The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

En el lugar de trabajo moderno, la frontera entre la oficina y el hogar se ha disuelto. Para la mayoría de los trabajadores del conocimiento, la pregunta ya no es si trabajarán de forma remota, sino con qué frecuencia. Este cambio ha creado un nuevo panorama para la ciberseguridad, un campo dedicado a proteger la información digital contra el robo y el daño. Durante décadas, los sistemas de seguridad fueron diseñados con una suposición específica: que los empleados trabajan en un entorno de oficina controlado, utilizando computadoras de la empresa en redes de la empresa, bajo la mirada vigilante del personal de TI. Sin embargo, a medida que el trabajo se traslada a las salas de estar y oficinas en casa, las herramientas y la capacitación proporcionadas por las organizaciones a menudo permanecen estancadas en el pasado, todavía adaptadas para un escritorio que ya no existe para muchos. Esto crea una brecha entre lo que las personas sienten que es seguro y de lo que realmente están protegidas. Para entender esto, los investigadores observan cómo las personas perciben el riesgo —su sensación visceral sobre qué tan probable es un ciberataque— y cómo ese sentimiento se traduce en acción. Si una persona se siente insegura, lógicamente debería tomar más precauciones. Pero el comportamiento humano rara vez es tan simple; a veces, sentirse vulnerable sin una forma clara de solucionarlo conduce a la inacción o incluso a la evitación, en lugar de a la protección.

Un nuevo estudio de James Carlopio, de la Universidad de Queensland, investiga esta desconexión en la era del trabajo híbrido. La investigación se centra en un gran grupo de empleados de diecinueve organizaciones australianas diferentes, que van desde bancos y hospitales hasta agencias gubernamentales y organizaciones sin fines de lucro. El estudio encuestó a 588 trabajadores para comprender sus hábitos diarios, sus sentimientos sobre la seguridad y cómo interactúan con las reglas de seguridad. La pregunta central era directa: ¿se sienten las personas más seguras en la oficina que en casa, y cambia ese sentimiento su comportamiento? Los hallazgos revelan una paradoja sorprendente. Mientras que la mayoría de los empleados se sienten significativamente menos seguros trabajando desde casa que en la oficina, este aumento en la sensación de peligro no los lleva a seguir las reglas de seguridad con más cuidado. De hecho, los datos sugcia lo contrario: aquellos que se sienten más en riesgo en casa son en realidad menos propensos a recordar las políticas de seguridad y ligeramente más propensos a reutilizar contraseñas en diferentes sitios web.

El estudio comenzó mapeando la realidad de la fuerza laboral moderna. Encontró que el trabajo híbrido ya no es una solución temporal para una crisis, sino una forma de vida establecida. Entre aquellos que informaron cuánto tiempo pasan trabajando desde casa, casi todos lo hacen en algún grado. En promedio, estos empleados trabajan desde casa aproximadamente tres días de una semana estándar de cinco días. Esta no es una minoría pequeña de trabajadores remotos; es la mayoría. A pesar de esto, los sistemas de apoyo en su lugar parecen asumir que todos siguen en la oficina. Al pedirles que calificaran su seguridad en una escala del uno al diez, los empleados dieron a su entorno doméstico una puntuación promedio de 7.94, mientras que la oficina recibió una puntuación más alta de 8.64. Más de la mitad de los encuestados afirmaron explícitamente que creen que un ciberataque es más probable que ocurra cuando están trabajando desde casa. Este temor está bien fundamentado en la realidad de la situación; las redes domésticas suelen ser menos seguras y los dispositivos personales no siempre son gestionados por la empresa.

Sin embargo, la respuesta de la organización parece no dar en el blanco. El estudio encontró que los empleados calificaron la frecuencia de las discusiones de seguridad con sus gerentes como bastante baja, con un promedio de poco menos de cuatro de diez. La efectividad de la capacitación fue calificada como moderada, pero no hubo evidencia de que esta capacitación fuera diferente para los trabajadores de casa en comparación con los trabajadores de la oficina. El descubrimiento crítico fue que sentirse inseguro en casa no motivó a las personas a ser más cuidadosas. En cambio, los datos mostraron un vínculo negativo: cuanto menos seguro se sentía un empleado en casa, menos propenso era a recordar los detalles de las políticas de seguridad de su empresa. Este patrón sugiere que cuando las personas se sienten amenazadas pero no tienen herramientas específicas y prácticas para lidiar con ello, no se elevan ante la situación. En su lugar, pueden retirarse o simplemente ignorar el problema, una reacción que ocurre cuando el peligro percibido es alto pero la capacidad de hacer frente a él se siente baja.

La investigación también analizó si la cantidad de tiempo pasado en casa cambiaba estos sentimientos. Uno podría asumir que cuanto más tiempo pase alguien en casa, más inseguro se sentirá, creando un aumento constante en el miedo. El estudio encontró lo opuesto. La mayor brecha en la percepción de seguridad entre la oficina y el hogar se encontró, de hecho, entre los empleados que trabajaban desde casa solo ocasionalmente. Aquellos que trabajaban desde casa todos los días sentían una brecha de seguridad menor que aquellos que alternaban entre ida y vuelta. Esto sugiere que las personas que trabajan desde casa regularmente se han adaptado a su entorno; han construido hábitos y rutinas que las hacen sentir más seguras, incluso si los riesgos son técnicamente los mismos. Las personas que están más inquietas son aquellas que se mueven entre ubicaciones de manera irregular, quizás porque su configuración en casa y el apoyo que reciben no se han ajustado a sus necesidades específicas.

Una parte clave del estudio examinó si los gerentes podían solucionar este problema. Los investigadores probaron si la comunicación frecuente de un jefe sobre la seguridad podía calmar los temores de aquellos que se sentían inseguros y ayudarlos a seguir las reglas mejor. Los resultados mostraron que la comunicación de los gerentes sí ayudó, pero no de la manera que muchos esperarían. Hablar sobre seguridad hizo que las personas recordaran mejor las políticas, independientemente de qué tan en riesgo se sintieran. Sin embargo, esta comunicación no actuó como un escudo especial que detuviera el efecto negativo de sentirse inseguro. En otras palabras, tener a un gerente hablando de seguridad es útil, pero no cancela la confusión causada por sentirse vulnerable en casa. Los dos factores funcionan de forma independiente: se necesita tanto a un gerente que hable de seguridad como a un apoyo específico para el entorno del hogar para obtener los mejores resultados. Uno no puede simplemente reemplazar al otro.

El estudio también incluyó entrevistas donde se les preguntó a los empleados qué podría hacer la organización para protegerlos mejor. Sin que se les instara a hablar específicamente sobre el hogar, un número significativo de trabajadores lo mencionó por su cuenta. Mencionaron la necesidad de una mejor orientación sobre el Wi-Fi doméstico, conexiones de red privada virtual más confiables y una capacitación que estuviera adaptada a su entorno hogareño en lugar de escenarios genéricos de oficina. Algunos incluso pidieron gestores de contraseñas, una herramienta que ayuda a las personas a usar contraseñas únicas para cada sitio sin tener que recordarlas todas. Estos comentarios espontáneos confirmaron los hallazgos estadísticos: los empleados sienten que las medidas de seguridad actuales están diseñadas para una oficina que ya no ocupan a tiempo completo. Están pidiendo un sistema que se ajuste a sus vidas reales, no un sistema que asuma que están sentados en un escritorio corporativo.

Las implicaciones de estos hallazgos son claras para la forma en que las organizaciones deben abordar la seguridad en un mundo híbrido. El enfoque tradicional de decirle a los empleados "tengan cuidado" o realizar sesiones anuales de capacitación basadas en escenarios de oficina ya no es suficiente. El estudio sugiere que los programas de seguridad deben rediseñarse desde cero para adaptarse a la persona y al lugar donde realmente trabajan. Esto significa reconocer que el hogar es un entorno distinto con sus propios riesgos y que los trabajadores remotos ocasionales necesitan tanto apoyo específico como el personal de remoto a tiempo completo. También significa que los gerentes deben tener conversaciones que sean específicas para los desafíos de trabajar desde casa, en lugar de repetir reglas basadas en la oficina. El objetivo es pasar de un sistema que asume un trabajador único e ideal a uno que apoye la diversidad de la fuerza laboral moderna.

En última instancia, esta investigación destaca que la ciberseguridad no es solo un problema técnico de firewalls y actualizaciones de software; es un problema humano de diseño y comunicación. Cuando los empleados se sienten expuestos pero reciben herramientas que no se ajustan a su realidad, no se vuelven más vigilantes. Se vuelven menos comprometidos. El camino a seguir consiste en reconocer que la forma en que la gente trabaja ha cambiado permanentemente y que los sistemas diseñados para protegerlos deben cambiar con ello. Al alinear el apoyo de seguridad con las experiencias reales de los empleados, las organizaciones pueden cerrar la brecha entre sentirse seguro y estar seguro, asegurando que la protección viaje con el trabajador, ya sea que esté en una oficina corporativa o en una sala de estar.