提示、技巧和培训：基于员工当前实践支持中职业办公室工作人员的反网络钓鱼意识

文献标题

Tips, Tricks, and Training: Supporting Anti-Phishing Awareness among Mid-Career Office Workers Based on Employees’ Current Practices

文献信息

• 主题领域: 办公场所网络钓鱼防范教育与学习
• 关键词: 网络钓鱼, 防钓鱼培训, 非正式学习, 分布式学习, 组织安全, 人因因素, 职场网络安全, 定性研究, IT部门, 工作环境

研究背景与问题

• 发现的问题或挑战: 在美国两所大学的中年行政办公人员中，只有不到21%的参与者接受过正式的反网络钓鱼培训，其主要知识来源为非正式渠道，如社交媒体和新闻故事。许多现有的防钓鱼教育方法未能适应用户需求，也未能全面有效地提升员工应对网络钓鱼的能力。
• 重要性: 网络钓鱼已成为全球范围内日益严重的网络威胁，91%的网络攻击始于钓鱼信息；加强员工网络钓鱼辨识和应对能力，对于提升组织整体网络安全能力至关重要。
• 研究动机与相关工作: 当前研究多集中于技术解决方案和自动化工具，而对员工实际接触和学习网络钓鱼知识的用户中心研究较少。研究的动机在于探索网钓教育的非正式学习模式与职场教育的整合以更好地应对该威胁。

解决方案

• 提出的解决方案:
  1. 将正式培训与非正式学习相结合，设计适合用户当前实践和需求的分布式学习途径。
  2. 通过“游击式学习”方法，利用分布式的教育资源和意外的学习时刻来提高防钓鱼知识的普及和用户参与度。
  3. 提供定制化建议，用多元化的形式传递高质量的教育内容，包括新闻故事、播客、社交媒体等。
• 创新之处:
  • 整合正式与非正式学习渠道，抓住用户日常接触的非传统教育空间。
  • 借助教育学中的游击学习理念，通过意外的方式引发用户的兴趣和反思，同时鼓励对教育内容的积极对话。
• 实施步骤与关键技术: 通过研究参与者的学习行为，提出了改进防钓鱼教育的策略，包括发送定时提示、推广丰富的学习资源（如播客、社交媒体）、设计直观易懂的用户操作指南和加强工作场所中的培训互动。

研究成果

• 具体成果:
  1. 调查发现中年办公室工作人员主要通过非正式渠道学习网络钓鱼知识，且大部分希望接受更加系统的培训。
  2. 提出基于游击学习原理的反钓鱼教育方法，为组织设计更适合员工的防钓鱼教育策略。
• 现有解决方案的优势:
  • 针对非网络安全专家用户的学习习惯提供量身定制的教育内容，有效补充现有的正式培训。
  • 提高学习材料的吸引力，例如通过讲故事和案例研究引发员工的兴趣。
• 实验或评估结果:研究中24位参与者中，普遍对多样化和分布式学习机会持积极态度，同时强调非正式学习的重要性和潜在问题。
• 局限性与未来方向:
  • 局限性: 研究范围集中在美国两所大学的员工，样本规模较小，可能无法完全反映其他行业和地区用户的观点与需求。
  • 未来方向:
    1. 进一步通过大规模调查验证针对不同用户群体的防钓鱼教育方式的有效性。
    2. 探索如何优化非正式学习内容的准确性以及如何通过更广泛的媒体渠道传播。

总结与建议

本文强调了联合正式与非正式学习的混合方法对提高员工钓鱼威胁意识和应对能力的重要性。为组织提出了四项具体实施建议：平衡意外性与日常性的信息分布、发送及时提醒、丰富学习资源形式、以及培养用户基本的防钓鱼能力。这些方法有助于提高企业内部门的教育质量并增强员工对钓鱼威胁的抵御能力。