The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

Nel mondo del lavoro moderno, il confine tra l'ufficio e la casa si è dissolto. Per la maggior parte dei lavoratori della conoscenza, la domanda non è più se lavoreranno da remoto, ma quanto spesso. Questo cambiamento ha creato un nuovo panorama per la cybersicurezza, un campo dedicato alla protezione delle informazioni digitali dal furto e dal danno. Per decenni, i sistemi di sicurezza sono stati progettati con un'ipotesi specifica: che i dipendenti lavorassero in un ambiente d'ufficio controllato, utilizzando computer aziendali su reti aziendali, sotto l'occhio vigile del personale IT. Tuttavia, man mano che il lavoro si sposta nei soggiorni e negli uffici domestici, gli strumenti e la formazione forniti dalle organizzazioni rimangono spesso ancorati al passato, ancora adattati a una scrivania che per molti non esiste più. Ciò crea un divario tra ciò che le persone sentono essere sicuro e ciò da cui sono effettivamente protette. Per comprendere questo, i ricercatori osservano come le persone percepiscono il rischio — il loro istinto su quanto sia probabile un attacco informatico — e come quel sentimento si traduca in azione. Se una persona si sente insicura, dovrebbe logicamente prendere più precauzioni. Ma il comportamento umano è raramente così semplice; a volte, sentirsi vulnerabili senza un modo chiaro per rimediare porta all'inazione o persino all'evitamento, piuttosto che alla protezione.

Un nuovo studio di James Carlopio della University of Queensland indaga questo disallineamento nell'era del lavoro ibrido. La ricerca si concentra su un ampio gruppo di dipendenti appartenenti a diciannove diverse organizzazioni australiane, che spaziano da banche e ospedali a agenzie governative e organizzazioni non profit. Lo studio ha intervistato 588 lavoratori per comprendere le loro abitudini quotidiane, i loro sentimenti di sicurezza e il modo in cui interagiscono con le regole di sicurezza. La domanda centrale era semplice: le persone si sentono più sicure in ufficio che a casa, e questo sentimento cambia il loro comportamento? I risultati rivelano un paradosso sorprendente. Mentre la maggioranza dei dipendenti si sente significativamente meno sicura lavorando da casa rispetto a quanto lo sia in ufficio, questo senso di pericolo non li porta a seguire le regole di sicurezza con più attenzione. In effetti, i dati suggeriscono l'opposto: coloro che si sentono più a rischio a casa sono in realtà meno propensi a ricordare le policy di sicurezza e leggermente più propensi a riutilizzare le password su diversi siti web.

Lo studio è iniziato mappando la realtà della moderna forza lavoro. Ha scoperto che il lavoro ibrido non è più una soluzione temporanea per una crisi, ma un modo di vivere consolidato. Tra coloro che hanno riferito quanto tempo trascorrono lavorando da casa, quasi tutti lo fanno in misura variabile. In media, questi dipendenti lavorano da casa circa tre giorni su una settimana standard di cinque. Questa non è una piccola minoranza di lavoratori remoti; è la maggioranza. Nonostante ciò, i sistemi di supporto in atto sembrano presupporre che tutti siano ancora in ufficio. Quando richiesti di valutare la propria sicurezza su una scala da uno a dieci, i dipendenti hanno dato al loro ambiente domestico un punteggio medio di 7,94, mentre l'ufficio ha ricevuto un punteggio più alto di 8,64. Più della metà degli intervistati ha dichiarato esplicitamente di ritenere che un attacco informatico sia più probabile quando lavorano da casa. Questa paura è ben fondata nella realtà della situazione; le reti domestiche sono spesso meno sicure e i dispositivi personali non sono sempre gestiti dall'azienda.

Tuttavia, la risposta dell'organizzazione a questa paura sembra mancare il bersaglio. Lo studio ha rilevato che i dipendenti hanno valutato la frequenza delle discussioni sulla sicurezza con i propri manager come piuttosto bassa, con una media di poco inferiore a quattro su dieci. L'efficacia della formazione è stata valutata come moderata, ma non c'era evidenza che questa formazione fosse diversa per i lavoratori da casa rispetto ai lavoratori in ufficio. La scoperta critica è stata che sentirsi insicuri a casa non ha motivato le persone a essere più prudenti. Al contrario, i dati hanno mostrato un legame negativo: più un dipendente si sentiva insicuro a casa, meno era propenso a ricordare i dettagli delle policy di sicurezza della propria azienda. Questo schema suggerisce che quando le persone percepiscono una minaccia ma non dispongono di strumenti specifici e pratici per affrontarla, non si danno da fare. Invece, possono ritirarsi o semplicemente ignorare il problema, una reazione che avviene quando il pericolo percepito è alto ma la capacità di farvi fronte è bassa.

La ricerca ha anche esaminato se la quantità di tempo trascorsa a casa cambiasse questi sentimenti. Si potrebbe supporre che più tempo qualcuno passa a casa, più si senta insicuro, creando un aumento costante della paura. Lo studio ha trovato l'opposto. Il divario più grande nella percezione della sicurezza tra l'ufficio e la casa è stato in realtà riscontrato tra i dipendenti che lavorano da casa solo occasionalmente. Coloro che lavorano da casa ogni singolo giorno hanno percepito un divario di sicurezza minore rispetto a quelli che alternano le due modalità. Ciò suggerisce che le persone che lavorano regolarmente da casa si sono adattate al loro ambiente; hanno costruito abitudini e routine che le fanno sentire più sicure, anche se i rischi sono tecnicamente gli stessi. Le persone che sono più inquiete sono quelle che si spostano tra le posizioni in modo irregolare, forse perché la loro configurazione domestica e il supporto che ricevono non si sono adattati alle loro esigenze specifiche.

Una parte fondamentale dello studio ha esaminato se i manager potessero risolvere questo problema. I ricercatori hanno testato se una comunicazione frequente da parte di un capo riguardo alla sicurezza potesse calmare le paure di chi si sentiva insicuro e aiutarli a seguire meglio le regole. I risultati hanno mostrato che la comunicazione del manager ha aiutato, ma non nel modo in cui molti speravano. Parlare di sicurezza ha reso le persone più capaci di ricordare le policy, indipendentemente da quanto si sentissero a rischio. Tuttavia, questa comunicazione non ha agito come uno scudo speciale che ha bloccato l'effetto negativo del sentirsi insicuri. In altre parole, avere un manager che parla di sicurezza è utile, ma non annulla la confusione causata dal sentirsi vulnerabili a casa. I due fattori operano in modo indipendente: è necessario sia un manager che parli di sicurezza, sia un supporto specifico per l'ambiente domestico per ottenere i migliori risultati. Uno non può semplicemente sostituire l'altro.

Lo studio ha incluso anche interviste in cui ai dipendenti veniva chiesto cosa l'organizzazione potesse fare per proteggerli meglio. Senza essere sollecitati a parlare specificamente di casa, un numero significativo di lavoratori ne ha parlato spontaneamente. Hanno menzionato la necessità di una migliore guida sul Wi-Fi domestico, connessioni VPN più affidabili e una formazione che fosse su misura per il loro ambiente domestico piuttosto che basata su scenari generici d'ufficio. Alcuni hanno persino chiesto dei gestori di password, uno strumento che aiuta le persone a usare password uniche per ogni sito senza doverle ricordare tutte. Questi commenti spontanei hanno confermato i risultati statistici: i dipendenti sentono che le attuali misure di sicurezza sono progettate per un ufficio che non occupano più a tempo pieno. Chiedono un sistema che si adatti alle loro vite reali, non un sistema che presuppone che siano seduti a una scrivania aziendale.

Le implicazioni di queste scoperte sono chiare per il modo in cui le organizzazioni dovrebbero approcciare la sicurezza in un mondo ibrido. L'approccio tradizionale di dire ai dipendenti di "fare attenzione" o di condurre sessioni di formazione annuali basate su scenari d'ufficio non è più sufficiente. Lo studio suggerisce che i programmi di sicurezza debbano essere riprogettati da zero per adattarsi alla persona e al luogo in cui lavorano effettivamente. Ciò significa riconoscere che la casa è un ambiente distinto con i propri rischi, e che i lavoratori remoti occasionali hanno bisogno di un supporto specifico tanto quanto il personale che lavora da casa a tempo pieno. Significa anche che i manager devono avere conversazioni specifiche sulle sfide del lavoro da casa, piuttosto che ripetere le regole basate sull'ufficio. L'obiettivo è passare da un sistema che presuppone un unico lavoratore ideale a uno che supporti la diversificata realtà della moderna forza lavoro.

In definitiva, questa ricerca evidenzia che la cybersicurezza non è solo un problema tecnico di firewall e aggiornamenti software; è un problema umano di progettazione e comunicazione. Quando i dipendenti si sentono esposti ma ricevono strumenti che non si adattano alla loro realtà, non diventano più vigili. Diventano meno coinvolti. La strada da seguire consiste nel riconoscere che il modo in cui le persone lavorano è cambiato permanentamente e che i sistemi progettati per proteggerle devono cambiare di conseguenza. Allineando il supporto alla sicurezza con le esperienze reali dei dipendenti, le organizzazioni possono colmare il divario tra il sentirsi sicuri e l'essere sicuri, garantendo che la protezione viaggi con il lavoratore, sia esso in un ufficio aziendale o in un soggiorno.