The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

Dans le monde du travail moderne, la frontière entre le bureau et le domicile s'est estompée. Pour la plupart des travailleurs du savoir, la question n'est plus de savoir s'ils travailleront à distance, mais à quelle fréquence. Ce changement a créé un nouveau paysage pour la cybersécurité, un domaine dédié à la protection des informations numériques contre le vol et les dommages. Pendant des décennies, les systèmes de sécurité ont été conçus avec une hypothèse spécifique : que les employés travaillent dans un environnement de bureau contrôlé, utilisant des ordinateurs d'entreprise sur des réseaux d'entreprise, sous l'œil vigilant du personnel informatique. Cependant, à mesure que le travail se déplace dans les salons et les bureaux à domicile, les outils et la formation fournis par les organisations restent souvent ancrés dans le passé, toujours adaptés à un bureau qui n'existe plus pour beaucoup. Cela crée un fossé entre ce que les gens perçoivent comme étant sûr et ce dont ils sont réellement protégés. Pour comprendre cela, les chercheurs examinent comment les gens perçoivent le risque — leur intuition de la probabilité d'une cyberattaque — et comment ce sentiment se traduit en action. Si une personne se sent en insécurité, elle devrait logiquement prendre plus de précautions. Mais le comportement humain est rarement aussi simple ; parfois, se sentir vulnérable sans moyen clair de remédier à la situation mène à l'inaction ou même à l'évitement, plutôt qu'à la protection.

Une nouvelle étude de James Carlopio, de l'Université du Queensland, examine ce décalage à l'ère du travail hybride. La recherche se concentre sur un large groupe d'employés répartis dans dix-neuf organisations australiennes différentes, allant des banques et des hôpitaux aux agences gouvernementales et aux organisations à but non lucratif. L'étude a interrogé 588 travailleurs pour comprendre leurs habitudes quotidiennes, leurs sentiments de sécurité et la façon dont ils interagissent avec les règles de sécurité. La question centrale était directe : les gens se sentent-ils plus en sécurité au bureau qu'à la maison, et ce sentiment modifie-t-il leur comportement ? Les résultats révèlent un paradoxe surprenant. Bien que la majorité des employés se sentent nettement moins en sécurité en travaillant de chez eux qu'au bureau, ce sentiment de danger accru ne les conduit pas à suivre les règles de sécurité plus attentivement. En fait, les données suggèrent le contraire : ceux qui se sentent le plus à risque à la maison sont en réalité moins susceptibles de se souvenir des politiques de sécurité et sont légèrement plus enclins à réutiliser des mots de passe sur différents sites web.

L'étude a commencé par cartographier la réalité de la main-d'œuvre moderne. Elle a constaté que le travail hybride n'est plus une solution temporaire à une crise, mais un mode de vie établi. Parmi ceux qui ont déclaré le temps qu'ils passent à travailler de chez eux, presque tous le font à un certain degré. En moyenne, ces employés travaillent de chez eux environ trois jours par semaine sur une période standard de cinq jours. Il ne s'agit pas d'une petite minorité de travailleurs à distance ; c'est la majorité. Malgré cela, les systèmes de soutien en place semblent supposer que tout le monde est encore au bureau. Lorsqu'on leur a demandé d'évaluer leur sécurité sur une échelle de un à dix, les employés ont donné à leur environnement domestique un score moyen de 7,94, tandis que le bureau a reçu un score plus élevé de 8,64. Plus de la moitié des répondants ont explicitement déclaré qu'ils pensent qu'une cyberattaque est plus susceptible de se produire lorsqu'ils travaillent de chez eux. Cette crainte est fondée sur la réalité de la situation ; les réseaux domestiques sont souvent moins sécurisés et les appareils personnels ne sont pas toujours gérés par l'entreprise.

Cependant, la réponse des organisations semble passer à côté de la plaque. L'étude a révélé que les employés évaluent la fréquence des discussions sur la sécurité avec leurs responsables comme étant assez faible, avec une moyenne de juste en dessous de quatre sur dix. L'efficacité de la formation a été jugée modérée, mais il n'y avait aucune preuve que cette formation soit différente pour les travailleurs à domicile par rapport aux travailleurs de bureau. La découverte cruciale est que le sentiment d'insécurité à la maison n'a pas motivé les gens à être plus prudents. Au contraire, les données ont montré un lien négatif : plus un employé se sentait en insécurité à la maison, moins il était susceptible de se souvenir des détails des politiques de sécurité de son entreprise. Ce schéma suggère que lorsque les gens se sentent menacés mais ne disposent pas d'outils spécifiques et pratiques pour y faire face, ils ne relèvent pas le défi. Au lieu de cela, ils peuvent se retirer ou simplement ignorer le problème, une réaction qui survient lorsque le danger perçu est élevé mais que la capacité à y faire face semble faible.

La recherche a également examiné si le temps passé à la maison modifiait ces sentiments. On pourrait supposer que plus une personne passe de temps à la maison, plus elle se sentira en insécurité, créant une augmentation constante de la peur. L'étude a trouvé le contraire. Le plus grand écart de perception de la sécurité entre le bureau et la maison a été observé chez les employés qui travaillaient occasionnellement de chez eux. Ceux qui travaillaient de chez eux tous les jours ressentaient un écart de sécurité plus faible que ceux qui alternaient entre les deux lieux. Cela suggère que les personnes qui travaillent régulièrement de chez elles se sont adaptées à leur environnement ; elles ont construit des habitudes et des routines qui les font se sentir plus en sécurité, même si les risques sont techniquement les mêmes. Les personnes les plus perturbées sont celles qui circulent entre les lieux de manière irrégulière, peut-être parce que leur installation à domicile et le soutien qu'elles reçoivent ne se sont pas ajustés à leurs besoins spécifiques.

Une partie clé de l'étude a examiné si les gestionnaires pouvaient résoudre ce problème. Les chercheurs ont testé si une communication fréquente d'un supérieur concernant la sécurité pouvait calmer les craintes de ceux qui se sentaient en insécurité et les aider à mieux suivre les règles. Les résultats ont montré que la communication des gestionnaires aidait, mais pas de la manière dont on l'espérait. Parler de sécurité a permis aux gens de mieux se souvenir des politiques, quel que soit leur sentiment de risque. Cependant, cette communication n'a pas agi comme un bouclier spécial capable d'arrêter l'effet négatif du sentiment d'insécurité. En d'autres termes, avoir un manager qui parle de sécurité est utile, mais cela ne compense pas la confusion causée par le sentiment de vulnérabilité à la maison. Les deux facteurs fonctionnent indépendamment : vous avez besoin à la fois d'un manager qui parle de sécurité et d'un soutien spécifique pour l'environnement domestique pour obtenir les meilleurs résultats. L'un ne peut simplement pas remplacer l'autre.

L'étude comprenait également des entretiens où les employés étaient interrogés sur ce que l'organisation pourrait faire pour mieux les protéger. Sans être incités à parler spécifiquement du domicile, un nombre important de travailleurs l'ont abordé de leur propre initiative. Ils ont mentionné avoir besoin de meilleurs conseils sur le Wi-Fi domestique, de connexions VPN plus fiables et d'une formation adaptée à leur environnement de travail à domicile plutôt que de scénarios génériques de bureau. Certains ont même demandé des gestionnaires de mots de passe, un outil qui aide les gens à utiliser des mots de passe uniques pour chaque site sans avoir à tous les mémoriser. Ces commentaires spontanés ont confirmé les résultats statistiques : les employés sentent que les mesures de sécurité actuelles sont conçues pour un bureau qu'ils n'occupent plus à plein temps. Ils demandent un système qui correspond à leur vie réelle, et non un système qui suppose qu'ils sont assis à un bureau d'entreprise.

Les implications de ces conclusions sont claires pour la manière dont les organisations devraient aborder la sécurité dans un monde hybride. L'approche traditionnelle consistant à dire aux employés d'être « prudents » ou à organiser des sessions de formation annuelles basées sur des scénarios de bureau n'est plus suffisante. L'étude suggère que les programmes de sécurité doivent être repensés de fond en comble pour s'adapter à la personne et au lieu où elle travaille réellement. Cela signifie reconnaître que le domicile est un environnement distinct avec ses propres risques, et que les travailleurs occasionnels à distance ont tout autant besoin d'un soutien spécifique que le personnel travaillant à plein temps à distance. Cela signifie également que les gestionnaires doivent avoir des conversations spécifiques aux défis du travail à domicile, plutôt que de répéter des règles basées sur le bureau. L'objectif est de passer d'un système qui suppose un travailleur unique et idéal à un système qui soutient la réalité diversifiée de la main-d'œuvre moderne.

En fin de compte, cette recherche souligne que la cybersécurité n'est pas seulement un problème technique de pare-feu et de mises à jour logicielles ; c'est un problème humain de conception et de communication. Lorsque les employés se sentent exposés mais qu'on leur donne des outils qui ne correspondent pas à leur réalité, ils ne deviennent pas plus vigilants. Ils deviennent moins engagés. La voie à suivre consiste à reconnaître que la façon dont les gens travaillent a changé de manière permanente et que les systèmes conçus pour les protéger doivent changer avec elle. En alignant le soutien à la sécurité sur les expériences réelles des employés, les organisations peuvent combler le fossé entre le sentiment de sécurité et la sécurité réelle, garantissant ainsi que la protection accompagne le travailleur, qu'il soit dans un bureau d'entreprise ou dans un salon.