小组讨论和角色扮演训练对自我效能感、求助行为及报告网络钓鱼邮件的影响：来自混合设计实验的证据

文献标题

The Effects of Group Discussion and Role-playing Training on Self-efficacy, Support-seeking, and Reporting Phishing Emails: Evidence from a Mixed-design Experiment

文献信息

• 主题领域: 网络安全、信息安全教育
• 关键词: 自我效能感、支持寻求、举报钓鱼邮件、角色扮演训练、小组讨论、混合设计实验、反钓鱼培训

研究背景与问题

• 发现的问题或挑战:

  • 钓鱼攻击是常见的网络犯罪，会利用人的社会工程弱点，以获取机密信息或感染设备。
  • 组织内仍有许多员工在应对钓鱼邮件时没有足够的警觉，尤其是在技术防御措施失败时，人的防御能力是最后一道防线。
  • 现有的钓鱼邮件教育效果不一致，尤其是嵌入式模拟钓鱼测试有时难以显著提高员工的网络安全防御能力。

• 问题的重要性:

  • 钓鱼攻击往往是更严重网络攻击的入口，例如勒索软件、知识产权窃取等，每年为组织带来巨大的经济损失。
  • 提升员工对钓鱼邮件的防御意识和能力具有迫切性，是增强组织信息安全水平的重要一步。

• 研究动机与相关工作:

  • 现有研究建议采用更加互动且实践性强的反钓鱼培训方法。
  • 过往研究中关于角色扮演与小组讨论的钓鱼训练显示了积极的潜力，但缺乏在真实工作情境中的实际验证。
  • 本研究设计并验证了这两种互动培训方式的效果，重点探讨它们对提高员工自我效能感、支持寻求意图以及举报钓鱼邮件行为的影响。

解决方案

• 方法与解决方案:

  • 设计并实施了两种培训：小组讨论和角色扮演。
  • 小组讨论：员工分享钓鱼经验，讨论如何识别钓鱼邮件和有效应对方法。
  • 角色扮演：参与者模拟黑客设计钓鱼邮件，并让其他组辨识邮件是否可疑。

• 创新之处:

  • 提出了支持寻求意图（Support-seeking Intention）作为评价反钓鱼培训的新指标。
  • 通过混合设计实验（包含三组对照，三次时间点的测量，以及模拟钓鱼测试）科学评估了培训效果。

• 实施步骤与技术:

  1. 设计两种培训，基于真实的钓鱼邮件案例进行双向互动。
  2. 招募并随机分配105名参与者到小组讨论、角色扮演和控制组。
  3. 在培训开始前（Q1）、培训后立即（Q2）、以及7天后（Q3）对参与者进行问卷调查。
  4. 在实验期间设计并发送三次模拟钓鱼测试，评估参与者在实际工作环境中的行为与反应。

研究成果

• 具体成果:

  • 小组讨论和角色扮演均显著提高了参与者的自我效能感和支持寻求意图。
  • 角色扮演培训对提高支持寻求意图的效果要强于小组讨论。
  • 两种培训均促使参与者在模拟钓鱼测试中报告了更多的钓鱼邮件，与对照组相比报告数显著增多。

• 与现有解决方案的比较与优势:

  • 与简单的在线教育或嵌入式钓鱼测试相比，这两种培训方式更具互动性，并且更加适用于真实工作情境。
  • 角色扮演通过“模拟黑客”的方式，激发了参与者从攻击者视角理解钓鱼邮件，增强了他们的防范意识和主动寻求支持的意愿。

• 实验或评估结果:

  • 小组讨论立即提升了自我效能感（p < 0.001），这种提升在7天后仍然显著。
  • 角色扮演在7天后显著提高了支持寻求意图（p < 0.01），并在一定程度上减少了参与者的“点击钓鱼链接”的行为。
  • 超过80%的参与者表示两种培训对其工作有实际帮助，并表示愿意推荐给同事。

• 局限性与未来方向:

  • 局限性包括研究仅在一所大学环境中进行，结果未必普遍适用；参与者可能倾向于技术背景较强者。
  • 未对长期效能及过度自信的潜在副作用进行深入研究。
  • 未来工作可能包括：
    1. 长期跟踪培训效果，并验证在其他组织环境中的适用性。
    2. 探讨如何更好地结合故事分享与安全技能提升。
    3. 进一步优化以降低高效能参与者的“天花板效应”，并扩展至更广泛的人群背景。