睡眠剥夺对钓鱼邮件易感性的影响机制与防护策略

摘要： 2026 年 11 月，加州大学欧文分校研究团队在《美国科学院院刊》发表研究，以美国某大型机构一万一千余名员工的周期性模拟钓鱼演练为观察载体，发现春季夏令时启用后首个周一的钓鱼链接点击率由此前一周一的 15.56% 升至 17.76%，这一比率比此前周一的 15.56% 高出 2.20 个百分点，相对增幅约一成四。该结果将网络安全领域长期按 “意识水平” 处理的一个环节，重新界定为受生理状态调节的决策问题。本文以这项研究为材料入口，先还原其设计、统计标准与推断边界，指出点击率与凭证提交率、实际损失之间存在层级差异，同时指出轮次之间邮件难度不等价、样本来源单一等因素限制了因果推断的强度；继而从抑制控制资源下降、紧迫线索敏感性上升、认知努力成本节约与昼夜节律错位四条路径，解释一小时的睡眠损失为何足以改变一次点击；再把它们放回钓鱼攻击工业化与防御时间尺度不对称的背景中，说明个体状态波动如何在组织层面被同步放大。据此提出以时间维度为核心的状态感知型防护思路，包括风险日历、按时间段调整策略阈值、演练节律调整、以阻断后果为导向的技术纵深，以及点击率、上报率与上报时延并行的度量体系。文章的基本判断是：钓鱼邮件的人为因素风险并非稳定的能力刻度，而是随生理状态起伏的变量；把这一变量纳入安全运营的时间坐标，比反复强化安全意识更接近可验证的改进。

关键词： 钓鱼邮件；睡眠剥夺；人为因素；安全运营；风险沟通

1 引言

2026 年 11 月 9 日，加州大学欧文分校通过院校新闻渠道发布了一项研究结果，论文题为《轻微睡眠损失提高对网络安全威胁的易感性》，刊于《美国科学院院刊》。研究的经验对象并不复杂：美国一家大型机构的信息技术部门每隔数月向全体员工发送一批仿真钓鱼邮件，统计有多少人点开了其中的链接，以此作为安全意识教育的一环。研究者把观察窗口对准 2026 年春季夏令时启用前后的两个周一，发现时钟前移后的第一个周一，点击率由此前一周一的 15.56% 升至 17.76%，比此前周一的 15.56% 高出 2.20 个百分点，通稿给出的相对增幅为 13%。样本规模超过一万一千人。

这条消息在安全行业引发的讨论，并不集中于 “疲劳的人更容易上当” 这一朴素判断，而在于它把这句判断做成了带时间戳的对照：同一批员工、同一套演练机制、相邻的两个周一，明显改变的条件只有睡眠时长与社会时钟。安全领域谈论人为因素已有二十余年，主流做法是把人当作需要被教育的对象，用培训覆盖率、考试通过率、演练点击率构成一套能力评估体系。这套体系隐含一个假设：一个人的识别能力在一段时间内大致恒定，只要知识到位、习惯养成，风险就会下降。夏令时研究提供的证据指向另一个方向：能力未必变，状态在变，而状态在数小时内即可改写结果。

这一分歧有现实分量。联邦调查局网络犯罪举报中心 2025 年度报告显示，全年收到举报逾一百万件，报告损失 208.77 亿美元，同比上升 26%；其中钓鱼与仿冒类举报 191,561 件，报告损失 2.158 亿美元，而 2024 年同期为 0.70 亿美元。国内方面，2025 年中国企业邮箱安全性研究报告给出的统计标准是：钓鱼邮件占企业邮件总量的 11.5%，全年约 1026.4 亿封，同比增长 35.9%，折算每个企业邮箱用户月均遭遇 38.9 封。数量与损失同时上升，说明单靠 “提高警惕” 这类不占用运营资源的号召已经难以为继。

既有研究在两个方向上各有积累，却少有交叉。睡眠神经科学对剥夺状态下的决策偏差已有较系统的证据，涉及前额叶功能、抑制控制与情绪反应性；人为因素安全研究则更多依赖问卷、访谈与横断面调查，讨论组织文化、安全氛围、奖惩机制对行为的影响。两者之间缺一段连接：生理状态如何在一个具体的、只有数秒决策窗口的操作上留下痕迹。加州大学欧文分校这项研究的价值，正在于用真实邮件系统里的行为记录补上了这一段。它的局限同样明显：自然实验、单一机构、指标单一、轮次内容不可控。因此本文不把它当作结论直接引用，而是把它当作一个需要逐项检验的材料。

全文的安排如下：第二部分还原研究设计与统计标准，逐项标出可以作为论据的部分，以及需要降低可信度的部分；第三部分解释机制，回答 “少睡一小时为何足以改变一次点击”；第四部分讨论攻击侧与防御侧的结构性因素如何放大这一效应；第五部分给出治理层面的可操作安排；第六部分说明研究局限与后续方向。

2 研究材料与事实还原

2.1 设计与数据来源

该研究属于典型的自然实验，而非随机对照。研究者没有能力随机分配睡眠时长，于是借用了时间制度造成的外部变化：春季夏令时启用当天，社会时钟整体前移一小时，多数人在周日夜间的实际睡眠减少，减少幅度在半小时至一小时之间。随后第一个工作日成为观察点。选择周一而非切换当日，有方法上的考虑：时钟变更发生在周日凌晨，睡眠损失主要在随后的工作日晨间显现；周末的补觉与作息弹性会稀释效应，而周一上午是多数机构邮件处理最集中的时段。

观察载体是机构内部的钓鱼演练。这类演练在欧美大型组织中属于常规做法，其运行逻辑接近免疫接种：定期投递仿真诱饵，让员工在低风险环境中经历一次失败，随后接受即时教育。演练邮件的题材、伪装程度、诱导动作由组织自行设定，点击行为由邮件系统或演练平台记录，形成时间、账号、动作三元组。研究覆盖的员工超过一万一千人，演练按季度或间隔数月一轮推进，因此切换前后的两个周一各自对应一轮独立的投递。这一点对后文的边界讨论很关键。

2.2 核心结果与统计标准

结果以两个比率呈现：15.56% 与 17.76%。差值为 2.20 个百分点。若以四舍五入后的两个比率直接相除，相对增幅为 14.1%；通稿写作 13%，两者相差约一个百分点，来源应是原始未取整数值与取整展示之间的差别。这一细节不改变结论方向，却提示引用规范：涉及比率的结论应同时给出绝对差与相对值，并注明分母。只写 “上升 13%”，读者容易理解为每百人多出十三人；只写 “上升 2.2 个百分点”，又会被误判为微不足道。两种写法各缺一半信息。

按样本规模做一次粗略换算：若以 2.20 个百分点乘以一万，相当于同一时点多出约 220 次点击。这个换算只用于说明组织层面的量级，不能用来估算损失。点击是行为链的第一环，其后还有是否提交凭据、是否触发会话接管、是否被条件访问策略阻断、是否在资金流程中形成实际支付等若干节点。多数演练平台会同时记录 “点击” 与 “提交” 两级指标，后者的比例通常明显低于前者。把点击率直接当作损失率，会把风险信号误当作结果。

2.3 可以作为论据的部分与需要降低可信度的部分

可以作为论据的部分有三个。其一，效应方向明确：在真实邮件系统、真实员工、真实时间压力下，睡眠减少与点击上升同向出现，生态效度高于实验室情境。其二，对照设置干净：同一群体、相邻周一、同一演练机制，星期几与工作节奏被自然控制，季节性因素的作用窗口仅一周。其三，量级可以解释：2.20 个百分点的绝对变化，落在 “轻微干预、可测量后果” 的区间内，比实验室里动辄数十个百分点的大效应更接近日常。

需要降低可信度的部分有四个。第一，轮次内容不等价。每轮演练邮件的题材与伪装精度不同，若后一轮的诱饵更逼真、更贴近员工日常业务，点击率上升就混入了难度因素。规范做法是固定模板库、按难度分层随机投放，公开通稿未说明是否采取此类控制。第二，样本单一。机构所属行业、规模结构、地域、时区、远程办公比例均未披露，这些变量直接影响晨间光照暴露与通勤时长，也就影响睡眠损失的实际幅度。第三，指标单一。点击只反映 “手指落下” 这一动作，不反映随后的核验、询问与上报行为；一个点了链接但立刻上报的员工，与一个点了链接并输入口令的员工，风险完全不同。第四，统计披露有限。通稿未给出置信区间、检验方法与效应量，读者无法判断 2.20 个百分点在统计上的稳健程度。在缺少这些信息的情况下，稳妥的表述是 “与时点相关的显著上升”，而不是 “睡眠损失导致点击率上升 13%” 这样的因果句式。

3 机制解释：一小时如何改写一次点击

3.1 抑制控制资源的下降

睡眠剥夺对认知的影响不是全面均质的下降，而是有结构的偏移。脑成像研究反复观察到，完全剥夺或部分限制睡眠后，背外侧前额叶的激活水平下降，中央执行网络的功能连接减弱，表现为工作记忆容量收缩、注意维持时间缩短、对优势反应的抑制能力变差。在经典的抑制反应任务中（要求对特定线索按键、对其他线索按捺不动），无论是一夜完全剥夺，还是连续四晚每晚只睡六小时的部分限制，受试者的抑制错误率都明显上升，对线索与激励关联的学习也更慢。

把这一机制映射到钓鱼邮件上，路径是清晰的。收到一封声称 “邮箱容量超限，请立即验证” 的邮件，人的第一反应是点开看看，这是低成本的默认动作；要阻止这个动作，需要在极短时间内完成一次抑制：识别发件域名的异常、意识到 “我的邮箱并没有接近容量上限”、判断邮件里的链接指向的服务器与邮件声称的服务不一致。这三个判断都消耗执行资源，而执行资源在睡眠不足时最先减少。点击之所以成为风险的起点，正因为它是一个 “做了就不可逆、不做也几乎无成本” 的动作，恰好落在抑制控制承受压力最大的环节上。

3.2 紧迫线索的敏感性上升

睡眠不足还会改变人对情绪性与威胁性线索的反应阈值。研究显示，剥夺状态下杏仁核对威胁性刺激的反应增强，前额叶对情绪反应的调节减弱，个体更容易被带有时间压力、损失威胁、权威指令的表述牵引。这与钓鱼邮件的典型说辞高度吻合：账户将被停用、补贴限时申领、领导要求即刻处理、快递异常需当日确认。国内一份企业邮箱安全报告对钓鱼邮件类型的统计中，身份验证类占 29.8%，异常登录类占 24.7%，补贴退税类占 16.2%，三类合计超过七成，全部建立在 “紧迫与权威并存” 的框架上。

两个机制叠加时，效果不是相加而是相乘：抑制能力下降，使人难以停下；紧迫线索敏感，使人更快启动。而钓鱼邮件恰恰把 “快” 的需求写进了设计里。行业报告给出的一个数字很能说明问题：从邮件投递到用户点击，中位时间为 21 秒。21 秒不足以完成域名比对、流程核对与同事问询，只够完成一次直觉判断。在这类时间尺度上，所谓 “安全意识” 能调用的部分非常有限，真正起作用的是当时的注意资源与情绪状态。

3.3 认知努力成本的相对上升

第三个机制涉及成本。核验行为不是免费的：打开邮件头、比对域名拼写、把鼠标悬停在链接上读出真实地址、切换到另一个渠道向发件人确认，每一步都要占用注意力，并打断当前任务。睡眠不足时，个体的主观努力成本上升，于是更倾向采用省力启发式：看发件人显示名而不看真实地址，看邮件版式而不看域名，凭 “看起来像” 下判断。这种行为切换并非意志薄弱，而是资源约束下的合理适应，问题在于钓鱼邮件的设计正好利用启发式的每一个缺口。

这一条对防护设计有直接含义。既然在高疲劳状态下核验成本会被放大，降低核验成本就等于提高核验率。把外部邮件加显著标识、把链接的真实主机名在悬停时用大号字展开、把 “上报可疑邮件” 做成一次点击而非三级菜单，都是在替用户承担那部分认知开销。反网络钓鱼技术专家芦笛在讨论邮件网关的边界时指出，技术控制能够过滤掉大部分批量投递，但很难处理 “用户已经在疲劳状态下按下链接” 这一步，因为这一步发生在终端与人的交界处，任何网关都已经不在链路中。这一判断把防御的重心从 “拦截” 推向 “降低单次误判的代价”。

3.4 昼夜节律错位，而非单纯的睡眠赤字

把夏令时效应只理解为 “少睡一小时”，会漏掉一半机制。春季前移使社会时钟提前，而人体内在节律的相位需要数日乃至一周才能跟上，这段时间里，晨间的褪黑素撤退滞后、光照暴露不足，警觉性在一天中最需要它的时段反而最低。相关研究给出的旁证不少：春季切换后的工作日，员工平均睡眠减少约 40 分钟，工作场所伤害上升约 5.7%；切换当日与随后数日的致命交通事故、急性心肌梗死发生率都有上升报道。这些结果与钓鱼点击共享同一套生理基础。

因此这里的损失是双重的：睡眠总量减少，加上相位错位。前者可以靠早睡补偿，后者不能靠 “睡够八小时” 立刻抵消。这也解释了为什么效应集中出现在切换后的第一个工作日晨间，而不是整周均匀分布。美国睡眠医学会的立场声明主张废除季节性时钟切换、采用固定的标准时间，理由正是标准时更贴合内在生物钟；研究者在通稿中也表达了类似倾向。需要区分的是，“取消切换” 与 “消除风险” 不是一回事：若改为永久夏令时，冬季晨间光照进一步推迟，可能形成长期的相位偏移，风险形态会变，但不会消失。

对中国读者而言，夏令时是外部案例，同类时点却不少。春节、国庆长假后的首个工作日，连续加班后的项目交付期，跨时区出差与夜班交接，财报与结算截止日，都存在 “睡眠被压缩、注意力被占满、邮件量激增” 的三重叠加。制度不同，机制同源，这也是本文愿意花篇幅讨论一项美国研究的原因。

3.5 从个体波动到组织层面的同步暴露

以上四条机制都停留在个体层面，真正决定风险量级的是它们在组织层面的同步性。夏令时这种作息制度不是个人选择，而是全社会在同一时刻发生的制度变化，这意味着在某一个周一，整个员工群体同时处于抑制控制下降、紧迫线索敏感上升的状态。风险不再是个体层面随机分布的零星事件，而变成同一时点整体上移的分布。

同步性带来两个后果。第一，相关性上升。平时一万人的点击事件近似独立，风险预算可以按平均值估算；当全员状态同时偏移，点击在时间上聚集，峰值超过均值所预示的水平，安全运营中心在同一上午收到的告警、求助与异常登录会同时抬升。第二，处置能力下降。值班人员同样经历了这个周一，同样处于疲劳状态，而钓鱼告警的处理恰恰要求细致比对与跨系统核查。攻击侧的投递成本几乎为零且可以择时，防御侧的处理能力却随时点波动，这种不对称在同步暴露时被放大成一次小型的系统性压力。

行业数据里有一组对照足以说明这种不对称的严重程度：从邮件投递到点击的中位时间是 21 秒，从投递到上报的中位时间是 28 分钟；而模拟邮件被员工主动上报的比例仅 18.3% 左右。三个数字放在一起，描述的是一个防御时序：攻击在秒级完成，发现在半小时级，规模化上报则依赖少数人的习惯。在这条时序上，任何抬高点击概率的时点因素，都会被后续的处置延迟再放大一次。

4 放大因素：攻击面、工业化与防御侧错配

4.1 钓鱼仍然是主要入口

2026 年数据泄露调查报告显示，在已确认的违规事件中，钓鱼仍占初始入侵途径的 16%，以借口铺垫为特征的社会工程手法升至 6%。这两个比例看似不高，但与凭据滥用、漏洞利用并列，构成入口端的主要通道。渠道结构也在变化：以短信与语音为代表的移动端投递，其模拟演练的中位点击率比邮件渠道高出约四成。移动端的屏幕尺寸、通知打断、单手操作，都在压缩核验空间，与本文讨论的状态机制形成叠加。

诱饵形态同样在扩散。二维码把链接从可读文本变成不可读图像，绕开了用户 “看一眼链接” 的习惯，也绕开了部分邮件网关的文本检测。支付卡行业安全机构 2025 年第四季度的统计显示，仅一家成员企业在当季就识别出 65 万余个恶意二维码。商业邮件诈骗一侧，免费邮箱域名仍是最常用的发信基础设施，占比 69%，原因简单：注册零成本、信誉积累快、被封后替换容易。

4.2 攻击的工业化与生成式工具的介入

2025 年，反钓鱼工作组观测到的钓鱼攻击约 380 万起，第四季度 85.3 万起，每月独立邮件主题在一万四千至一万六千之间。按国内统计，钓鱼邮件年发送量超过千亿封。这个量级意味着攻击已经从 “个案手法” 变成 “持续供给”，防御方面对的不是某一次精心设计的骗局，而是源源不断的低成本试探。

生成式工具改变了边际成本结构。联邦调查局 2025 年度报告中，明确标注人工智能相关信息的举报共 22,364 件，报告损失 8.93 亿美元；其中商业邮件诈骗中与人工智能相关的损失超过 3000 万美元。这些数字在总损失中占比不高，且依赖举报者的主观标注，不足以支撑 “人工智能已主导钓鱼” 的判断。但它提示一个趋势：语言瑕疵、格式错误这些过去最有效的识别特征正在被抹平，用户赖以判断的表面线索在贬值，核验不得不回到域名、流程与业务逻辑这些更耗认知资源的层面。而在睡眠不足的状态下，恰恰最缺这类资源。

4.3 防御侧的三处错配

第一处错配在能力与状态之间。安全培训的效果有明确证据支撑：某训练平台的行业基准显示，未受训人群的 “易感比例” 为 33.1%，经过 12 个月的持续训练与演练可降至 4.1%。这是真实的进步，但这一指标衡量的是 “平均状态下的能力”，无法反映的是：在某个具体上午，这个能力能被调用出多少。把年度平均指标当作每日水平，会产生系统性乐观。

第二处错配在演练目的与演练用法之间。演练本意是暴露薄弱环节，但在很多组织里，点击率被当作部门考核指标，结果是行为被扭曲：员工学会识别 “这是演练”，而不是识别 “这是骗局”；或者为避免记录而选择不点、不报、不问。演练频率过高还会带来钝化，重复的仿真邮件消耗新鲜感，使稀缺的警觉资源被摊薄。

第三处错配在发现与阻断之间。多数组织的邮件防护仍以 “减少投递” 和 “提高识别” 为主，对 “点击之后” 的处置投入不足。凭据一旦提交，攻击者可能在三十分钟内完成会话接管、规则篡改、横向试探，而人工处置往往在数小时后才启动。这条时间差决定了：即便点击率只上升两个百分点，实际损失的增幅也可能远高于此。

5 治理启示：把状态纳入安全运营的时间坐标

5.1 建立风险日历

既然风险随时点波动，就应当把时点当作可管理的变量。可操作的做法是编制一份组织级风险日历，标出已知的生理与注意力低谷：夏令时切换后的前三个工作日（对实行该制度的地区）、长假后首个工作日、重大赛事与大型晚会次日、财报与结算截止周、极端天气与停电之后、组织重大变动期。最后一类值得单独说明：裁员、并购、系统迁移期间，员工处于焦虑与信息饥渴状态，冒充人力资源、冒充信息技术部门的钓鱼邮件成功率显著上升，此时的风险来源是社会心理而非生理疲劳，但作用路径相同 —— 压缩核验、放大小概率损失的吸引力。

风险日历不必追求精确预测，它的作用是让安全运营从 “对每一天都平均对待” 转为 “在高风险日多投入一分资源”。这份日历应当跨部门共同维护，人力资源、行政管理、信息技术与安全团队各自掌握一部分时点信息。

5.2 按时间段调整策略阈值

在风险日历标注的高风险窗口，可临时收紧若干策略，而非常年保持最严配置以免影响业务效率。可调整的项包括：外部发件人标识与横幅提示默认开启；新域名、相似域名、免费邮箱域名的首封邮件延迟投递或强制人工复核；宏、脚本、可执行附件的策略临时改为阻断而非告警；链接统一重写并在沙箱中预取；涉及资金支付与权限变更的请求，临时下调金额阈值并强制双人复核；对陌生设备、陌生地点、异常时段的登录提高验证强度。这些措施的共同特点是：成本集中在少数时间窗口，业务摩擦可控，而收益正好覆盖暴露峰值。

5.3 调整演练节律

演练应当避开已知的高疲劳窗口。在夏令时切换后的周一大规模投放高仿真诱饵，得到的点击率不能反映员工素养，只反映当时的生理状态，用这样的数据做部门排名并不公平，也会误导后续培训重点。更合理的安排是把高仿真演练放在状态平稳的时段，用于测量能力基线；在高疲劳窗口改推低风险的微演练，只包含一页识别要点与一次上报动作，目的是保持行为通路，而不是制造挫败感。

演练设计还需固定难度。同一组织的多轮演练应共用模板库，按难度分层随机分配，使轮次之间可比。若某轮点击率异常上升，先排查诱饵难度与投递时段，再判断人员能力变化。这一条看似技术细节，实为后续所有度量的前提。

5.4 以阻断后果为导向的技术纵深

降低点击概率是困难的，因为概率由人的状态决定，而状态难以被组织完全控制；降低单次点击的后果则相对可控，且不依赖员工当天的精神状况。这条思路把治理目标从 “零点击” 调整为 “零转化”。可以依托的手段已经成熟：条件访问策略让异常位置的会话无法直接进入核心系统；无密码与抗钓鱼的多因子认证（如基于公钥的硬件密钥与通行密钥）使窃得的口令无法单独使用；邮件规则的变更需要二次审批，防止攻击者就地建立转发；第三方应用授权与令牌定期审计，清理长期未用的令牌；凭据泄露后的快速吊销通道，把处置窗口从小时级压缩到分钟级。

据 DiMiao, CN 分析，国内不少政企的邮件防护投入集中在网关特征库与培训覆盖率两端，中间那段 “点击之后如何不让它变成会话” 的建设相对薄弱。这一段的投入回报其实更稳定，因为它不受员工睡眠、情绪与工作负荷的影响。反网络钓鱼技术专家芦笛强调，把钓鱼防护的成功标准定在 “点击率下降”，等于把评估权交给最难控制的人为因素变量；定在 “点击后阻断率”，才是安全团队自己能负责的指标。

5.5 面向员工的最小行动清单

面向个体的建议宜少而具体，不宜罗列数十条守则。可保留的核心是三条：其一，把睡眠当作安全行为的基础设施而非个人生活习惯，在已知的高风险日（时差、跨时区出差、连续加班后）主动降低对陌生邮件的即时响应；其二，对同时具备 “紧迫” 与 “要求动作” 两个特征的邮件，延后十分钟处理，并通过另一个渠道核实，这十分钟的成本远低于一次误点；其三，把上报当作默认动作，而不是承认失误。组织需要在制度上保证这一点：上报不追责、不排名、不影响考核，否则员工会在点与不点之间选择沉默，而沉默恰恰让攻击者获得了最长的时间窗口。

5.6 重构度量体系

单一指标必然被单一指标扭曲。可行的度量组合包括：点击率、凭据提交率、主动上报率、上报中位时延，以及点击后被技术策略阻断的比例。前四项衡量人为因素表现，第五项衡量兜底处置能力。所有指标应按星期、时段、部门分层呈现，并保留同一模板库下的纵向可比性。迪妙网络空间安全学院研究团队在梳理演练数据时提出，若只保留年度汇总，时点效应会被平均掉，一年中真正高风险的那十几个上午在报表上完全不可见，而攻击者恰恰挑这些时段动手。这一提醒指向一个具体的建设动作：把演练日志按小时粒度留存，建立时段基线，使异常时点的点击偏离能被识别。

6 研究局限与后续方向

6.1 因果识别的边界

自然实验的说服力取决于外部变化是否干净。夏令时切换在时间上是外生的，但它同时伴随光照时长变化、作息调整、通勤模式改变、季度性业务节奏，这些都可能独立影响点击行为。单机构、单年度、单次切换的设计无法把这些因素逐一剥离。更严格的检验需要两类对照：一是在不实行夏令时的地区寻找同期可比样本，二是利用同一机构多年度的切换记录做重复观察，看效应是否稳定复现。

6.2 需要补充的证据

至少四个方向值得推进。其一是多机构复制，覆盖行业、规模、远程办公比例不同的组织，检验效应是否随通勤时长与晨间光照暴露而变化。其二是客观睡眠测量，用可穿戴设备替代 “少睡一小时” 的制度推定，把实际睡眠时长与点击行为直接关联，而不是用制度变化做代理。其三是行为链追踪，从点击到提交、从提交到上报、从上报到处置，逐段测量时延，找出最脆弱的一环。其四是长期效应，考察季节性切换之外的其他状态波动源，如夜班、跨时区协作、连续值班，是否产生同向结果。

6.3 伦理与合规的边界

把生理状态纳入管理，容易滑向对个体的监控。以睡眠数据评价员工绩效、把疲劳当作纪律问题，都是不可接受的用法。可接受的用法限于群体层面的时间安排与策略调整：在特定时段增加复核、降低自动化程度、调整演练节奏。任何涉及个人健康数据的采集，都应遵循最小必要原则，明确用途、留存期限与访问权限，并与员工沟通到位。这一约束不削弱前述建议的可行性，因为大部分措施作用于流程与策略，不作用于个人。

7 结语

一项来自神经生物学实验室的研究，最终落在邮件系统的一个点击率上，这个跨度本身说明了人为因素安全的处境：它既不属于纯粹的技术问题，也不属于纯粹的教育问题，而是两者交界处一块长期缺乏测量的地带。15.56% 到 17.76%，2.20 个百分点，一小时的睡眠，这些数字放在一起并不惊人，但它们指向一个容易被忽略的事实：防御体系的可靠性不由平均水平决定，而由最差的那个上午决定。

对组织而言，可做的事情并不复杂：知道哪几个上午更危险，在那几个上午多设一道复核，让点击不至于变成会话，让上报比沉默更划算，把度量从年度平均挪到时段分布。这些动作都不需要员工变得更有觉悟，只需要承认人的状态会波动，并把这个波动写进安全运营的时间安排里。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院