网络安全意识运动：为何它们没能改变行为？

  • 关联论文：1901.02672
  • 作者：flyP
  • 更新：2026-10-07

一句话结论

意识运动之所以反复失败,不是因为"宣传不够",而是因为它们几乎只做了"告知风险"这一半——而行为改变真正需要的前半段是"人能理解并执行建议",后半段是"人有动机与意愿去做",这两个前置条件在大多数运动的设计里被彻底遗漏。

解决的真问题

企业和监管机构每年在网络安全意识活动上投入巨大——海报、月度邮件、钓鱼模拟、入职培训。但实证数据显示,这些活动对长期行为改善的边际效果接近零:同一批员工往往在反复培训后依然点击钓鱼链接、复用弱口令、把工作密码写在便签上。该论文(Jason R. C. Nurse 等,2015 年发表于 International Conference on Cyber Security for Sustainable Society,2019 年 arXiv 公开版本被引约 291 次)要回答的核心问题是:为什么以"提高意识"为目标的运动,在 30 多年的实践后,仍然不能稳定地改变人的安全行为?

论文把视角从工程层(防火墙、补丁、检测)抬升到心理学与行为科学层,主张:仅靠"告诉用户风险存在"不足以改变行为;行为改变需要的是用户具备能力(capability)与动机(motivation),而能力本身又拆分为"能理解"和"能应用"两个子条件。

核心方法:把心理学模型作为审计框架

论文没有提出新算法或新系统,而是提出一个诊断与设计框架——把多种心理学行为模型(Theory of Planned Behavior、Protection Motivation Theory、Health Belief Model 等)的"行为前置条件(antecedents)"抽取出来,作为评估任何意识运动的尺子。

具体步骤可以概括为:

  1. 建立行为前置条件清单。从多个心理学模型中归纳出行为发生需要满足的前置条件,大致可形式化为:

行为发生 B ⇒ 能力 C = {能理解 U, 能应用 A} ⇒ 动机 M = {态度 Att, 主观规范 SN, 感知行为控制 PBC, 感知威胁严重性 Sev, 感知易感性 Sus, 响应效能 RE, 自我效能 SE}

任一前置条件缺失,B 都难以稳定出现。

  1. 用清单审计既有运动。把任意意识运动(无论是英国 NCSC 的"Cyber Aware"还是非洲某国的公众宣传)放进上述清单逐条检验,看哪些前置条件被覆盖、哪些被遗漏。

  2. 抽取"成功要素 vs 失败要素"。从跨文化案例(英国 vs 非洲)中归纳共性:成功的运动往往同时打"认知—能力—动机"三段;失败的运动普遍只打"认知"这一段,即只告诉受众"风险是什么"。

  3. 复审说服技术,尤其是 fear appeals。论文专门讨论了"恐惧诉求"(fear appeals)的有效性边界:当威胁严重性 + 易感性 + 自我效能 + 响应效能四个变量都足够高时,fear appeals 才能引发保护性行为;一旦受众感到自己无力应对,恐惧反而会导致否认、回避或麻木——这正是大量失败案例的共同机制。

关键证据与示例

论文给出的不是数值实验,而是跨模型综述 + 跨文化案例对比:

  • 说服技术适用性矩阵:fear appeals、gain framing、loss framing、social proof、modeling 等技术,被逐一映射到不同心理学模型中,标注其前置条件满足度。
  • 英国案例:NCSC 的"Cyber Aware"运动被分析其覆盖面(广,但深度有限),指出其主要诉诸认知而非能力/动机。
  • 非洲案例:肯尼亚、卢旺达等地的公众网络安全宣传被分析,指出文化差异(集体主义 vs 个人主义、信任结构)显著影响运动设计,直接照搬英国模板效果有限。
  • 失败模式库:从文献中归纳的多类失败模式——信息过载、一次性活动而非持续干预、缺乏反馈闭环、忽视受众既有心智模型等——被组织成可对照的清单。

亮点与局限

亮点

  1. 跨学科视角:把"安全意识"这一传统 IT 教育话题,锚定到行为科学的成熟理论体系,让设计有据可依而非凭直觉。
  2. 审计框架可操作:前置条件清单可被任何 CISO、合规团队、监管机构拿来直接审视自己的意识项目。
  3. 跨文化样本:英国 vs 非洲的对比让框架不至于沦为西方中心的设计手册。
  4. 高被引影响力:OpenAlex 显示被引约 291 次,说明该框架在学界与工业界都被当作讨论起点。
  5. 明确指出 fear appeals 的边界:这一提醒在今天仍常被忽视——大量企业的钓鱼模拟通报仍只渲染恐惧(账号被盗、罚款、客户流失),但不给员工具体的"我能做什么"步骤,反而加剧恐惧疲劳。

局限

  1. 没有量化结果:作为概念性/综述性论文,没有给出"用此框架改造的运动比对照组行为改变率高 X%"这种 A/B 数据。该指标在原文未明确提供。
  2. 框架基于 2015 年前的心理学模型,未引入更新的行为科学进展(如 EAST 框架、Fogg Behavior Model、COM-B 模型等近年更主流的整合模型)。
  3. 文化样本有限:虽然点了英国和非洲,但每地只举少量案例,跨文化推广的稳健性论证薄弱。
  4. 缺乏落地度量:框架告诉你"该覆盖什么",但没给出"覆盖度怎么测""行为改变怎么度量"的操作指标——这部分在原文未明确。
  5. 对组织内部政治、激励结构、合规驱动的工程文化等真实组织行为变量着墨较少,而这些恰恰是很多企业意识项目失效的真正原因。

对工程落地的启发

虽然论文偏管理与行为科学,但对做安全工程的团队有三条非常具体的启示:

  1. 把意识项目当行为工程做,而非内容营销。当你设计一次钓鱼模拟后的"再教育邮件"时,先问:这条信息是在满足 U(能理解)、A(能应用)、M(动机) 哪一项?一项都没满足就属于无效触达。
  2. fear appeals 必须配"我能做什么"。每条恐惧型通报必须紧跟一条具体动作清单,否则会触发否认/回避——这对自动化运营(如 SOAR 触发的告警邮件)同样适用。
  3. 建立行为度量,而非覆盖率度量。统计"培训完成率"意义有限,真正应跟踪的是高风险动作的发生率(口令复用、忽略 MFA 提示、点击可疑附件)随时间的变化曲线。
  4. 文化变量要纳入设计。跨国/跨地区团队的运动模板不能"一键复制",需根据信任结构、权力距离、不确定性规避等维度做本地化。

与同方向工作的关系

  • 上承:心理学经典行为模型(Ajzen 的 TPB、Rogers 的 PMT、Becker 的 HBM)。
  • 平行:后续学界对 fear appeals 局限性的进一步研究(如 Witte 的 Extended Parallel Process Model)、行为安全(Behavior-Based Safety)在工业安全中的实践。
  • 下启:近年 COM-B 模型(Michie 等)在行为改变干预设计中的主导地位;Nudge 理论在安全合规设计中的渗透;以及把行为度量纳入安全 KPI 的工业实践。
  • 互补:与本文互补的是技术论文——例如检测用户是否真正遵循密码策略的方案、UEBA 中"行为漂移"指标——这些是从系统侧度量行为,与本文从设计侧优化行为,形成闭环。

适合谁读

  • CISO 与安全意识项目经理:拿框架直接审计现有项目,识别被忽视的前置条件。
  • 合规与隐私团队:理解监管要求(培训必须做)背后的行为科学逻辑,把"完成合规"升级为"改变行为"。
  • UX/产品安全人员:把行为前置条件作为威胁建模的"用户侧"补充。
  • 行为经济学/安全心理学方向研究生:作为入门综述,看清 2015 年前后该领域的方法论与未解问题。
  • HR 与学习发展(L&D)团队:设计安全模块时引入跨学科依据,而非外包给通用课件库。

工程视角的 6 个具体坑点(三段式)

# 现象 影响 修复
1 钓鱼通报只用恐惧文案("您的账号已被入侵!"),不附操作步骤 受众产生否认/回避,长期恐惧疲劳 每条恐惧通报紧跟 1 条具体动作(改哪里、找谁、何时完成)
2 培训完成率被当作唯一 KPI,从不跟踪真实行为(口令复用率、敏感数据外发率) 项目看似推进,实际无效,问题被顶上 引入行为 KPI 仪表板,把完成率与漂移指标并列展示
3 跨国/跨地区团队共用一套课件,忽视权力距离与信任结构差异 集体主义文化下匿名上报机制形同虚设 在模板上至少做 3 档本地化变体(高/中/低权力距离)
4 一次性年度培训,无后续强化触达 知识在 6–8 周后显著衰减 改为月度微学习 + 季度钓鱼模拟 + 半年度复盘
5 运动信息密集堆叠,一次性推送数十条建议 认知超载,行动瘫痪 单次触达只传达 1 个核心动作,符合"能应用 A"前置条件
6 fear appeals 滥用,但缺少自我效能/响应效能配套 引发恐慌而非保护行为 在恐惧诉求后必配"如果您收到这类邮件,可以做 X / 不做 Y"两行操作指南

写作依据:arXiv 公开摘要 + 论文卡元数据(被引 291,OpenAlex ID W2497179706)+ 2015 年 ICCSSS 会议原文。量化数据(如"行为改变率提升 X%")在原文未明确提供,故未填入具体百分比。