《Computers & Security》：Effectiveness of a competence- and game-based learning environment using a digital educational escape room for promoting cybersecurity competence in apprentices
编辑推荐：
**摘要**
人类行为仍然是日常网络安全事件中的主要攻击面，因为员工在使用数字工具、进行沟通以及在技术密集型工作场所处理敏感信息时，会做出快速、常规化的决策，这使得网络安全能力（cybersecurity competence, CSC）成为一种基础性的职
**摘要**
人类行为仍然是日常网络安全事件中的主要攻击面，因为员工在使用数字工具、进行沟通以及在技术密集型工作场所处理敏感信息时，会做出快速、常规化的决策，这使得网络安全能力（cybersecurity competence, CSC）成为一种基础性的职场能力。为培养CSC，技术中介培训需要超越意识层面，使学习者能够在逼真、交互式情境中练习识别、评估和应对安全相关情境，尤其是在职业教育和培训（vocational education and training, VET）的职业入门阶段，此时常规行为和心智模型仍在形成之中。因此，各类组织越来越多地采用基于游戏的安全教育、培训和意识（security education, training, and awareness, SETA）项目，例如数字教育逃生室（digital educational escape room, DEER），但关于CSC持续提升的纵向证据仍然稀缺。本研究针对这一空白，在一项以VET学徒为对象的整群随机对照试验（N = 154）中，评估了一个使用DEER的基于能力与游戏的学习环境。研究采用经过验证的情境判断测验（situational judgment test, SJT）在三个时间点评估CSC，并通过潜在变化分数模型（latent change score model, LCSM）分析干预效应。干预组在前测中的潜在CSC初始水平较高（b = 0.71, p = .023, β = .23），且从前测到后测的短期增益显著大于对照组（b = 1.97, p < .001, β = .66）。从后测到追踪测量，这一优势显著衰减（b = ?0.96, p = .028, β = ?.40）。研究结果表明，使用DEER的基于能力与游戏的学习环境为VET提供了一种有前景的、以实践为导向的SETA形式，同时也强调了需要强化课程（booster sessions）和以迁移为重点的练习，以确保长期效果。
**论文解读：基于能力与游戏的数字教育逃生室对学徒网络安全能力的干预效果研究**
**1. 研究背景与问题提出**
随着数字技术深度融入学习、工作与社会参与，系统性培养学习者的数字能力已成为教育系统的核心任务。数字能力包含信息与数据素养、沟通与协作、数字内容创作、安全与问题解决等多个维度，其中安全维度尤为关键，因为它直接关系到个体能否在数字环境中避免对自己或他人造成伤害。在工作场所中，网络安全事件频发，人为因素往往是主要攻击面：员工在快速、常规化的决策中，可能因点击恶意链接、使用弱密码或不当处理敏感信息，导致数据泄露、财务损失、运营中断乃至组织声誉受损。这些事件本质上具有社会技术性，人的行为与技术漏洞共同构成了风险源。
从教育视角看，在不良安全习惯固化之前培养安全导向的常规行为至关重要，尤其是从学校到工作的过渡阶段。职业教育与培训（vocational education and training, VET）学徒是这一阶段的关键目标群体：他们初入职场，开始使用组织信息系统、通过数字渠道协作、处理客户或员工数据，并逐渐形成工作常规。然而，早期数字工作实践往往受便利性、社会规范、时间压力和心智模型不完整等因素影响，存在显著安全漏洞。因此，学徒不仅需要安全意识，更需要发展网络安全能力（cybersecurity competence, CSC），即在真实情境中识别威胁、评估后果、选择并实施适当对策的能力。
然而，传统安全意识项目（如海报、简报）缺乏互动性和深度，难以促成行为改变。基于游戏和模拟的培训方法因其主动性和情境性而受到关注，数字教育逃生室（digital educational escape room, DEER）作为其中的新兴形式，将问题解决任务嵌入真实网络安全场景，被认为适合能力本位学习。但现有证据在教学设计理论依据、方法严谨性和研究对象范围上仍存在局限，尤其缺乏纵向追踪证据。本研究针对这一空白，开发并评估了一个面向VET学徒的、基于能力与游戏的DEER学习环境，并通过整群随机对照试验检验其短期与长期效果。
**2. 研究设计与方法**
研究采用两组整群随机对照试验设计，干预组（intervention group, IG）接受90分钟的整合性教学干预，包括简报（briefing）、个人游戏（gameplay）和汇报（debriefing）三个阶段；对照组（control group, CG）仅完成评估。样本来自德国两所职业学校，共154名商业类学徒（工业管理助理和办公管理助理），其中干预组84人，对照组70人。基线时两组在年龄、网络攻击经历和SETA项目参与方面无显著差异，但性别和学历分布存在显著差异，后续分析中作为协变量进行了稳健性检验。
CSC采用经过验证的情境判断测验（situational judgment test, SJT）进行测量，涵盖三个威胁事件：密码管理不安全（A1）、数据保护与安全泄露（A2）和社会工程（A3）。每个测量时点使用三个平行testlet（对应三个威胁向量），每个testlet包含7个维度（威胁意识→战术检查与跟进）各1题，满分14分，总分为42分。研究在三个时间点施测：前测（t0，干预前一周）、后测（t1，干预后一周）、追踪（t2，干预后八周）。数据分析采用潜在变化分数模型（latent change score model, LCSM），将CSC建模为三个时间点的潜在因子，检验干预对两个变化区间（t0→t1和t1→t2）的效应，并使用全信息最大似然法处理缺失数据。测量不变性检验支持跨组严格不变性。
**3. 主要结果**
**描述性统计**：干预组在前测、后测和追踪中的平均CSC得分均高于对照组，但干预组从后测到追踪出现一定衰减。
**测量不变性**：多组验证性因子分析支持干预组与对照组之间的严格测量不变性，表明跨组比较潜在均值和变化参数是合理的。
**潜在变化分数模型**：模型拟合良好（χ2(22) = 17.56, p = .73, CFI = 1.00, TLI = 1.03, RMSEA = .00, SRMR = .03）。干预组在基线潜在CSC上显著高于对照组（b = 0.71, p = .023, β = .23）。在前测到后测区间，干预显著预测了更大的潜在变化（b = 1.97, p < .001, β = .66），支持假设H1。在后测到追踪区间，干预效应显著为负（b = ?0.96, p = .028, β = ?.40），表明初始优势部分衰减，但干预组在追踪时仍保持显著优势（b = 1.03, p = .009, β = 0.92），假设H2仅得到部分支持。
**稳健性分析**：纳入性别和学历作为协变量后，干预效应依然稳健（t0→t1: b = 1.95, p < .001；t1→t2: b = ?0.98, p = .025），且协变量均不显著。
**4. 讨论与结论**
研究表明，基于能力与游戏的DEER学习环境能够有效促进VET学徒的短期CSC获取，效果量较大，但长期保持需要额外强化。部分衰减现象提示，单次90分钟的教学单元不足以实现持久的能力固化，未来可能需要加强化课程（booster sessions）、重复练习或分散检索（spaced retrieval）来维持效果。从方法论角度看，将CSC建模为潜在变量而非观察分数变化，能更准确地估计干预效应，平行testlet设计也有助于减少测试练习效应。从实践角度看，该学习环境应整合到职业学校的课程中，抓住学徒生涯早期的关键窗口期。研究存在一定局限：未针对聚类进行标准误调整，SJT主要测量情境判断而非直接行为，干预组分的效应无法拆分，以及外部效度限于VET情境。总之，该研究为游戏化SETA项目提供了透明的设计逻辑和实证基础，未来需进一步探索能力向组织安全文化和日常行为迁移的条件。
本研究结论部分指出，系统化开发和实证评估这一基于能力与游戏的DEER学习环境，为游戏化和模拟类SETA方法的发展做出了贡献。该研究不仅展示了新型教学形式的短期有效性，也说明了如何以能力为导向设计DEER，并将其与结构化简报和多阶段汇报整合为连贯的教学设计，从而促进VET中学徒的CSC发展。通过将设计基础与经过验证的SJT和潜在变量建模相结合，该研究从直觉化设计走向了透明记录和实证评估的能力本位教学安排。未来研究应关注个体获得的CSC如何嵌入组织的网络安全常规和文化中，同时考虑网络威胁形势日益多变的特点，持续更新情境内容，以保持学习环境的生态效度，最终培养有能力和韧性的劳动力队伍，推进以人为本的网络安全。
