資安教育給的是規則清單，而學生需要的是練習辨識

eSchool News 刊出一篇關於 K-12 資安教育的分析，論點很直接：學生每天都在做資安決策，而給他們一份規則清單，不等於教會他們辨識威脅。

這個區分值得展開，因為它適用的範圍遠不只資安。

**現行資安教育的典型形式是宣導：** 密碼要夠長、不要點陌生連結、不要在公用 Wi-Fi 登入重要帳號、不要隨便給個人資料。這些內容都正確，而且成本低——一場演講、一份文件、一次線上測驗就完成了。

**問題在於，真實的資安情境從來不長得像清單裡的樣子。** 沒有人會收到一封標題寫著「這是釣魚信」的信。真實的攻擊會偽裝成老師的通知、社團的報名連結、遊戲的獎勵、朋友傳來的訊息。**辨識威脅需要的是在模糊情境中判斷的能力，而規則清單訓練的是在明確情境中回想答案的能力。** 這是兩種不同的技能。

而且威脅本身正在快速變化。**AI 讓社交工程的品質大幅提升**——過去可以靠錯字、生硬語氣、格式怪異來辨識的詐騙訊息，現在可以生成得毫無破綻，甚至能模仿特定人的語氣。前幾天有一則相關報導指出 AI 正在強化金錢詐騙。當表面線索失效時，判斷就必須轉向更深的層面：這個要求本身合不合理？為什麼是現在？為什麼是這個管道？

**所以「練習」該長什麼樣子？** 有效的做法通常包含幾個特徵：情境是真實而非虛構的；學生必須做出決定而不只是回答問題；決定之後會看到後果；然後有機會討論為什麼。例如在校內發送模擬釣魚訊息（點了不受罰，而是進入說明頁）、讓學生檢視自己帳號的授權清單、實際操作一次雙因素認證的設定與復原、分析一個真實的資料外洩事件。

這些活動的共同點是**學生做了選擇，而不是聽了規則**。

**還有一個常被忽略的層面：資安素養的核心其實是懷疑的習慣，而懷疑是可以練習的。** 這與媒體識讀、與判斷 AI 輸出可信度，是同一組能力的不同應用。一個學會問「這個訊息為什麼要我現在就做決定」的學生，同時具備了辨識釣魚、辨識假訊息與辨識詐騙的基礎。

從 STEAM 教育的角度看，資安還有一個特別的優勢：**它天然是跨領域的。** 它同時涉及技術（加密、認證機制）、數學（為什麼長密碼難破解）、心理（社交工程為什麼有效）、以及倫理與法律（隱私、責任歸屬）。這使它很適合作為專題式學習的主題，而不是塞進資訊課的一個章節。

業界分析人士指出，以模擬演練為基礎的資安訓練，在行為改變上的效果顯著高於單向宣導，而後者仍是多數機構的主要形式。

對台灣而言，我們的校園資安教育多以宣導為主，而且經常被歸類為「資訊組的業務」。這則分析提供的問題是：學生上完資安課之後，有沒有做過任何一次真實的判斷？如果整堂課裡他們沒有機會答錯，那麼他們大概也沒有機會學會。