The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

現代の職場において、オフィスと自宅の境界線は消滅した。ほとんどの知識労働者にとって、問題はもはやリモートワークをするかどうかではなく、どの程度の頻度でするかということである。この変化は、情報の窃取や損傷からデジタル情報を守ることに特化した分野であるサイバーセキュリティに、新たな風景をもたらした。数十年の間、セキュリティシステムはある特定の前提に基づいて設計されてきた。それは、従業員が管理されたオフィス環境で、会社のコンピュータを使用し、ITスタッフの監視下にあるという前提である。しかし、仕事がリビングルームやホームオフィスへと移行するにつれ、組織によって提供されるツールやトレーニングは、多くの場合、もはや存在しないデスクに合わせて作られたまま、過去に取り残されている。これは、人々が感じている安全性と、実際に守られている範囲との間にギャップを生み出している。これを理解するために、研究者たちは人々がリスクをどのように認識するか（サイバー攻撃が起こる可能性についての直感的な感覚）と、その感覚がいかにして行動へとつながるかを調査している。もし人が不安を感じているのであれば、論理的にはより多くの予防策を講じるはずである。しかし、人間の行動はそれほど単純ではない。時には、明確な解決策がないまま脆弱性を感じることが、保護のための行動ではなく、無策や回避につながることもある。

クイーンズランド大学のジェームス・カルピオによる新しい研究は、ハイブリッドワークの時代におけるこの断絶を調査している。この研究は、銀行や病院から政府機関、非営利団体に至るまで、オーストラリアの19の異なる組織にわたる大規模な従業員グループに焦点を当てている。研究では、588人の労働者を対象に、彼らの日常的な習慣、安全に関する感情、そしてセキュリティ・ルールとの関わり方を調査した。中心となる問いは明快であった。人々はオフィスにいる時よりも自宅にいる時の方が安全だと感じているのか、そしてその感覚は行動を変化させるのか、という点である。調査結果は驚くべきパラドックスを明らかにしている。大多数の従業員は、オフィスで働くよりも自宅で働く時の方が著しく安全性が低いと感じているが、この高まった危険感は、彼らにセキュリティ・ルールをより注意深く遵守させることにはなっていない。実際、データは逆の結果を示唆している。自宅でのリスクを最も高く感じている人々は、実は会社のセキュリティ・ポリシーを記憶している可能性が低く、異なるウェブサイト間でパスワードを使い回す傾向がわずかに高いのである。

研究は、現代の労働力の現実をマッピングすることから始まった。調査によれば、ハイブリッドワークはもはや危機の際の一時的な解決策ではなく、定着した生活様式となっている。自宅で過ごす時間を報告した人々のうち、ほぼ全員が何らかの形で自宅での勤務を行っている。平均して、これらの従業員は標準的な週5日間のうち、約3日間を自宅で過ごしている。これはリモートワーカーが少数の例外であることを意味しない。これは多数派なのである。それにもかかわらず、既存のサポート体制は、依然として全員がオフィスにいることを前提としているようだ。安全性を1から10の尺度で評価するよう求められた際、従業員は自宅環境に平均7.94、オフィスにはそれより高い8.64というスコアをつけた。回答者の半数以上が、自宅で働いている時の方がサイバー攻撃が起こりやすいと考えていると明言した。この恐怖は、現実の状況に基づいた妥当なものである。家庭用ネットワークはしばしばセキュリティが弱く、個人のデバイスは必ずしも会社によって管理されているわけではないからである。

しかし、組織によるこの恐怖への対応は、的外れであるようだ。研究によると、マネージャーとのセキュリティに関する議論の頻度はかなり低く、平均して10点満点中4点未満であった。トレーニングの有効性は中程度と評価されたが、このトレーニングがオフィス勤務者と自宅勤務者で異なっているという証拠は見られなかった。決定的な発見は、自宅で不安を感じることが、人々をより注意深くさせる動機付けにはならなかったことである。むしろ、データは負の相関を示していた。自宅での安全性が低いと感じる従業員ほど、会社のセキュリティ・ポリシーの詳細を想起できる可能性が低かったのである。このパターンは、人々が脅威を感じながらも、それに対処するための具体的かつ実践的なツールやガイダンスを持っていない場合、彼らは事態に立ち向かうことはないことを示唆している。代わりに、彼らは撤退するか、あるいは単に問題を無視してしまう。これは、知覚される危険は高いものの、対処能力が低いと感じられる時に起こる反応である。

また、研究では自宅で過ごす時間の長さがこれらの感情を変化させるかどうかも調査した。自宅で過ごす時間が長ければ、より安全性が低いと感じ、恐怖が着実に増していくと予想されるかもしれない。しかし、研究結果はその逆であった。オフィスと自宅の間の知覚された安全性の差が最も大きかったのは、実は時折自宅で働く従業員の間であった。毎日自宅で働く人々は、行き来する人々よりも、オフィスと自宅の間の安全性の差を小さく感じていた。これは、定期的に自宅で働く人々は環境に適応しており、たとえ技術的なリスクが同じであっても、より安全だと感じられる習慣やルーチンを築いていることを示唆している。最も落ち着かない状態にあるのは、不規則に場所を移動する人々であり、おそらく彼らのホームセットアップや受けられるサポートが、彼らの特定のニーズに適合していないためであろう。

研究の重要な部分として、マネージャーがこの問題を解決できるかどうかが検証された。研究者は、上司からの頻繁なセキュリティに関するコミュニケーションが、不安を感じている人々の恐怖を和らげ、ルールをより遵守させる助けになるかどうかをテストした。結果は、マネージャーによるコミュニケーションは役に立つものの、多くの人が期待するような形ではなかった。セキュリティについて話すことは、人々がどれほどリスクを感じているかにかかわらず、ポリシーの記憶を助ける効果があった。しかし、このコミュニケーションは、感じている不安がもたらす負の影響を食い止める特別な盾としては機能しなかった。言い換えれば、マネージャーがセキュリティについて話すことは有用であるが、それは自宅での脆弱性によって引き起こされる混乱を打ち消すものではない。つまり、これら二つの要因は独立して機能している。つまり、最高の成果を得るためには、セキュリティについて話すマネージャーと、自宅環境に対する具体的なサポートの両方が必要なのである。一方が他方の代わりになることはできない。

研究には、組織が自分たちをより良く守るために何ができるかを尋ねるインタビューも含まれていた。自宅について特に促されることなく、かなりの数の労働者が自発的にその話題を持ち出した。彼らは、自宅のWi-Fiに関するより良いガイダンス、より信頼性の高いVPN接続、そして一般的なオフィス向けのシナリオではなく、自宅の環境に合わせたトレーニングを必要としていると述べた。中には、すべてのサイトで固有のパスワードを使用するためのツールであるパスワードマネージャーを求める者もいた。これらの自発的なコメントは、統計的な発見を裏付けていた。従業員は、現在のセキュリティ対策が、もはやフルタイムでは占有していないオフィス向けに設計されていると感じているのである。彼らは、事務机に座っていることを前提としたシステムではなく、彼らの実際の生活に適合するシステムを求めている。

これらの知材が示唆する内容は、ハイブリッドワークの世界におけるセキュリティへのアプローチとして明確である。従来の「注意深くあれ」と指示したり、オフィスのシナリオに基づいた年次のトレーニングを実施したりする手法では、もはや不十分である。研究は、セキュリティプログラムを、人が実際に働いている場所と人に合わせてゼロから再設計する必要があることを示唆している。これは、自宅が独自の性質を持つリスクを伴う環境であることを認め、時折リモートで働く人々も、フルタイムのリモートワーカーと同様に具体的なサポートを必要としていることを認めることを意味する。また、マネージャーは、オフィスのルールを繰り返すのではなく、自宅での仕事に伴う課題に特化した会話を行う必要がある。目標は、単一の理想的な労働者を想定するシステムから、多様な現代の労働力の実態をサポートするシステムへと移行することである。

結局のところ、この研究は、サイバーセキュリティが単なるファイアウォールやソフトウェア更新といった技術的な問題ではなく、デザインとコミュニケーションという人間的な問題であることを浮き彫りにしている。従業員が露出していると感じながら、彼らの現実に合わないツールを与えられたとき、彼らはより警戒心を強めることはない。彼らはむしろ、関心を失ってしまうのである。進むべき道は、働き方が永久に変わったことを認識し、彼らを守るためのシステムもそれに合わせて変化させなければならないという認識にある。セキュリティ・サポートを従業員の実際の経験と一致させることで、組織は「感じている安全性」と「実際の安全性」の間の溝を埋め、企業オフィスにいようとリビングルームにいようと、保護が労働者と共に移動することを確実にするのである。