《Behaviour & Information Technology》：What micro-businesses need: a user-centered approach to cybersecurity support
编辑推荐：
微型企业不成比例地暴露于网络威胁之下，但通用的“一刀切”网络安全指导往往未能反映其资源限制和运营现实，导致其服务不足。为弥合这一研究与实践之间的差距，本研究采用以用户为中心的设计（UCD）方法，综合并阐明英国微型企业的网络安全需求。研究人员对三个子群体进行了3
微型企业不成比例地暴露于网络威胁之下，但通用的“一刀切”网络安全指导往往未能反映其资源限制和运营现实，导致其服务不足。为弥合这一研究与实践之间的差距，本研究采用以用户为中心的设计（UCD）方法，综合并阐明英国微型企业的网络安全需求。研究人员对三个子群体进行了30次半结构化访谈：数字依赖型（Digitally Dependent）、数字基础型（Digitally Based）和数字赋能者（Digital Enablers）。主题分析生成了36个用户需求，采用英国政府数字服务（GDS）格式表述，并组织为四个类别：指导（Guidance）、态势（Posture）、资源（Resources）和投资回报（Return on Investment，ROI）。指导需求最为突出，凸显了对可操作、简单、定制化且值得信赖的支持的需求，这种支持应主动触达企业，避免使用恐惧诉求。虽然资源限制普遍存在，但子群体差异尤其在ROI和法规意识方面显现，强调了同质化中小企业（SME）参与策略的局限性。本研究并非提供关于采纳障碍的新发现或提出经过实证验证的干预措施，而是贡献了一个结构化的、以用户需求为主导的基准和一个文献知情的“机会空间”，用于设计更符合情境的网络安全支持。总体而言，研究结果表明，改善SME网络安全参与可能更少依赖于产生新知识，而更多依赖于将现有见解转化为可获取、可操作且与用户一致的支持形式。
论文解读文章
**研究背景、存在问题及研究动机**
中小企业（SMEs）尤其是微型企业，在经济中占据重要地位，例如占英国私营企业的99%、就业的60%和营业额的50%。然而，随着数字化加速（如后疫情时代线上工作和电子商务普及），微型企业面临日益增长的网络威胁。英国网络安全漏洞调查（2024）显示，91%的SMEs通过在线银行、客户数据存储等存在数字暴露，但其中43%报告过安全事件。尽管威胁普遍，微型企业往往低估自身风险，形成“隐匿安全”（security in obscurity）心态，导致网络安全投入不足。现有指导常为“一刀切”式通用建议，未考虑微型企业的资源限制（时间、资金、专业知识）和运营现实，因此采纳率低。为弥合研究与实践的鸿沟，需要一种更贴合用户真实需求的方法。本研究旨在采用以用户为中心的设计（UCD）方法，系统阐明英国微型企业的网络安全用户需求，为设计更具情境化的支持提供基准。
**研究内容、结论与意义**
研究人员对30名参与者进行半结构化访谈，包括10名数字依赖型（DD）、10名数字基础型（DB）和10名数字赋能者（DE）微企业决策者或顾问。通过主题分析，归纳出36个用户需求，并按英国政府数字服务（GDS）格式表达，归为四类：指导（Guidance）、态势（Posture）、资源（Resources）和投资回报（ROI）。指导需求最为突出（占所有引用的一半以上），强调对可操作、简单、定制化且值得信赖的支持的需求，并需避免恐惧诉求。资源限制普遍，但子群体差异在ROI和法规意识方面显著，例如DB企业更关注声誉保护，DE视角更强调法规合规和竞争优势。研究结论：改善SME网络安全参与的关键不在于发现新障碍，而在于将现有见解转化为可获取、可操作且与用户对齐的支持形式。本研究为设计更情境化的网络安全指导提供了结构化的用户需求基准和文献知情的“机会空间”。该论文发表在《Behaviour》（应指行为科学相关期刊，但原文未明确，此处按指示表述）。
**主要关键技术方法**
本研究采用半结构化访谈法，对30名英国微型企业参与者（来自东北英格兰和约克郡）进行约20分钟的在线视频访谈，招募通过在线筛选问卷和英国网络弹性中心（CRC）网络进行。访谈设计基于健康信念模型（HBM）的构念（如感知易感性、感知严重性、感知障碍、自我效能和行动线索），但分析采用归纳开放式编码。主题分析在Atlas.ti 25中完成，生成446条引文，通过迭代编组形成4个代码（指导、态势、资源、ROI）和36个子代码。为增强可靠性，进行了双编码，Krippendorff's alpha达到0.84，表明高度一致。用户需求采用GDS格式（“作为[用户类型]，我需要[用户想做的事]，以便[用户想做的原因]”）表达，并经过GDS标准验证。
**研究结果**
- **Cybersecurity Guidance（网络安全指导）**：包含17个用户需求，如“作为微型企业主，我需要可操作的网络安全指导，以便实际采取行动”。DD和DB群体广泛共识，但DE视角更强调“让威胁生动化”（n=6 vs DD n=2），DD更强调“自动触达”（n=6 vs DB n=1），DE更强调“了解合理花费”（n=5 vs DD n=1）。总体表明微型企业最需减少信息翻译工作，获得优先顺序清晰、认知负荷低的指导。
- **Cybersecurity Posture（网络安全态势）**：包含10个用户需求，如“我需要了解当前安全状况以便知道缺失之处”。各群体基本一致，但DE显著强调“治理/法规支持”（n=7），而DD无提及，DB仅n=2，表明对合规要求的意识差异。
- **Resources（资源）**：包含4个用户需求，如“我需要时间管理网络安全以便平衡业务优先事项”。所有群体一致，表明时间、资金、专业知识的限制普遍存在。
- **Return on Investment（ROI，投资回报）**：包含5个用户需求，存在最高比例的不一致（60%）。DB企业强烈强调“保护声誉”（n=9 vs DD n=1），DD更强调“保护企业免受伤害”（n=5 vs DB n=1），DE视角突出“赢得业务/竞争优势”（n=5）。这表明ROI感知随数字情境显著变化。
**讨论与结论**
研究结果确认了现有文献中关于指导、资源、ROI的已知障碍，但通过用户需求框架揭示了新细微差别：如微型企业不仅缺乏资金，更缺乏评估合理花费的基准；不仅需要信息，更需要减少认知负担的优先行动指导。子群体分析表明，数字依赖型和数字基础型企业需求差异显著，尤其ROI方面，同质化策略效果有限。基于文献，作者提出了针对各需求类别的设计考虑，如“威胁可视化”采用黑客视角叙事、“分步指南”整合优先顺序、“治理工具包”针对法规意识较低群体等。这些并非验证性干预，而是为了说明用户需求框架如何指导设计。研究局限性包括样本量小、区域局限、较短访谈时间可能遗漏部分需求，以及从CRC网络招募可能引入正向偏差。未来研究应评估这些需求在服务设计中的实际效果。
**研究结论翻译**
本研究着手采用以用户需求为主导、UCD指导的方法来理解微型企业网络安全，并将定性见解转化为结构化、设计相关的用户需求基准。主要贡献不在于识别全新障碍，而在于综合现有网络安全见解并以微型企业决策者的声音表达。通过将36个用户需求组织为指导、态势、资源和ROI四个类别，研究提供了一个翻译框架，供他人用于改进网络安全服务设计。研究结果表明，微型企业网络安全参与不单由威胁意识驱动，更多由对可操作、简单、情境化定制指导的需求驱动，这些指导需降低认知负荷并契合微型企业主严重的时间、资源和专业限制。子群体分析进一步表明，网络安全需求在数字依赖型和数字基础型情境下并非同质，与数字赋能者视角也不一致，强化了“一刀切”参与策略的局限性。需强调的是，识别出的文献知情解决方案是设计考虑而非验证性干预，用于说明用户需求框架如何支持更精准、更情境化的网络安全指导。因此，本研究应被视为为设计更用户对齐的网络安全干预打开“机会空间”的初始步骤。更广泛地，它将微型企业网络安全重新定义为不仅是技术能力差距或所有者行为问题，而是一个翻译设计挑战，支持的有效性取决于网络安全见解如何清晰沟通、结构化并与微型企业情境现实对齐。
