂的「百分之一炸彈問題」。
公司說一句「報到時說明過了」，這樣的防護是很薄弱的。
真正需要的是多層防禦：
- 說明規定
- 做理解度測驗
- 讓員工簽署切結書
- 用具體案例讓員工自己判斷
- 張貼禁止拍攝區域的告示
- 劃定禁止攜帶手機的區域
- 不把客戶名稱和機密資訊放在看得見的地方
- 訂好出事後的通報管道
- 明確違規時的處分標準
教育訓練不可少，但光靠教育訓練不夠。
做做樣子的資安教育是防不住的。
就算「公司本來有規定」，照樣會重演
像這次銀行、大企業這類案例，很難想像公司完全沒有規定。
禁止在公司內拍攝、保密義務、個資管理、禁止在社群發文之類，多半早就寫進制度裡了。
即便如此，事故還是發生了。
為什麼？
不是因為沒有規定，而是因為規定敵不過衝動。
BeReal的通知來了。
周圍的朋友也都在發。
心裡冒出一句「得趕快拍」。
想著只給朋友看，就拍了。
沒有檢查背景。
發出去。
有人存檔、轉傳。
公司的資訊就流到網路上了。
這個過程和惡意帶出資訊是兩回事。
當事人並沒有想過「我要把公司資訊洩漏出去」。
他只是照著平常發日常貼文的習慣做而已。
所以才難處理。
這不是心懷惡意的間諜，而是被通知牽著走的、粗心大意的內部人員問題。
美國CISA（網路安全暨基礎設施安全署）等機構所討論的內部威脅，也不只是指惡意——擁有權限和內部知識的人可能對組織造成損害，這本身就屬於內部風險。身在公司裡的人，即使毫無惡意，也能把自己看得到的資訊帶到外面去。
所以問題不在於「錄用了一個人品差的人」。
而在於：只要身處公司內部，任何人都可能成為資訊洩漏的入口。
個人手機，能管到哪一步
這裡最難的，是和個人手機之間的界線。
公司不能連員工的私生活也一併管起來。
員工的手機裡裝什麼App、假日發什麼內容，要完全管住很困難。
所以，用「不准用BeReal」去約束整個私生活，並不現實。
但在牽涉到公司場所、工作時間、機密資訊、客戶資訊、員工資訊的場合，公司可以嚴格限制。
界線應該這樣劃：
個人手機的持有和私生活中的使用，公司不干涉。
但在公司內、工作時間內、客戶現場、公司車輛、機密區域，以及可能拍到公司資訊的地方，禁止用個人裝置拍照、錄音、直播、發布和分享。
要依行為來約束，而不是依App名稱。
弱規則是這樣的：
禁止BeReal。
這樣就會出現漏洞。
「那Instagram可以嗎？」
「用LINE只傳給一個朋友可以嗎？」
「設成僅限好友可以嗎？」
「只要不是TikTok就行？」
大家就會開始鑽漏洞。
強規則是這樣的：
在可能拍到公司資訊的地方，禁止使用私人裝置進行拍攝、錄音、直播、發布和分享。
該禁止的不是某個特定App，而是把公司資訊帶到外面的行為。
年輕人的社群習慣，光靠規定攔不住
說得重一點，年輕人的社群使用習慣和衝動性，只靠紙面上的規定很難壓住。
這不是在貶低年輕人。
相反地，對一個把社群軟體當成生活習慣的世代，覺得「寫進了工作規則你們就該懂」，才是想得太簡單。
對從學生時代起就用BeReal和朋友分享日常的人來說，通知一來就拍，很可能已經是下意識的動作。
在他自己心裡，這並不是
公開公司資訊
而更像是
像平常一樣，讓朋友看看此刻的我
這裡就有認知上的落差。
在公司看來，辦公室是機密空間。
在本人看來，這是自己此刻所在的地方。
在朋友看來，這是一則日常貼文。
一旦流到網路上，就是資訊洩漏。
這四種認知，在同一張照片裡撞在一起。
所以公司不能指望「憑常識就該知道」。
不能靠常識，而是要落實成具體的行為規則。
不再追求杜絕再發，而是以「會再發生」為前提，設計出能控制損害的機制
這個問題很難做到徹底杜絕。
因為湊齊的條件實在太多了：
- 個人手機隨時帶在身上
- 手機鏡頭越來越強
- 社群軟體鼓勵即時發布
- 年輕人習慣分享日常
- 職場裡不能入鏡的資訊很多
- 即使僅限好友可見，也會被截圖、存檔、擴散
- 一個人的失誤就可能演變成整間公司的信譽危機
所以現實的做法不是追求「再也不發生」，而是朝著即使發生，損害也不會擴大的方向去做。
例如下面這樣的設計。
1. 把「公司內禁止開啟相機」明文寫進規定
不要只寫「公司內禁止拍攝」，還要寫明：
- 不要開啟相機App
- 收到BeReal通知也不拍
- 休息時間，在可能拍到公司資訊的地方也不拍
- 想拍的話，到指定的休息區或公司外面去
2. 做「這能發嗎？」的案例題
只是說明的話，沒在聽的人就會漏過去。
例如，在教育訓練中出這樣的題目：
- 背景裡有一小塊電腦螢幕入鏡的照片，能發嗎
- 白板上的字看不清楚的話，可以嗎
- 把員工證翻過去就可以嗎
- 設成僅限好友可以嗎
- 用LINE只傳給一個朋友可以嗎
- 休息時間可以在辦公室裡拍嗎
- 如果只拍到一部分客戶名稱，該怎麼辦
不用這樣的具體例子讓大家自己判斷，規則就進不了腦袋。
3. 不讓不該被看到的資訊出現在看得到的地方
在白板上寫客戶名稱。
把文件放在桌上。
電腦螢幕開著就離開座位。
員工證、名牌入鏡。
如果這些狀態成了常態，一旦發生拍攝事故，損害就會很大。
不能只喊「不要拍」，還得打造一個就算被拍到，損害也很小的職場。
4. 劃分禁止攜帶手機的區域
全公司一刀切禁手機，有時並不實際。
但在有客戶資訊、金融資訊、個人資料、研究資訊、製造資訊的地方，限制個人手機帶入是有空間的。
不是全部禁止，而是按區域劃分：
- 機密區域：禁止攜帶個人手機
- 辦公室：禁止開啟相機
- 休息室：在不拍到公司資訊的範圍內可以使用
- 室外、公司外：屬於私生活，原則上自由
像這樣分層級。
5. 建立出事後的通報管道
資訊洩漏，不只是發生本身重要，被發現之後怎麼處理也同樣重要。
如果當事人意識到「糟了」的時候，沒有管道能馬上通報，刪除就會拖延，擴散也會加劇。
需要明確的有：
- 向誰通報
- 幾分鐘內通報
- 刪除貼文的步驟
- 截圖、連結、發布時間的留存方法
- 是否聯絡客戶和相關人員的判斷
- 防止再發的紀錄
「怕被罵就悶不吭聲」是最危險的。
與其面試四輪，不如在第一天就「灌好規則」
面試搞三輪四輪，也許能減少一些不適配。
但想靠面試徹底篩出BeReal式的資訊洩漏，是不可能的。
面試時問一句「您上班時會拍BeReal嗎？」，一般人都會回答「不會」。
而且本人在那個時候，也可能真心打算不拍。
可是到職之後，通知來了。
朋友們都在發。
心想「得趕快拍」。
也沒好好看看周圍就拍了。
出事了。
所以，與其在招募面試裡想把粗心的人篩出來，不如在到職第一天就這樣說，來得更快：
請不要在公司裡拍BeReal。
不只是BeReal，在可能拍到公司資訊的地方，請不要開啟相機。
設成僅限好友不行，用LINE傳也不行。
背景裡只要拍到客戶名稱、員工姓名、文件、螢幕、白板、名牌，就構成資訊洩漏。
收到通知請直接無視。想拍的話，請到拍不到公司資訊的地方去。
要說到這個程度。
然後讓大家做案例題、簽切結書，再劃定區域限制。
這比在面試中看穿一個人的人品，現實得多。
結論：別把合規判斷交給衝動型社群軟體
BeReal資訊洩漏，不是單純的「現在的年輕人真不像話」。
當然，把公司內部資訊拍下來發出去的當事人，責任很重。
在可能拍到機密資訊和個資的地方拍攝，是相當危險的行為。
但公司這邊，光說「規定裡有寫」「報到時說明過了」，也是不夠的。
人會不聽。
會忘記。
會按習慣行事。
會被通知牽著走。
會想當然地認為僅限好友就沒事。
會忘記檢查背景。
所以設計上應該這麼想：
人的衝動，光靠紙面上的規定是攔不住的。
因此要把教育訓練、切結書、具體案例、環境限制、資訊的可見方式，以及出事後的應對，全部納入設計。
這是一樁懸而未決的老問題，今後很可能還會再發生。
正因如此，需要的不是「批評人資部門沒在面試時看出來」。
需要的是面向衝動型社群軟體時代的職場設計。
要給它起幾個名字的話，就是：
「別讓衝動型社群軟體替你做判斷」問題。
「百分之一炸彈」問題。
做做樣子的資安教育。
BeReal資訊洩漏，懸案。
別指望人會自覺。
把圍欄、告示牌和鎖都裝上。
然後在「還是會漏」的前提下，把損害範圍縮小。
