The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

In de moderne werkplek is de grens tussen het kantoor en het huis vervaagd. Voor de meeste kenniswerkers is de vraag niet langer of ze op afstand zullen werken, maar hoe vaak. Deze verschuiving heeft een nieuw landschap gecreëerd voor cybersecurity, een vakgebied dat zich toelegt op het beschermen van digitale informatie tegen diefstal en schade. Decennialang werden beveiligingssystemen ontworink met een specifieke aanname: dat werknemers in een gecontroleerde kantooromgeving werken, gebruikmaken van bedrijfscomputers op bedrijfsnetwerken, onder het waakzame oog van IT-personeel. Echter, naarmate werk verplaatst naar woonkamers en thuiskantoren, blijven de tools en trainingen die organisaties bieden vaak in het verleden steken, nog steeds afgestemd op een bureau dat voor velen niet meer bestaat. Dit creënd een kloof tussen wat mensen veilig voelen en waar ze daadwerkelijk tegen beschermd worden. Om dit te begrijpen, kijken onderzoekers naar hoe mensen risico waarnemen — hun intuïtieve gevoel over hoe waarschijnlijk een cyberaanval is — en hoe dat gevoel vertaalt naar actie. Als iemand zich onveilig voelt, zou hij logischerwijs meer voorzorgsmaatregelen moeten nemen. Maar menselijk gedrag is zelden zo simpel; soms leidt het gevoel van kwetsbaarheid zonder een duidelijke manier om het op te lossen tot inactiviteit of zelfs vermijding, in plaats van bescherming.

Een nieuwe studie door James Carlopio van The University of Queensland onderzoekt deze discrepantie in het tijdperk van hybride werken. Het onderzoek richt zich op een grote groep werknemers uit negentien verschillende Australische organisaties, variërend van banken en ziekenhuizen tot overheidsinstanties en non-profitorganisaties. De studie ondervroeg 588 werkers om hun dagelijkse gewoonten, hun gevoelens over veiligheid en hun interactie met beveiligingsregels te begrijpen. De centrale vraag was recht door zee: voelen mensen zich veiliger op kantoor dan thuis, en verandert dat gevoel hun gedrag? De bevindingen onthullen een verrassende paradox. Hoewel de meerderheid van de werknemers zich aanzienlijk minder veilig voelt bij het werken vanuit huis dan in het kantoor, leidt dit verhoogde gevoel van gevaar er niet toe dat zij de beveiligingsregels nauwkeuriger opvolgen. Sterker nog, de gegevens suggeries het tegenovergestelde: zij die zich thuis het meest bedreigd voelen, zijn juist minder geneigd om zich de details van beveiligingsbeleid te herinneren en zijn iets eerder geneigd om wachtwoorden te hergebruiken op verschillende websites.

De studie begon met het in kaart brengen van de realiteit van de moderne beroepsbevolking. Het stelde vast dat hybride werken geen tijdelijke oplossing voor een crisis meer is, maar een gevestigde manier van leven. Onder degenen die rapporteerden hoeveel tijd zij thuis doorbrengen met werken, doet bijna iedereen dit in enige mate. Gemiddeld werken deze werknemers ongeveer drie dagen per standaard vijfdaagse werkweek vanuit huis. Dit is geen kleine minderheid van thuiswerkers; het is de meerderheid. Ondanks dit lijken de ondersteunende systemen die in de plaats zijn gekomen ervan uit te gaan dat iedereen nog op kantoor is. Wanneer gevraagd werd om hun veiligheid te beoordelen op een schaal van één tot tien, gaven werknemers hun thuisomgeving een gemiddelde score van 7,94, terwijl het kantoor een hogere score van 8,64 kreeg. Meer dan de helft van de respondenten verklaarde expliciet te geloven dat een cyberaanval waarschijnlijker is wanneer zij vanuit huis werken. Deze angst is goed onderbouwd in de realiteit van de situatie; thuisnetwerken zijn vaak minder veilig en persoonlijke apparaten worden niet altijd door het bedrijf beheerd.

De reactie van de organisatie op deze angst lijkt echter de plank mis te slaan. De studie vond dat werknemers de frequentie van beveiligingsgesprekken met hun managers vrij laag beoordeelden, met een gemiddelde van net onder de vier uit tien. De effectiviteit van de training werd als matig beoordeeld, maar er was geen bewijs dat deze training verschilde voor thuiswerkers vergeleken met kantoorwerkers. De cruciale ontdekking was dat het gevoel onveilig te zijn thuis mensen niet motiveerde om voorzichtiger te zijn. In plaats daarvan toonden de gegevens een negatieve link: hoe onveiliger een werknemer zich thuis voelde, hoe minder waarschijnlijk het was dat zij de details van het beveiligingsbeleid van hun bedrijf herinnerden. Dit patroon suggereert dat wanneer mensen een dreiging voelen maar niet over specifieke, praktische hulpmiddelen of begeleiding beschikken om ermee om te gaan, zij niet de uitdaging aangaan. In plaats daarvan kunnen zij zich terugtrekken of het probleem simpelweg negeren, een reactie die optreedt wanneer het waargenomen gevaar hoog is maar het vermogen om ermee te gaan omgaan laag aanvoelt.

Het onderzoek keek ook naar de vraag of de hoeveelheid tijd die thuis wordt doorgebracht deze gevoelens veranderde. Men zou kunnen aannemen dat hoe meer tijd iemand thuis doorbrengt, hoe onveiliger diegene zich zou voelen, wat een gestage toename van angst zou creëren. De studie vond het tegenovergestelde. De grootste kloof in de beleving van veiligheid tussen het kantoor en het huis werd gevonden onder werknemers die slechts incidenteel vanuit huis werkten. Degenen die elke dag vanuit huis werkten, ervoeren een kleinere veiligheidskloof dan degenen die heen en weer pendelden. Dit suggereert dat mensen die regelmatig vanuit huis werken, zich hebben aangepast aan hun omgeving; ze hebben gewoonten en routines opgebouwd die hen een veiliger gevoel geven, zelfs als de risico's technisch gezien hetzelfde zijn. De mensen die het meest onrustig zijn, zijn degenen die onregelmatigig tussen locaties wisselen, mogelijk omdat hun thuisopstelling en de steun die zij ontvangen niet zijn aangepast aan hun specifieke behoeften.

Een essentieel onderdeel van de studie onderzocht of managers dit probleem konden oplossen. De onderzoekers testten of frequente communicatie van een leidinggevende over beveiliging de angsten van degenen die zich onveilig voelden kon kalmeren en hen kon helpen de regels beter op te volgen. De resultaten toonden aan dat communicatie door een manager wel degelijk hielp, maar niet op de manier waarop velen hopen. Praten over beveiliging zorgde ervoor dat mensen de regels beter herinnerden, ongeacht hoe risicovol zij zich voelden. Deze communicatie fungeerde echter niet als een speciaal schild dat het negatieve effect van het gevoel onveilig te zijn tegenhield. Met andere woorden: het feit dat een manager over beveiliging praat is nuttig, maar het heft de verwarring die wordt veroorzaakt door het gevoel thuis kwetsbaar te zijn niet op. De twee factoren werken onafhankelijk van elkaar: je hebt zowel een manager nodig die over beveiliging praat als specifieke ondersteuning voor de thuisomgeving om de beste resultaten te behalen. Het één kan het ander niet simpelweg vervangen.

De studie omvatte ook interviews waarbij werknemers werden gevraagd wat de organisatie zou kunnen doen om hen beter te beschermen. Zonder hier specifiek op aangesproken te worden, brachten een aanzienlijk aantal werknemers het onderwerp thuis uit zichzelf ter sprake. Zij noemden de behoefte aan betere begeleiding bij thuis Wi-Fi, betrouwbaardere VPN-verbindingen en trainingen die op maat zijn gemaakt voor hun thuisomgeving in plaats van generieke kantoorscenario's. Sommigen vroegen zelfs om wachtwoordbeheerders, een hulpmiddel dat mensen helpt unieke wachtwoorden voor elke site te gebruiken zonder dat ze ze allemaal hoeven te onthouden. Deze spontane opmerkingen bevestigden de statistische bevindingen: werknemers hebben het gevoel dat de huidige beveiligingsmaatregelen zijn ontworpen voor een kantoor dat zij niet langer fulltime bezetten. Ze vragen om een systeem dat past bij hun werkelijke leven, niet om een systeem dat ervan uitgaat dat ze achter een zakelijk bureau zitten.

De implicaties van deze bevindingen zijn duidelijk voor hoe organisaties beveiliging in een hybride wereld moeten benaderen. De traditionele aanpak van werknemers vragen om "voorzichtig te zijn" of het jaarlijks uitvoeren van trainingen gebaseerd op kantoorscenario's is niet langer voldoende. De studie suggereert dat beveiligingsprogramma's vanaf de grond opnieuw moeten worden ontworpen om aan de persoon en de plek te voldoen waar zij daadwerkelijk werken. Dit betekent erkennen dat het huis een aparte omgeving is met eigen risico's, en dat incidentele thuiswerkers net zozeer specifieke ondersteuning nodig hebben als fulltime thuiswerkers. Het betekent ook dat managers gesprekken moeten voeren die specifiek gericht zijn op de uitdagingen van het werken vanuit huis, in plaats van het herhalen van kantoorregels. Het doel is om te bewegen van een systeem dat uitgaat van één ideale werknemer naar een systeem dat de diverse realiteit van de moderne beroepsbevolking ondersteunt.

Uiteindelijk benadrukt dit onderzoek dat cybersecurity niet alleen een technisch probleem is van firewalls en software-updates; het is een menselijk probleem van ontwerp en communicatie. Wanneer werknemers zich blootgesteld voelen maar hulpmiddelen krijgen die niet passen bij hun realiteit, worden zij niet waakzamer. Ze raken minder betrokken. De weg vooruit ligt in het erkennen dat de manier waarop mensen werken permanent is veranderd en dat de systemen die hen moeten beschermen daarmee mee moeten veranderen. Door beveiligingsondersteuning af te stemmen op de werkelijke ervaringen van werknemers, kunnen organisaties de kloof tussen het gevoel van veiligheid en daadwerkelijke veiligheid dichten, zodat de bescherming de werker volgt, of hij nu in een zakelijk kantoor zit of in een woonkamer.