帶新同事做一次裝置盤點¶

報到那天的一小時¶

新人下週報到。共用雲端硬碟的權限開好了，通訊軟體的群組也加了。沒有人跟他談過手上那台筆電與手機，以及他要接觸的東西需要什麼程度的準備。

談裝置準備的時機在權限開通之前。等他已經在群組裡看了三個星期的討論才開始談，前面三個星期的暴露已經發生了。

安排一小時，兩個人坐下來，用威脅模型清單走一遍。

清單上有三題：要保護什麼、要防誰、願意付出多少。

一個人自己填很容易填成罐頭答案。「保護個資」、「防駭客」、「盡量做」，三句話都對，而且沒有一句能推導出下一步。旁邊有人追問就不一樣了：保護什麼的「什麼」是哪幾個檔案在哪台機器上，防誰的「誰」是隨意的路人還是認識你的人，願意付出多少的「多少」是每天多花五分鐘還是換一台工作機。

追問的人不需要是資安專家，只要願意在對方說完之後再問一次「具體是哪一個」。

三題各自看都很合理，湊在一起就未必。幾種常見的湊不起來會被標出來。

最常見的是對手選到執法或國家級，成本卻填最低。另外幾種也很典型：要防親密關係的人卻沒把裝置列進要保護的東西、只防隨意路人卻打算大改工作流程、要保護消息來源的身分卻沒把聯絡關係列進來。

一題一題答的時候看不出衝突，五種答案並排列出來，落差馬上就跳出來。那份錯配清單才是一小時的產出，答案本身反而次要。

一份清單對應一個場景。工作與私人生活分開寫，各自都會更清楚，不要混成一份。

盤點完接到我的準備清單，它把站上的行動建議收成一份可勾的清單。

不要一次全勾。照錯配清單上的落差挑三到五項，那是接下來三個月做得完的量。剩下的留在清單上，之後回來再看。

新人離開的時候手上要有具體的事可以做。收到一份待讀的文章列表，多數人不會回頭去讀。

清單勾完，用 passkey 鑰匙建一把這個網站的 passkey，勾選的內容用它加密存起來，下次按一次指紋就看得到進度。

有一件事要說明白，沒有帳號、沒有伺服器，站上什麼都不存。組織看不到他勾了什麼，你也看不到。清單留在他自己手上，沒有人會收回去核對。

把 passkey 存進他自己的密碼管理器或鑰匙圈。之後本機檔案加密也可以用同一把當鑰匙，不用另外記密語。

盤點不是稽核，也不產生任何可以呈報的東西。組織要的合規文件另外處理，這一份是給他自己用的。

清單是活的。換工作、接新的專案、生活狀況變動，威脅模型就跟著變，答案放三年不回頭看等於沒有答案。半年後找他再坐一次，通常十五分鐘就走完。

任何一個要幫別人建立起點的場合都適用：

三個工具都在瀏覽器裡執行，答案與進度沒有離開他的裝置。頁面存進裝置之後沒有網路也能用，見離線閱讀。