使用匿名讨论平台支持组织中关于网络安全的开放对话

研究背景与问题

• 作者发现了哪些问题或挑战？

  • 尽管人是网络安全的关键，但员工往往将安全措施视为繁琐的负担。在组织内，员工通常不遵守信息安全政策，甚至会开发“影子安全”文化。这种现象使得组织的网络安全文化无法充分发挥作用。
  • 当前的方法（例如培训和钓鱼模拟）效果有限，未能有效提升员工的安全意识和行为。
  • 员工担忧讨论网络安全或报告事件会带来惩罚性后果，这限制了组织获取真实反馈的能力。

• 为什么这个问题很重要？

  • 90%的网络攻击始于人手，表明提高员工网络安全意识和行为对降低安全风险极为重要。
  • 技术上的安全措施无法完全取代员工的参与，因此需要新的方法来增进员工对网络安全政策的理解和接受。

• 研究动机与相关工作

  • 目前已有的大部分工作缺乏可扩展工具来评估组织内的网络安全文化。
  • 与其将人视为问题，应尝试通过“人类作为解决方案”的视角来开发支持性的网络安全文化。
  • 匿名讨论平台在其他工作场景中已显示出一定效用，但其在网络安全领域的应用仍未被探索。

解决方案

• 作者提出了哪些方法或解决方案？

  • 提出设计并试验一个匿名的在线讨论平台，允许员工自由讨论网络安全相关主题，包括政策、培训和事件。
  • 使用匿名性来缓解员工担忧，并鼓励开放和诚实的对话。

• 该解决方案的创新之处是什么？

  • 这是首次针对网络安全设计并部署了匿名员工语音平台。
  • 平台聚焦于让员工通过匿名讨论分享观点、学习经验，并直接向管理者提供有关现行网络安全政策和文化的反馈。

• 实施步骤是什么？使用了哪些关键技术？

  • 平台设计：平台分配随机用户名，并通过一次性链接登录，确保参与的完全匿名性。发帖需通过研究团队的人工审核以避免不当言论。
  • 部署：平台在一家大型英国学术机构内试运行2周，并每日发布新问题以促进讨论。
  • 数据收集与分析：收集和分析129个帖子的内容，通过反思性主题分析方法挖掘讨论中的主要观点和趋势。

研究成果

• 取得了哪些具体成果？

  • 讨论主题：
    • 用户集中讨论了网络安全培训、政策如双因素认证（2FA）、邮件警告标志等，以及这些措施对日常工作的影响。
    • 还讨论了员工在遵守网络安全政策中的行为偏差，如使用未授权的软件或未经批准的云存储。
  • 匿名性的重要性：
    • 参与者认为匿名性使得他们更容易提出看似“愚蠢”的问题或分享诚实的观点。
    • 然而，一些参与者提到，完全匿名性限制了具体事件的讨论和进一步的跟进。
  • 管理者的反应：
    • 管理层发现开放讨论有助于发现网络安全文化中的问题。例如，某些培训被认为效果不佳，某些政策被认为对工作效率有阻碍。
    • 管理层基于匿名反馈采取了具体行动，如公开过往安全事件的新信息。

• 与现有解决方案相比，它有哪些优势？

  • 较传统的面对面研讨会或问卷调查更可扩展，可跨组织范围收集多样化的员工反馈。
  • 推动了跨级别对话，使得员工能够开放讨论，管理层得以更直观地了解员工的安全文化与行为模式。

• 实验或评估结果是什么？

  • 平台促成了有价值的对话，提高了网络安全在员工心中的认知优先级。
  • 成功激发管理层反思沟通策略，并引导改进局部政策（例如解决2FA问题）。

• 局限性与未来方向

  • 局限性：
    • 完全匿名性限制了对具体事件或个别反馈的深入跟踪和行动。
    • 在试验规模上，由于特定学术机构的特性，可能难以通用化至其他行业。
  • 未来方向：
    • 探索混合匿名模式，允许根据需求选择公开或匿名发布内容，以平衡开放讨论与问题解决的需求。
    • 扩展部署范围至其他组织或行业，以进一步验证平台的适用性和效果。
    • 探讨匿名讨论潜在的社会学习影响，尤其是在网络安全行为上的规范塑造。

总结：

这项研究展示了匿名在线讨论平台在支持开放网络安全对话、提高员工网络安全意识及管理层获取真实反馈方面的潜力。研究发现尽管匿名性促进了开放度，但随后形成的具体干预措施受到一定限制。未来研究可以探索混合模式平台设计和更大规模的部署实验。