“Mixed methods, это не просто соединить два метода для отчёта, а системный подход, где качественные и количественные данные работают вместе, чтобы обнаружить то, что каждый из них по отдельности скрывает. В usable security, где разрыв между декларированной безопасностью и реальным поведением пользователя колоссален, это не мода, а единственный способ приблизиться к истине.”

Mixed methods research designs в usable security

Зачем в принципе смешивать методы

Традиционные исследования в сфере безопасности часто разделялись на два лагеря. В одном проводили формальный анализ кода, криптографических протоколов и математическое доказательство уязвимостей. В другом — опросы или лабораторные эксперименты, чтобы понять, как пользователи взаимодействуют с интерфейсом безопасности. Проблема в том, что первый подход, будучи безупречным в теории, часто терпит крах при встрече с человеком, который, например, отключает сложный механизм, потому что он «мешает работе». Второй же подход может зафиксировать само поведение, но не всегда способен объяснить глубинные причины, стоящие за цифрами.

Mixed methods research designs (MMRD) или исследования со смешанными методами предлагают третий путь. Это не механическое сложение «опрос + тест на проникновение». Это целостная исследовательская стратегия, где качественные и количественные методы применяются последовательно или параллельно, чтобы взаимно дополнять, развивать и проверять друг друга.

В usable security, где ключевая задача — сделать средства защиты не только эффективными, но и интуитивно понятными, удобными и соответствующими реальным рабочим процессам, такой подход становится критически важным. Вы не можете просто добавить ещё одну кнопку в интерфейс и считать, что безопасность повысилась. Вы должны понять, как эта кнопка вписывается в ментальную модель пользователя, не создаёт ли она ложного ощущения безопасности и действительно ли ею будут пользоваться в стрессовой ситуации.

Три базовых схемы смешивания

Существуют устоявшиеся схемы интеграции методов в рамках MMRD. Выбор конкретной зависит от исследовательских вопросов.

Конвергентная (параллельная) схема

Качественные и количественные данные собираются одновременно, независимо друг от друга, а затем сводятся для сравнения и интерпретации. Цель — получить полную картину, используя сильные стороны каждого подхода.

• Пример: Исследование эффективности нового мастера настройки двухфакторной аутентификации. Параллельно проводится A/B-тест (количественный метод), измеряющий процент завершения настройки в двух группах пользователей. В это же время проводится серия глубинных интервью с представителями обеих групп (качественный метод), чтобы понять, какие шаги вызывали затруднения, как пользователи воспринимали инструкции и что они думали о процессе в целом.
• Результат: Если A/B-тест покажет, что одна версия мастера успешнее, а интервью раскроют конкретные причины этого успеха (например, более ясная формулировка или лучшая визуальная подсказка), данные конвергируют, усиливая выводы.

Последовательная объяснительная схема

Сначала собираются и анализируются количественные данные. Их результаты используются для разработки последующего качественного этапа, цель которого — объяснить или глубже исследовать выявленные статистические закономерности.

• Пример: Лог-анализ системы контроля доступа (количественный метод) выявил аномально высокий процент отказов при попытке сотрудников получить доступ к определённому типу ресурсов в конце рабочего дня. Это статистическая аномалия. Чтобы понять причину, исследователи проводят фокус-группы или контекстные интервью с этими сотрудниками (качественный метод). Может оказаться, что процедура запроса доступа настолько сложна, что её откладывают «на потом», а затем пытаются выполнить в спешке, совершая ошибки, или же причина в устаревшей должностной инструкции.
• Результат: Количественные данные указали на «что» происходит, качественные — объяснили «почему». Это позволяет предложить исправление не симптома (чаще разблокировать доступ), а причины (упростить процедуру).

Последовательная разведывательная схема

Противоположность объяснительной схеме. Сначала проводится качественное исследование (наблюдение, интервью) для сбора идей, формирования гипотез или выявления переменных. Затем на основе этих инсайтов строится количественное исследование (например, масштабный опрос), чтобы проверить, насколько выявленные темы распространены в более широкой популяции.

• Пример: При проектировании новой системы оповещения об инцидентах безопасности для рядовых сотрудников сначала проводятся этнографические наблюдения за рабочими процессами в нескольких отделах (качественный метод). Исследователи выясняют, через какие каналы коммуникации (мессенджеры, почта, корпоративный портал) сотрудники привыкли получать срочные сообщения, и какого тона они ожидают. На основе этих наблюдений формулируются конкретные гипотезы и разрабатывается структурированная анкета, которая рассылается по всей организации для количественной проверки.
• Результат: Качественный этап предотвратил создание теоретически идеальной, но бесполезной на практике системы оповещений. Количественный этап подтвердил универсальность выявленных паттернов.

Практическое применение в российском контексте регуляторики

Идеи usable security и mixed methods выходят за рамки академических исследований. Они напрямую применимы к выполнению требований регуляторов, таких как ФСТЭК России и 152-ФЗ «О персональных данных».

От чек-листа к пониманию

Стандартный подход к выполнению требований 152-ФЗ часто сводится к формальному «чек-листу»: настроить СКУД, внедрить DLP, назначить ответственных, разработать политики. Mixed methods помогает перейти от формального соответствия к реальной эффективности. Например, требование о «повышении осведомлённости сотрудников» (ст. 18.1 152-ФЗ) можно выполнить двумя способами:

1. Разослать всем сотрудникам длинную PDF-инструкцию и собрать формальные подписи (количественный KPI: 100% охват).
2. Провести серию контекстных интервью (качественный этап), чтобы понять, в каких именно ситуациях сотрудники чаще всего сталкиваются с персональными данными и какие у них есть заблуждения. Затем на основе этих инсайтов разработать таргетированные, короткие и наглядные тренинги-симуляции (например, в формате интерактивного сценария в корпоративном чат-боте) и измерить их эффективность через снижение числа реальных инцидентов (количественный этап).

Второй подход, основанный на смешанных методах, с гораздо большей вероятностью приведёт к реальному изменению поведения, а не просто к отчёту для проверяющих.

Разработка и валидация организационно-распорядительной документации (ОРД)

Требования регуляторов обязывают компании иметь пакет ОРД: политики, регламенты, инструкции. Часто эти документы пишутся техническими специалистами на сложном языке, малопонятном для конечных исполнителей. Это создаёт «бумажную» безопасность, но не рабочую.

Применение mixed methods при разработке ОРД может выглядеть так:

1. Качественный этап (разведка): Наблюдение за работой сотрудника отдела кадров, который обрабатывает персональные данные новых сотрудников. Фиксация всех его действий, используемых систем и возникающих проблем.
2. Разработка прототипа: На основе наблюдений создаётся не текстовая инструкция, а пошаговая блок-схема или интерактивный чек-лист, интегрированный в рабочую среду сотрудника.
3. Количественный этап (валидация): Новый прототип инструкции тестируется на небольшой группе сотрудников (A/B-тест), сравнивая скорость выполнения задачи и количество ошибок с использованием старого текстового регламента. Измеряется время и собирается обратная связь.
4. Итерация и внедрение: На основе результатов теста инструкция дорабатывается и внедряется для всех. Последующий анализ логов (количественные данные) поможет оценить долгосрочную эффективность.

Таким образом, ОРД превращается из формального документа в реальный рабочий инструмент, снижающий операционные риски.

Вызовы и ограничения

Несмотря на потенциал, внедрение mixed methods сопряжено с трудностями:

• Ресурсоёмкость: Требует больше времени, экспертизы и часто бюджетов, чем стандартное одноразовое исследование.
• Необходимость междисциплинарной команды: Нужны специалисты, понимающие как в статистике и дизайне экспериментов, так и в методологии качественных исследований (социология, антропология). В России рынок таких универсальных специалистов или слаженных команд ещё формируется.
• Сложность интеграции данных: Свести воедино числовые распределения из опроса и транскрипты эмоциональных интервью, это нетривиальная аналитическая задача, требующая продуманного плана с самого начала.
• Сопротивление «традиционной» культуре: В сфере ИБ, где исторически ценились «жёсткие», технические доказательства, качественные данные с их субъективностью могут восприниматься как «ненаучные» или «мягкие».

Куда смотреть дальше

Mixed methods, это не конечная точка, а направление развития для исследований в usable security. На стыке дисциплин возникают новые перспективы:

• Интеграция с машинным обучением: Качественные инсайты о поведении пользователей могут использоваться для создания более точных признаков (features) в моделях ML для обнаружения аномалий, выходящих за рамки чистого анализа логов.
• Непрерывный сбор данных: Вместо разовых исследований — создание системы постоянного мониторинга, где данные об использовании интерфейсов безопасности (клики, время, ошибки) автоматически собираются и периодически дополняются точечными качественными исследованиями (например, ежеквартальными интервью с пользователями из групп риска). Это позволяет перейти от реагирования к предсказанию проблем.
• Этика и приватность: Особенно актуально в свете 152-ФЗ. Сам процесс исследования (сбор данных о поведении сотрудников) должен быть спроектирован с учётом требований к защите персональных данных, прозрачности и согласия.

Заключение

В условиях, когда основным вектором атак становится не столько прямое преодоление криптографических защит, сколько эксплуатация человеческого фактора, подходы к обеспечению безопасности должны меняться. Требования регуляторов задают рамки, но не дают готовых решений о том, как сделать защиту удобной и естественной.

Mixed methods research designs предлагают системный инструментарий для закрытия разрыва между технической безопасностью и человеческим восприятием. Это путь от создания систем, которые можно использовать безопасно, к созданию систем, которые хочется использовать безопасно. Для специалистов в области информационной безопасности и compliance в России освоение этих методов, это не следование академическому тренду, а практическая необходимость для построения устойчивых и действительно эффективных систем защиты в долгосрочной перспективе.