前阵子有个客户找我们诉苦，说他们单位年年搞保密培训，年年考，但考试就是走个过场。员工背题库，及格率百分之百，可实际泄密事件照样出。我一听就明白了，问题出在考核题目设计上。您想啊，如果考核题全是死记硬背的法规条文，员工考完就忘，跟没考一样。真正的保密意识考核，考的不是记忆力，是判断力。
那什么样的题目才能考出真本事呢？我根据自己的实践经验，总结了五个核心要点。
第一，情景题优先于知识题。我在给一家军工单位设计题库时，把传统的是非题砍掉了将近一半，换成了情景模拟。比如不直接问“涉密文件能否带回家”，而是给一个具体场景：周五下午五点，你手上有一份密件需要处理，领导已经下班，电话打不通，而你第二天要出差。请问你怎么办？这种题目没有标准答案，但能真实反映一个人的风险判断习惯。员工答完，他自己都会反思——我刚才选择的那条路，是不是存在隐患。
第二，设置模糊边界题，故意制造两难选择。真实的保密场景中，很多风险恰恰是灰色的。我在出题时会放这样的题：你和一个合作单位的熟人一起吃饭，对方无意中提到了你们单位正在做的一个项目名称，而这个项目属于内部敏感信息。桌上还有其他人在场。你该怎么做？这种题考察的是员工面对突发状态时的应对本能。如果你出的题全是非黑即白的，员工在现实中也只会按黑白判断，而现实是灰色的。
第三，判断题要配纠错理由。我特别不喜欢那种只打勾打叉的题。正确的做法是，判断对错之后，要求写出依据。比如“涉密计算机可以插私人U盘”——员工选错还不够，必须写明为什么错，违反了哪一条规定。这一步才是真正内化的过程。去年的培训中，我们配合的公司采取了这种方法，三个月后再测，正确率从七成提升到了九成以上。
第四，混合多人场景，考察团队协作中的保密意识。很多考核只针对个人，但现实泄密往往发生在多人协作环节。我设计过这样的题：你和同事A、B共同负责一个涉密项目，A经常在群里问项目进度，B觉得麻烦你太较真。有一天A在微信群里@你问一个关键数据。你怎么处理？这种题一出，很多人才意识到，保密不只是管好自己，还要学会如何和同事沟通风险。
第五，高频风险题要反复出现，形成肌肉记忆。我这里说的反复出现，不是原题重复，而是同一风险点换不同场景反复考察。比如社交媒体泄密这个点，可以出员工在朋友圈晒工位、在群里谈论工作内容、在短视频里拍办公环境等多种场景。连续三到五次出现同一个风险方向，员工才会从被动记忆变成条件反射。
实操建议方面，我给您几个可以直接用的做法。一是每次考核后做错题分析，把错误率高的题目单独拎出来，下一轮培训重点讲。二是每年更新题库，淘汰过时场景，补充新的风险类型，比如AI工具泄密、远程会议泄密这些新课题。三是可以设计AB卷，让相邻座位的员工拿到的题不同，从根本上杜绝抄答案。四是考核结果要跟岗位考核挂钩，但不是为了罚款，而是为了针对性辅导——考得差的单独补课，考得好的可以分享经验。
考核不是目的，提升意识才是。一套好的考核题，应该是员工的照妖镜，照出自己平时没注意的习惯。我常说一句话：保密考核如果把员工考睡着了，那一定是出题人的问题，不是员工的问题。出题人要多下功夫，把题出得活、出得真、出得有水平。
最后再提醒一句：题库定稿后，最好让不同岗位的人先试做一遍，看看有没有岗位盲区。财务和研发人员的风险场景完全不同，一刀切的题库不如不考。
北京企密安信息安全技术有限公司 培训专线：010-87562232 / px@baomiwang.com
