The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

No ambiente de trabalho moderno, a fronteira entre o escritório e o lar se dissolveu. Para a maioria dos trabalhadores do conhecimento, a questão não é mais se eles trabalharão remotamente, mas sim com que frequência. Essa mudança criou um novo cenário para a cibersegurança, um campo dedicado a proteger informações digitais contra roubo e danos. Durante décadas, os sistemas de segurança foram projetados com uma premissa específica: a de que os funcionários trabalham em um ambiente de escritório controlado, usando computadores da empresa em redes da própria empresa, sob o olhar atento da equipe de TI. No entanto, à medida que o trabalho se desloca para salas de estar e escritórios domésticos, as ferramentas e o treinamento fornecidos pelas organizações muitas vezes permanecem estagnados no passado, ainda adaptados para uma mesa que não existe mais para muitos. Isso cria uma lacuna entre o que as pessoas sentem ser seguro e do que elas estão realmente protegidas. Para entender isso, pesquisadores observam como as pessoas percebem o risco — seu sentimento intuitivo sobre a probabilidade de um ataque cibernético — e como esse sentimento se traduz em ação. Se uma pessoa se sente insegura, ela deveria logicamente tomar mais precauções. Mas o comportamento humano raramente é tão simples; às vezes, sentir-se vulnerável sem uma forma clara de resolver isso leva à inação ou até mesmo à esquiva, em vez de proteção.

Um novo estudo de James Carlopio, da Universidade de Queensland, investiga essa desconexão na era do trabalho híbrido. A pesquisa foca em um grande grupo de funcionários de dezenove organizações australianas diferentes, abrangendo desde bancos e hospitais até agências governamentais e organizações sem fins lucrativos. O estudo pesquisou 588 trabalhadores para compreender seus hábitos diários, seus sentimentos sobre segurança e como interagem com as regras de segurança. A pergunta central era direta: as pessoas se sentem mais seguras no escritório do que em casa, e esse sentimento muda seu comportamento? Os resultados revelam um paradoxo surpreendente. Embora a maioria dos funcionários se sra significativamente menos segura trabalhando de casa do que no escritório, esse aumento na sensação de perigo não os leva a seguir as regras de segurança com mais rigor. Na verdade, os dados sugerem o oposto: aqueles que se sentem mais em risco em casa são, na verdade, menos propensos a lembrar das políticas de segurança e ligeiramente mais propensos a reutilizar senhas em diferentes sites.

O estudo começou mapeando a realidade da força de trabalho moderna. Descobriu que o trabalho híbrido não é mais uma solução temporária para uma crise, mas um modo de vida estabelecido. Entre aqueles que relataram quanto tempo passam trabalhando de casa, quase todos o fazem em algum grau. Em média, esses funcionários trabalham de casa cerca de três dias em uma semana padrão de cinco dias. Esta não é uma minoria pequena de trabalhadores remotos; é a maioria. Apesar disso, os sistemas de suporte em vigor parecem assumir que todos ainda estão no escritório. Quando solicitados a avaliar sua segurança em uma escala de um a dez, os funcionários deram ao seu ambiente doméstico uma pontação média de 7,94, enquanto o escritório recebeu uma pontuação mais alta de 8,64. Mais da metade dos respondentes afirmou explicitamente acreditar que um ataque cibernético é mais provável de acontecer quando estão trabalhando de casa. Esse medo é bem fundamentado na realidade da situação; as redes domésticas são frequentemente menos seguras e os dispositivos pessoais nem sempre são gerenciados pela empresa.

No entanto, a resposta das organizações parece estar errando o alvo. O estudo descobriu que os funcionários avaliaram a frequência de discussões de segurança com seus gestores como bastante baixa, com uma média de pouco menos de quatro em dez. A eficácia do treinamento foi classificada como moderada, mas não houve evidência de que esse treinamento fosse diferente para trabalhadores remotos em comparação com trabalhadores de escritório. A descoberta crítica foi que sentir-se inseguro em casa não motivou as pessoas a serem mais cuidadosas. Em vez disso, os dados mostraram um vínculo negativo: quanto menos seguro um funcionário se sentia em casa, menos propenso era a recordar os detalhes das políticas de segurança de sua empresa. Esse padrão sugere que, quando as pessoas sentem uma ameaça, mas não possuem ferramentas específicas ou práticas para lidar com ela, elas não se elevam à altura do desafio. Em vez disso, podem recuar ou simplesmente ignorar o problema, uma reação que ocorre quando o perigo percebido é alto, mas a capacidade de lidar com ele parece baixa.

A pesquisa também analisou se o tempo passado em casa alterava esses sentimentos. Poderia se supor que, quanto mais tempo alguém passa em casa, mais inseguro se sentiria, criando um aumento constante no medo. O estudo encontrou o oposto. A maior lacuna na percepção de segurança entre o escritório e a casa foi encontrada entre os funcionários que trabalham de casa apenas ocasionalmente. Aqueles que trabalham de casa todos os dias sentiram uma lacuna de segurança menor do que aqueles que alternam entre os locais. Isso sugere que as pessoas que trabalham de casa regularmente se adaptaram ao seu ambiente; elas construíram hábitos e rotinas que as fazem se sentir mais seguras, mesmo que os riscos sejam tecnicamente os mesmos. As pessoas que estão mais inquietas são aquelas que se deslocam entre os locais de forma irregular, talvez porque sua configuração doméstica e o suporte que recebem não tenham se ajustado às suas necessidades específicas.

Uma parte fundamental do estudo examinou se os gestores poderiam resolver esse problema. Os pesquisadores testaram se a comunicação frequente de um chefe sobre segurança poderia acalmar os medos daqueles que se sentiam inseguros e ajudá-los a seguir as regras melhor. Os resultados mostraram que a comunicação dos gestores ajudou, mas não da maneira que muitos esperariam. Falar sobre segurança fez com que as pessoas lembras o das políticas, independentemente de quão arriscadas se sentissem. No entanto, essa comunicação não atuou como um escudo especial que impedisse o efeito negativo de se sentir inseguro. Em outras palavras, ter um gestor falando sobre segurança é útil, mas não anula a confusão causada pela vulnerabilidade em casa. Os dois fatores funcionam de forma independente: é necessário tanto um gestor que fale sobre segurança quanto um suporte específico para o ambiente doméstico para obter os melhores resultados. Um não pode simplesmente substituir o outro.

O estudo também incluiu entrevistas onde os funcionários foram questionados sobre o que a organização poderia fazer para protegê-los melhor. Sem serem instigados a falar especificamente sobre o ambiente doméstico, um número significativo de trabalhadores trouxe o assunto por conta própria. Eles mencionaram a necessidade de melhor orientação sobre Wi-Fi doméstico, conexões de rede privada virtual (VPN) mais confiáveis e treinamentos que fossem adaptados ao seu ambiente doméstico, em vez de cenários genéricos de escritório. Alguns até pediram gerenciadores de senhas, uma ferramenta que ajuda as pessoas a usar senhas únicas para cada site sem terem que memorizá-las todas. Esses comentários espontâneos confirmaram os achados estatísticos: os funcionários sentem que as atuais medidas de segurança são projetadas para um escritório que eles não ocupam mais em tempo integral. Eles estão pedindo um sistema que se ajuste às suas vidas reais, não um sistema que assume que estão sentados em uma mesa corporativa.

As implicações desses achados são claras para a forma como as organizações devem abordar a segurança em um mundo híbrido. A abordagem tradicional de dizer aos funcionários para "terem cuidado" ou realizar sessões anuais de treinamento baseadas em cenários de escritório não é mais suficiente. O estudo sugere que os programas de segurança precisam ser redesenhados do zero para se ajustarem à pessoa e ao lugar onde ela realmente trabalha. Isso significa reconhecer que o lar é um ambiente distinto com seus próprios riscos, e que os trabalhadores remotos ocasionais precisam de suporte específico tanto quanto os funcionários remotos em tempo integral. Significa também que os gestores precisam ter conversas que sejam específicas para os desafios de trabalhar de casa, em vez de repetir regras baseadas no escritório. O objetivo é passar de um sistema que assume um trabalhador único e ideal para um que apoie a diversidade da força de trabalho moderna.

Em última análise, esta pesquisa destaca que a cibersegurança não é apenas um problema técnico de firewalls e atualizações de software; é um problema humano de design e comunicação. Quando os funcionários se sentem expostos, mas recebem ferramentas que não se ajustam à sua realidade, eles não se tornam mais vigilantes. Eles se tornam menos engajados. O caminho a seguir reside em reconhecer que a maneira como as pessoas trabalham mudou permanentemente e que os sistemas projetados para protegê-las devem mudar com elas. Ao alinhar o suporte de segurança com as experiências reais dos funcionários, as organizações podem fechar a lacuna entre sentir-se seguro e estar seguro, garantindo que a proteção acompanhe o trabalhador, esteja ele em um escritório corporativo ou em uma sala de estar.