The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

在现代职场中，办公室与家庭之间的界限已经模糊。对于大多数知识型工作者而言，问题不再是是否会远程办公，而是远程办公的频率如何。这种转变催生了网络安全领域的新景观，该领域致力于保护数字信息免受窃取和破坏。几十年来，安全系统一直基于一个特定的假设进行设计：即员工在受控的办公室环境中工作，使用公司电脑并在公司网络下，处于 IT 人员的严密监督之下。然而，随着工作转移到客厅和家庭办公室，组织提供的工具和培训往往仍停留在过去，仍然是为那些对许多人来说已不再存在的办公桌量身定制的。这在人们感知到的安全感与实际受到的保护之间造成了差距。为了理解这一点，研究人员观察人们如何感知风险——即他们对网络攻击发生可能性的直觉——以及这种感觉如何转化为行动。如果一个人感到不安全，逻辑上他应该采取更多预防措施。但人类行为很少如此简单；有时，在没有明确解决办法的情况下感到脆弱，会导致无所作为甚至回避，而非采取保护措施。

由昆士兰大学的詹姆斯·卡洛皮奥（James Carlopio）开展的一项新研究调查了混合办公时代存在的这种脱节现象。该研究聚焦于来自澳大利亚 19 家不同机构的大规模员工群体，涵盖了从银行、医院到政府机构和非营利组织的广泛领域。该研究调查了 588 名员工，以了解他们的日常习惯、安全感以及他们如何与安全规则互动。核心问题非常直接：人们在办公室是否比在家里感觉更安全，以及这种感觉是否会改变他们的行为？研究结果揭示了一个令人惊讶的悖论。虽然大多数员工觉得在家里工作比在办公室工作显著缺乏安全感，但这种高度的危险感并未促使他们更仔细地遵守安全规则。事实上，数据表明情况恰恰相反：那些在家里感到风险最高的人，实际上不太可能记住安全政策，并且更有可能在不同的网站上重复使用密码。

研究首先绘制了现代劳动力现状的图景。它发现混合办公已不再是应对危机的临时方案，而是一种稳定的生活方式。在报告了居家办公时间比例的人群中，几乎所有人都在一定程度上进行远程办公。平均而言，这些员工每周标准五个工作日中有约三天是在家办公。这并非少数远程工作者的现象，而是大多数人的常态。尽管如此，现有的支持系统似乎仍假设每个人都在办公室。当被要求在 1 到 10 的量表上评估安全性时，员工对家庭环境的平均评分是 7.94，而办公室的评分则更高，为 8.64。超过一半的受访者明确表示，他们认为在居家办公时发生网络攻击的可能性更高。这种担忧在现实情况下是有根据的：家庭网络通常安全性较低，且个人设备并不总是受公司管理。

然而，组织的应对措施似乎并未切中要害。研究发现，员工评价与经理进行的安全性讨论频率相当低，平均仅略低于 10 分中的 4 分。培训有效性被评为中等，但没有证据表明这种培训对于居家办公者与办公室办公者有所区别。关键的发现是，在家里感到不安全并不会激励人们更加谨慎。相反，数据呈现出一种负相关关系：员工在家里感到越不安全，他们回忆起公司安全政策细节的可能性就越低。这种模式表明，当人们感受到威胁，却缺乏具体、实用的工具或指导来应对时，他们并不会挺身而出。相反，他们可能会退缩或干脆忽视问题，这种反应发生在感知到的危险很高但应对能力感较低时。

研究还探讨了居家办公的时间长短是否会改变这些感受。人们可能会假设，在家时间越长，安全感就会越低，从而产生持续上升的恐惧感。研究发现情况并非如此。在办公室与家庭感知的安全差距中，最大的差距出现在那些偶尔居家办公的员工身上。那些每天都居家办公的人，其感知到的安全差距比那些往返切换的人要小。这表明，经常居家办公的人已经适应了他们的环境；他们建立了习惯和常规，使自己感到更加安全，即便技术层面的风险其实是一样的。那些最感到不安的人是那些移动轨迹不规律的人，或许是因为他们的居家设置以及他们获得的支撑未能针对其特定需求进行调整。

研究的一个关键部分考察了经理是否能解决这个问题。研究人员测试了经理关于安全的频繁沟通是否能缓解那些感到不安全者的恐惧，并帮助他们更好地遵守规则。结果显示，经理的沟通确实有帮助，但并非以人们所希望的方式发挥作用。谈论安全性确实让人们更好地记住了政策，无论他们感受到的风险程度如何。然而，这种沟通并没有起到一种特殊的盾牌作用，能够抵消由于感到不安全而产生的负面影响。换句话说，有经理谈论安全性是有益的，但这并不能抵消因在家里感到脆弱而产生的困惑。这两个因素是独立运作的：你需要既有谈论安全性的经理，又有针对居家环境的具体支持，才能获得最佳效果。其中一个不能简单地取代另一个。

研究还包括了访谈环节，在访谈中，员工被问及组织可以做些什么来更好地保护他们。在没有被专门引导谈论居家办公的情况下，大量员工主动提到了这一点。他们提到需要更好的家用 Wi-Fi 指导、更可靠的虚拟专用网络（VPN）连接，以及针对其居家环境而非通用办公场景定制的培训。有些人甚至请求使用密码管理器，这种工具可以帮助人们为每个网站使用唯一的密码，而无需记忆所有密码。这些自发的评论证实了统计学上的发现：员工觉得目前的安保措施是为他们不再全职占据的办公室设计的。他们要求的是一套符合其真实生活的系统，而不是一套假设他们正坐在企业办公桌前的系统。

这些发现对组织在混合办公世界中应如何处理安全问题具有明确的启示。传统的“提醒员工保持警惕”或开展基于办公场景的年度培训的方法已不再足够。研究表明，安全计划需要从底层进行重新设计，以适应实际工作的个人和场所。这意味着要承认家庭是一个具有独特风险的特定环境，并且偶尔远程办公的员工与全职远程员工一样，同样需要特定的支持。这也意味着经理需要进行针对居家办公挑战的具体对话，而不是重复基于办公室的规则。目标是从一个假设存在单一理想员工的系统，转向一个能够支持多样化现代劳动力现实的系统。

最终，这项研究强调了网络安全不仅是一个关于防火墙和软件更新的技术问题，更是一个关于设计与沟通的人类问题。当员工感到暴露在风险中，却只能得到不符合其现实需求的工具时，他们并不会变得更加警觉，反而会变得参与度降低。前进的道路在于认识到人们的工作方式已经发生了永久性的改变，而旨在保护他们的系统也必须随之改变。通过将安全支持与员工的实际体验相对齐，组织可以缩小“感到安全”与“实际安全”之间的差距，确保无论是在企业办公室还是在客厅，保护都能伴随工作者左右。