The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

आधुनिक कार्यस्थल में, कार्यालय और घर के बीच की सीमा समाप्त हो गई है। अधिकांश ज्ञान श्रमिकों (knowledge workers) के लिए, प्रश्न अब यह नहीं है कि वे रिमोट रूप से काम करेंगे या नहीं, बल्कि यह है कि वे कितनी बार करेंगे। इस बदलाव ने साइबर सुरक्षा के लिए एक नया परिदृश्य तैयार किया है, जो डिजिटल जानकारी को चोरी और क्षति से बचाने के लिए समर्पित एक क्षेत्र है। दशकों तक, सुरक्षा प्रणालियों को एक विशिष्ट धारणा के साथ डिज़ाइन किया गया था: कि कर्मचारी एक नियंत्रित कार्यालय वातावरण में काम करते हैं, कंपनी के कंप्यूटर का उपयोग करते हैं और कंपनी के नेटवर्क पर होते हैं, जो आईटी कर्मचारियों की निगरानी में होता है। हालाँकि, जैसे-जैसे काम लिविंग रूम और होम ऑफिस में स्थानांतरित हो रहा है, संगठनों द्वारा प्रदान किए गए उपकरण और प्रशिक्षण अक्सर अतीत में ही अटके हुए हैं, जो अभी भी उस डेस्क के लिए अनुकूलित हैं जो अब कई लोगों के लिए मौजूद ही नहीं है। यह उस अंतर को पैदा करता है जो लोग सुरक्षित महसूस करते हैं और जिससे वे वास्तव में सुरक्षित हैं, के बीच। इसे समझने के लिए, शोधकर्ता यह देखते हैं कि लोग जोखिम को कैसे देखते हैं—कि साइबर हमले की संभावना के बारे में उनकी सहज भावना क्या है—और वह भावना कार्रवाई में कैसे बदलती है। यदि कोई व्यक्ति असुरक्षित महसूस करता है, तो उसे तार्किक रूप से अधिक सावधानियां बरतनी चाहिए। लेकिन मानवीय व्यवहार इतना सरल नहीं होता; कभी-कभी, स्पष्ट समाधान के बिना असुरक्षित महसूस करना सुरक्षा के बजाय निष्क्रियता या यहाँ तक कि बचाव (avoidance) की ओर ले जाता है।

द यूनिवर्सिटी ऑफ क्वींसलैंड के जेम्स कार्लोपियो द्वारा किया गया एक नया अध्ययन हाइब्रिड कार्य के इस युग में इस विसंगति की जांच करता है। यह शोध उन्नीस विभिन्न ऑस्ट्रेलियाई संगठनों के एक बड़े समूह पर केंद्रित है, जिनमें बैंक और अस्पताल से लेकर सरकारी एजेंसियां और गैर-लाभकारी संस्थाएं शामिल हैं। अध्ययन में 588 श्रमिकों का सर्वेक्षण किया गया ताकि उनकी दैनिक आदतों, सुरक्षा के बारे में उनकी भावनाओं और वे सुरक्षा नियमों के साथ कैसे बातचीत करते हैं, इसे समझा जा सके। केंद्रीय प्रश्न सीधा था: क्या लोग कार्यालय की तुलना में घर पर अधिक सुरक्षित महसूस करते हैं, और क्या यह भावना उनके व्यवहार को बदल देती है? निष्कर्ष एक आश्चर्यजनक विरोधाभास को प्रकट करते हैं। जबकि अधिकांश कर्मचारी कार्यालय की तुलना में घर से काम करते समय काफी कम सुरक्षित महसूस करते हैं, यह बढ़ी हुई खतरे की भावना उन्हें सुरक्षा नियमों का अधिक सावधानी से पालन करने के लिए प्रेरित नहीं करती है। वास्तव में, डेटा सुझाव देता है कि इसके विपरीत: जो लोग घर पर सबसे अधिक जोखिम महसूस करते हैं, वे वास्तव में कंपनी की सुरक्षा नीतियों को याद रखने में कम सक्षम होते हैं और विभिन्न वेबसाइटों पर पासवर्ड का पुन: उपयोग करने की संभावना थोड़ी अधिक रखते हैं।

अध्ययन ने आधुनिक कार्यबल की वास्तविकता का मानचित्रण करके शुरुआत की। इसने पाया कि हाइब्रिड कार्य संकट के लिए एक अस्थायी समाधान नहीं है, बल्कि जीवन जीने का एक स्थापित तरीका बन गया है। उन लोगों में से जिन्होंने यह बताया कि वे घर से कितना समय बिताते हैं, लगभग सभी किसी न किसी स्तर पर ऐसा करते हैं। औसतन, ये कर्मचारी एक मानक पांच-दिवसीय सप्ताह में लगभग तीन दिन घर से काम करते हैं। यह रिमोट श्रमिकों का कोई छोटा अल्पसंख्यक समूह नहीं है; यह बहुमत है। इसके बावजूद, मौजूद सहायता प्रणालियाँ यह मानकर चलती हैं कि सभी अभी भी कार्यालय में हैं। जब एक से दस के पैमाने पर अपनी सुरक्षा को रेट करने के लिए कहा गया, तो कर्मचारियों ने अपने घरेलू वातावरण को औसतन 7.94 का स्कोर दिया, जबकि कार्यालय को 8.64 का उच्च स्कोर मिला। आधे से अधिक उत्तरदाताओं ने स्पष्ट रूप से कहा कि उनका मानना है कि जब वे घर से काम कर रहे होते हैं, तो साइबर हमला होने की संभावना अधिक होती है। यह डर उनकी स्थिति की वास्तविकता में जायज है; होम नेटवर्क अक्सर कम सुरक्षित होते हैं, और व्यक्तिगत उपकरणों का प्रबंधन हमेशा कंपनी द्वारा नहीं किया जाता है।

हालाँकि, इस डर के प्रति संगठन की प्रतिक्रिया लक्ष्य से चूकती हुई प्रतीत होती है। अध्ययन में पाया गया कि कर्मचारियों ने अपने प्रबंधकों के साथ सुरक्षा चर्चाओं की आवृत्ति को काफी कम आंका, जिसका औसत दस में से केवल चार से कम था। प्रशिक्षण प्रभावशीलता को मध्यम माना गया, लेकिन इस बात का कोई प्रमाण नहीं था कि यह प्रशिक्षण कार्यालय जाने वाले कर्मचारियों की तुलना में घर से काम करने वालों के लिए अलग था। महत्वपूर्ण खोज यह थी कि घर पर असुरक्षित महसूस करना लोगों को अधिक सावधान होने के लिए प्रेरित नहीं करता था। इसके बजाय, डेटा ने एक नकारात्मक संबंध दिखाया: कर्मचारी घर पर जितना अधिक असुरक्षित महसूस करता था, उसके कंपनी की सुरक्षा नीतियों के विवरण को याद रखने की संभावना उतनी ही कम थी। यह पैटर्न बताता है कि जब लोग किसी खतरे को महसूस करते हैं लेकिन उनके पास उससे निपटने के लिए विशिष्ट, व्यावहारिक उपकरण या मार्गदर्शन नहीं होता है, तो वे अवसर का लाभ नहीं उठाते हैं। इसके बजाय, वे पीछे हट सकते हैं या बस समस्या को अनदेखा कर सकते हैं, यह एक ऐसी प्रतिक्रिया है जो तब होती है जब कथित खतरा उच्च होता है लेकिन उससे निपटने की क्षमता कम महसूस होती है।

शोध ने यह भी देखा कि घर में बिताए गए समय से इन भावनाओं में कोई बदलाव आता है या नहीं। कोई यह मान सकता है कि कोई व्यक्ति घर में जितना अधिक समय बिताएगा, वह उतना ही असुरक्षित महसूस करेगा, जिससे डर में निरंतर वृद्धि होगी। अध्ययन ने इसके विपरीत पाया। कार्यालय और घर के बीच कथित सुरक्षा का सबसे बड़ा अंतर वास्तव में उन कर्मचारियों में पाया गया जो केवल कभी-कभार घर से काम करते थे। जो लोग हर दिन घर से काम करते थे, वे आने-जाने वाले (switched back and forth) कर्मचारियों की तुलना में सुरक्षा के मामले में कम अंतर महसूस करते थे। यह सुझाव देता है कि जो लोग नियमित रूप से घर से काम करते हैं, उन्होंने अपने वातावरण के अनुकूल ढलना सीख लिया है; उन्होंने ऐसी आदतें और दिनचर्या बना ली है जो उन्हें अधिक सुरक्षित महसूस कराती है, भले ही तकनीकी जोखिम समान हों। जो लोग सबसे अधिक असहज हैं, वे वे हैं जो अनियमित रूप से स्थानों के बीच आते-जाते रहते हैं, शायद इसलिए क्योंकि उनका होम सेटअप और उन्हें मिलने वाला सहयोग उनकी विशिष्ट आवश्यकताओं के अनुसार समायोजित नहीं हुआ है।

अध्ययन के एक प्रमुख हिस्से में यह जांचा गया कि क्या प्रबंधक इस समस्या को ठीक कर सकते हैं। शोधकर्ताओं ने परीक्षण किया कि क्या सुरक्षा के बारे में बॉस की ओर से बार-बार संचार करने से असुरक्षित महसूस करने वालों के डर को शांत किया जा सकता है और उन्हें नियमों का पालन करने में मदद मिल सकती है। परिणामों ने दिखाया कि प्रबंधक का संचार मदद तो करता है, लेकिन उस तरह से नहीं जैसा कि बहुत से लोग उम्मीद करते हैं। सुरक्षा के बारे में बात करने से लोगों को नीतियां बेहतर तरीके से याद रहती हैं, चाहे वे कितना भी जोखिम महसूस करें। हालाँकि, यह संचार एक विशेष ढाल के रूप में कार्य नहीं कर सका जिसने असुरक्षित महसूस करने के नकारात्मक प्रभाव को रोका। दूसरे शब्दों में, किसी प्रबंधक का सुरक्षा के बारे में बात करना मददगार है, लेकिन यह घर पर असुरक्षित महसूस करने से होने वाली उलझन को खत्म नहीं करता है। दो कारक स्वतंत्र रूप से काम करते हैं: आपको एक ऐसे प्रबंधक की आवश्यकता है जो सुरक्षा के बारे में बात करे और साथ ही घर के वातावरण के लिए विशिष्ट सहायता की भी आवश्यकता है ताकि सर्वोत्तम परिणाम प्राप्त हो सकें। एक दूसरे का स्थान नहीं ले सकता।

अध्ययन में साक्षात्कार भी शामिल थे जहाँ कर्मचारियों से पूछा गया था कि संगठन उन्हें बेहतर ढंग से सुरक्षित रखने के लिए क्या कर सकता है। बिना घर के बारे में विशेष रूप से बोलने के लिए प्रेरित किए, उल्लेखनीय संख्या में कर्मचारियों ने स्वयं इस विषय को उठाया। उन्होंने होम वाई-फाई पर बेहतर मार्गदर्शन, अधिक विश्वसनीय वर्चुअल प्राइवेट नेटवर्क (VPN) कनेक्शन और उनके घरेलू वातावरण के अनुरूप प्रशिक्षण की आवश्यकता का उल्लेख किया। कुछ लोगों ने पासवर्ड मैनेजर की भी मांग की, जो एक ऐसा टूल है जो लोगों को हर साइट के लिए अद्वितीय पासवर्ड उपयोग करने में मदद करता है ताकि उन्हें सब कुछ याद रखने की आवश्यकता न पड़े। इन स्वतःस्फूर्त टिप्पणियों ने सांख्यिकीय निष्कर्षों की पुष्टि की: कर्मचारियों को लगता है कि वर्तमान सुरक्षा उपाय एक ऐसे कार्यालय के लिए डिज़ाइन किए गए हैं जो अब वे पूर्णकालिक रूप से नहीं घेरते। वे एक ऐसी प्रणाली की मांग कर रहे हैं जो उनके वास्तविक जीवन के अनुकूल हो, न कि एक ऐसी प्रणाली जो यह मानती है कि वे एक कॉर्पोरेट डेस्क पर बैठे हैं।

इन निष्कर्षों के निहितार्थ हाइब्रिड दुनिया में सुरक्षा के प्रति संगठनों के दृष्टिकोण के लिए स्पष्ट हैं। कर्मचारियों को केवल "सावधान रहने" के लिए कहना या कार्यालय के परिदृश्यों पर आधारित वार्षिक प्रशिक्षण सत्र चलाना अब पर्याप्त नहीं है। अध्ययन सुझाव देता है कि सुरक्षा कार्यक्रमों को शून्य से फिर से डिज़ाइन करने की आवश्यकता है ताकि वे उस व्यक्ति और उस स्थान के अनुकूल हों जहाँ वे वास्तव में काम करते हैं। इसका अर्थ है यह स्वीकार करना कि घर एक विशिष्ट वातावरण है जिसके अपने जोखिम हैं, और जो लोग कभी-कभार रिमोट काम करते हैं, उन्हें भी पूर्णकालिक रिमोट कर्मचारियों की तरह ही विशिष्ट सहायता की आवश्यकता है। इसका मतलब यह भी है कि प्रबंधकों को घर से काम करने की चुनौतियों के लिए विशिष्ट बातचीत करने की आवश्यकता है, न कि केवल कार्यालय-आधारित नियमों को दोहराने की। लक्ष्य एक ऐसी प्रणाली से हटकर एक ऐसी प्रणाली की ओर बढ़ना है जो एक एकल, आदर्श कार्यकर्ता के बजाय विविध कार्यबल की वास्तविकता का समर्थन करती है।

अंततः, यह शोध इस बात पर प्रकाश डालता है कि साइबर सुरक्षा केवल फायरवॉल और सॉफ्टवेयर अपडेट की तकनीकी समस्या नहीं है; यह डिजाइन और संचार की एक मानवीय समस्या है। जब कर्मचारी खुद को असुरक्षित महसूस करते हैं लेकिन उन्हें ऐसे उपकरण दिए जाते हैं जो उनकी वास्तविकता के अनुकूल नहीं होते, तो वे अधिक सतर्क नहीं होते। वे कम सक्रिय (engaged) हो जाते हैं। आगे का रास्ता यह पहचानने में निहित है कि काम करने का तरीका स्थायी रूप से बदल गया है और उन्हें सुरक्षित रखने के लिए डिज़ाइन किए गए सिस्टम को भी इसके साथ बदलना होगा। सुरक्षा सहायता को कर्मचारियों के वास्तविक अनुभवों के साथ संरेखित करके, संगठन सुरक्षित महसूस करने और वास्तव में सुरक्षित होने के बीच के अंतर को पाट सकते हैं, यह सुनिश्चित करते हुए कि सुरक्षा कार्यकर्ता के साथ चले, चाहे वह कॉर्पोरेट कार्यालय में हो या लिविंग रूम में।