La fatiga de seguridad y el punto en que el aviso deja de hacer efecto

Un programa de concienciación aumenta la frecuencia de sus avisos porque los indicadores no mejoran. Al trimestre siguiente la tasa de reporte baja, las simulaciones no muestran avance y en el informe se escribe que a las personas el tema no les importa lo suficiente. De ahí sale casi siempre la decisión de insistir más, que es justamente la que empeora el cuadro. El interés siguió donde estaba. Lo que cayó fue la respuesta a un estímulo que se repite sin que nada dependa de él, y detrás de ese descenso hay dos fenómenos que la etiqueta de fatiga de seguridad suele reunir en uno.

Conviene separarlos antes de tocar el calendario. Uno es la fatiga de seguridad propiamente dicha, un estado de desgano frente a las decisiones que la seguridad le pide a cada persona. El otro es la habituación, una forma elemental de aprendizaje que hace caer la respuesta a un estímulo repetido porque se vuelve predecible y deja de aportar información. A veces viene acompañada de desinterés, aunque no lo necesita, y la reacción baja igual en alguien a quien el tema le sigue importando. Se confunden con facilidad porque se ven parecidos en un tablero, y piden intervenciones que van en direcciones opuestas.

¿Qué es la fatiga de seguridad?

La fatiga de seguridad es el hastío o la reticencia a lidiar con la seguridad informática. La definición proviene de un estudio del NIST publicado en 2016 en IEEE IT Professional por Brian Stanton, Mary Theofanos, Sandra Spickard Prettyman y Susanne Furman, que trabajó con usuarios comunes de distintas edades y entornos y encontró ese estado extendido en la mayoría de las personas entrevistadas. Es un hallazgo cualitativo, sin porcentajes.

Lo interesante del trabajo es dónde ubica el origen, que está en la cantidad de decisiones antes que en la cantidad de amenazas. Cada verificación, cada actualización, cada contraseña nueva, cada advertencia que pide elegir entre continuar o volver atrás es una decisión que compite con la tarea por la que a esa persona la contrataron.

Cuando la cuenta se acumula y la fricción sube, la salida más común pasa a ser el camino de menor resistencia, y rara vez tiene algo de imprudencia deliberada. Es entonces cuando aparecen los atajos conocidos, como reutilizar la misma contraseña en varios servicios, postergar la actualización que interrumpe el trabajo o pedirle las credenciales a un compañero para no esperar un permiso.

La fatiga de seguridad describe entonces un estado que produce el diseño del entorno, y por eso se corrige rediseñando ese entorno.

¿Por qué la respuesta cae aunque el mensaje sea correcto?

Porque la repetición sin novedad ni consecuencia produce habituación, y la habituación no depende de la calidad del mensaje.

En 2009, en Neurobiology of Learning and Memory, Catharine Rankin y un grupo de investigadores revisaron el consenso sobre este mecanismo y lo definieron con una precisión que resulta útil aquí. La habituación es un decremento de la respuesta conductual producido por la estimulación repetida, que no involucra adaptación sensorial ni fatiga motora. La distinción importa. El ojo sigue viendo el aviso y la persona no está agotada. Lo que ocurrió es que el organismo aprendió que ese estímulo no anticipa nada relevante y dejó de asignarle una respuesta.

Para un programa de concienciación esa definición resulta incómoda, porque significa que un aviso impecable pierde respuesta igual. La redacción cuidada, el diseño limpio y el dato bien elegido mejoran la comprensión de quien todavía presta atención, pero no evitan la habituación que produce la repetición idéntica.

De ahí se entiende por qué los dos fenómenos piden cosas distintas. La fatiga de seguridad se alivia bajando la cantidad de decisiones que la organización delega en cada persona. La habituación se revierte cambiando el estímulo o dándole descanso. Un programa que responde a la habituación produciendo mejor contenido está atacando un problema real con la herramienta equivocada.

¿Dónde está el límite entre reforzar y desensibilizar?

En la frecuencia. Cuanto más seguido se presenta un estímulo, más rápido cae la respuesta, aunque también más rápido se recupera cuando el estímulo se retira. Es una de las diez características que describe la revisión de Rankin y la que tiene consecuencias más directas sobre un calendario.

Cuando planteamos que el espaciado importa más que la intensidad, el argumento venía de la curva del olvido y sostenía que distribuir el refuerzo rinde más que concentrarlo en una jornada anual. Ese principio sigue en pie y tiene un techo. El espaciado sostiene la memoria mientras cada aparición conserve algo de valor informativo. Pasado cierto punto de densidad, la misma repetición que sostenía el recuerdo empieza a entrenar la indiferencia.

Ese techo no es un número universal ni una regla de tantos envíos por mes. Depende del formato, del canal, de cuánto se parece cada pieza a la anterior y de si algo cambia según cómo responda la persona. Dos programas con la misma frecuencia mensual pueden estar en lados opuestos del límite. El que se mantiene del lado útil hace que cada pieza llegue en un momento distinto y pida algo distinto. El que ya lo cruzó envía el mismo recordatorio el mismo día por el mismo canal, y lo único que varía es la fecha.

El microaprendizaje opera del lado correcto de ese límite mientras las piezas breves se distingan entre sí. Cuando el goteo se vuelve previsible, la brevedad deja de ser una ventaja.

¿Cómo se reconoce la fatiga de seguridad en un programa?

Por señales de comportamiento que las tasas de finalización no registran. Un tablero que informa cuántas personas completaron cada módulo puede mostrar un programa en orden sin decir nada sobre cómo está respondiendo la gente. Para verlo hay que mirar variables que quedan fuera de ese número. Cuatro señales aparecen con regularidad y sirven para ese análisis.

1. La tasa de reporte baja mientras la de clic se mantiene estable. Las personas siguen distinguiendo el ataque y dejaron de avisar. Es la señal más costosa, porque el canal de reporte es lo que le da a un equipo de seguridad tiempo de reacción.
2. El tiempo de permanencia en los contenidos se acorta hasta volverse incompatible con leerlos. La finalización se sostiene y el paso por el material se vuelve mecánico.
3. Quienes aprobaron todas las evaluaciones piden excepciones a los controles que esas mismas evaluaciones explicaban. Entienden para qué sirve el segundo factor y piden saltearlo igual, porque su costo sumado al del resto dejó de parecerles razonable.
4. Los canales de seguridad empiezan a recibir silencio, y ese silencio también cubre los incidentes reales.

La lectura fina distingue los dos fenómenos. Si la respuesta cae en un formato o en un canal y se mantiene en otro, se parece más a habituación, porque el decremento tiene cierta especificidad de estímulo. Si cae de manera transversal y viene acompañada de resistencia explícita, con quejas, pedidos de excepción y evitación de todo lo que lleve la etiqueta de seguridad, se parece más a fatiga.

Ninguna de las dos aparece en un porcentaje de cumplimiento. Por eso conviene revisar qué está midiendo el programa antes de revisar cuánto está enviando.

Qué cambia en el diseño del programa

Las mismas características que explican el decremento sugieren por dónde intervenir, y tres de ellas tienen traducción operativa directa.

La primera es la recuperación espontánea. La respuesta vuelve, al menos en parte, cuando el estímulo se retira durante un tiempo. Un calendario de campañas con huecos deliberados usa esas semanas para devolverle valor al próximo aviso.

La segunda es la especificidad del estímulo, junto con el fenómeno de deshabituación que la acompaña. El decremento no se traslada por completo a estímulos distintos, y la presentación de algo diferente puede recuperar la respuesta al original. Conviene trasladar esto con cuidado, porque la literatura mide estímulos controlados en laboratorio y una campaña de concienciación no lo es. Lo que una persona registra como distinto se decide en el plano del significado antes que en el del formato. Cuando el argumento y la estructura son los mismos, cambiar el envase no produce un estímulo nuevo, produce el mismo mensaje con otra ropa.

De ahí que un multicatálogo con formatos variados rinda más que una serie uniforme, siempre que la variación llegue hasta lo que la pieza dice. Cambiar la imagen de cabecera no alcanza. Pasar de un módulo a una simulación cambia lo que se le pide a la persona, y ahí la variación es real.

La tercera es que nadie está en el mismo punto de la curva. Una persona que reportó tres correos este mes y otra que no abrió ninguna pieza en seis meses no necesitan lo mismo, y enviarles lo mismo garantiza saturar a una y no alcanzar a la otra. Los grupos inteligentes de SMARTFENSE permiten que la frecuencia siga a la conducta en lugar de aplicarse por igual a toda la organización, sin listas mantenidas a mano.

Queda la capa táctica del momento en que llega cada intervención, que ya exploramos al hablar de los nudges que aparecen en el momento justo. Todo lo anterior define cuánto y de qué manera. El momento define si la intervención encuentra a la persona con la decisión todavía abierta.

La habituación también es aprendizaje. Un programa que se repite sin variar está enseñando algo, y vale la pena decidir qué.