该论文针对中小企业（SME）网络安全风险开展了一项跨层实证研究。研究数据来自一所大学公益网络安全诊所在两年间对22家真实中小企业实施的评估，共包含281条经过验证的安全发现。方法上，作者首先通过迭代主题编码识别出反复出现的组织安全功能，然后估计一个实证性的“风险显形模型”（Risk Manifestation Model），把组织安全功能与暴露条件、攻击机制以及网络安全结果连接起来，并利用概率传播识别样本中的主导风险路径。该模型刻画的是样本内观察到的经验关联，而非因果或预测关系。分析结果识别出8类组织安全功能，关联2类暴露条件、5类攻击机制和6类结果类别。在多数功能中，主导路径表现为“资产暴露→凭证泄露→未授权访问”；而基础设施与网络安全则主要通过“网络暴露”路径传播。这些路径在“留一组织”交叉验证下保持稳定。最后，作者评估了中小企业安全评估能否在保留有意义安全覆盖的前提下被精简：保留6项功能可将评估负担降低24%，同时保留97%的关键发现和92%的风险路径覆盖；保留5项功能可将负担降低45%，同时保留89%的关键发现和85%的风险路径覆盖。前者更偏安全导向，后者更偏效率导向。该研究适合安全评估服务提供方、SME安全负责人、MSSP、大学安全诊所及关注安全投入优先级的从业者阅读。

该论文针对现实世界中的数字隐私事件展开实证研究，旨在评估隐私增强技术（PETs）的目标与能力是否与用户实际遭受的隐私伤害相错位。作者从新闻媒体中收集了257起真实隐私事件作为样本，采用内容分析法对这些事件进行系统编码，并据此提出了一种新的信息流模型。该模型能够刻画数据流在复杂实体交互中的传递路径，以及这些路径最终如何导致隐私伤害。研究发现，现有模型无法充分解释隐私伤害的涌现机制——伤害往往并非由单一实体或单一行为导致，而是多个实体与多类行为交互作用的产物。基于该模型，论文揭示了几个关键问题：第一，用户同意机制往往不足以防止隐私侵害，因为同意无法覆盖数据在后续流转中产生的衍生风险；第二，隐私增强技术通常聚焦于启用某种功能或保护数据在传输过程中的机密性，但并没有消除因功能本身被滥用或数据被不当聚合而产生的伤害；第三，在样本中的事件里，最有能力实施伤害预防措施的实体（如大型平台、数据中间商）恰恰最缺乏这样做的动机。整体而言，作者希望通过该模型和分析，指出当前隐私技术研究方向与真实隐私防护需求之间的脱节，并为重新规划隐私技术的研发路径提供方向建议。适合对隐私技术社会影响、数据治理合规和安全度量感兴趣的从业者阅读。