在IT/ICS企业中，居家办公的安全性有多不理想？——为管理者提供的战略组织理论

《ACM Transactions on Management Information Systems》：How Suboptimal is Work-From-Home Security in IT/ICS Enterprises? A Strategic Organizational Theory for Managers

远程办公（WFH）在提升工作灵活性的同时，扩大了IT和工业控制系统（ICS）的网络安全漏洞。本文通过构建集中式最优策略与分布式纳什均衡模型，结合贝罗恩算法量化WFH模式下的安全子最优性，发现长期中安全缺陷增长趋缓至接近零，表明若员工安全投入具有时间累积效应，WFH模式的安全影响与线下办公相当。

　　

摘要

COVID-19大流行（尤其是第一波和第二波疫情）迫使许多企业（组织）不得不将其大部分员工（甚至全部员工）转变为居家办公（WFH）模式。行业数据显示，尽管居家办公模式带来了显著的工作灵活性等好处，但也增加了组织的网络安全风险，并导致IT系统及IT与OT系统（如工业控制系统ICS）中的网络安全漏洞数量增加。这引出了一个重要的根本性问题：居家办公模式是否总体上对IT和物联网驱动的ICS安全构成威胁？虽然漏洞分析和实证数据可能在一定程度上支持这一观点，但迄今为止尚未进行严格、基于实际需求的战略性成本效益分析来明确地证明：与非居家办公模式相比，居家办公模式是否以及在多大程度上会导致IT/ICS系统的网络安全性能下降。我们提出了一种新颖且严谨的战略方法，用于动态量化所有员工在异构居家办公环境中工作的IT/ICS组织的网络安全性能下降程度。首先，我们为居家办公模式设定一个基准——即在任何给定时间点上，通过集中规划实现的社会最优员工网络安全投入总量。接着，我们使用Breton的纳什均衡计算算法，为同一场景推导出分布式、随时间变化的员工网络安全投入的战略纳什均衡量。这两种估计值之间的差异反映了“搭便车”现象，即居家办公模式下IT/ICS组织的安全性能次优性。最后，我们比较了居家办公模式与非居家办公模式下的这种“搭便车”比例，以评估组织在居家办公模式下安全性能下降的幅度（下限）。通过大量的现实世界数据驱动的蒙特卡洛模拟，我们发现：随着时间的推移，相关安全性能次优性的最大增幅约为25%，但随后会迅速降至接近0%（这意味着居家办公模式下的安全性能与非居家办公模式相当），前提是员工的安全投入具有时间累积效应（即使是在短时间内也是如此）。