La variable que predice la conducta segura y que casi ningún programa mide
Tres mil quinientas personas de siete países respondieron dos preguntas distintas dentro de la misma encuesta. Una fue un test de conocimiento sobre seguridad informática, con respuestas correctas e incorrectas. La otra fue cuánto creían saber.
Después declararon con qué frecuencia hacían cosas concretas, como revisar la dirección de un enlace antes de abrirlo o instalar las actualizaciones cuando aparecen.
Las dos respuestas se relacionaron con lo que decían hacer, y no con el mismo peso. El equipo del estudio de 2017 le puso número a la diferencia: sumar un punto en el test de conocimiento movía la conducta declarada unas cuatro veces menos que sumar un punto en la escala de confianza. Las dos escalas no tienen el mismo rango y los autores lo advierten, así que ese número exacto conviene leerlo con reservas. Que la confianza pese más que el conocimiento, no.
Saber la respuesta correcta no alcanzaba. También hacía falta creer que uno sabía qué hacer con ella.
Y ahí aparece un punto ciego de los programas de concienciación. El tablero registra la primera pregunta, porque un test de conocimiento deja una nota. La segunda casi nunca está en ningún lado, y el nombre que la psicología le da es autoeficacia.
¿Qué es la autoeficacia y qué tiene que ver con la seguridad?
La autoeficacia es la creencia de una persona acerca de su propia capacidad de ejecutar una acción determinada en una situación determinada. Se distingue de la autoestima, del optimismo y de la competencia real. Es un juicio sobre lo que uno puede hacer, formulado siempre en términos de “puedo hacer esto”.
La palabra que hace el trabajo ahí es “determinada”. La autoeficacia se define siempre por un dominio y por una acción concreta. Alguien puede tener alta autoeficacia para notar que un correo tiene algo raro y baja para decidir qué hacer con ese correo, y las dos cosas pertenecen al mismo programa.
En seguridad el respaldo no viene de un solo trabajo. La revisión de evidencia de ENISA sobre modelos de las ciencias del comportamiento aplicados a la ciberseguridad revisó los estudios de la teoría de la motivación protectora y de la conducta planificada, y concluyó que la autoeficacia resultó un predictor fiable y moderadamente fuerte de la intención y de la conducta de seguridad. La misma revisión saca de ahí una consecuencia para el diseño de campañas. Intervenir sobre la capacidad de responder tiene más probabilidad de dar resultado que insistir con la amenaza.
En por qué el phishing no es un problema de conocimiento escribí que buena parte de estas decisiones se toma sin deliberación de por medio. La autoeficacia trabaja un paso antes de eso, sobre la expectativa que tiene la persona de poder hacer algo con lo que piense.
¿Qué pesa más, saber o creerse capaz?
El estudio de los siete países midió a 500 personas de cada uno de ellos: China, Corea del Sur, Emiratos Árabes Unidos, Estados Unidos, Francia, Japón y Rusia. El modelo explicó el 38,5% de la variación en la conducta declarada, y dentro de él el conocimiento tuvo un efecto significativo y pequeño, mientras la confianza en ese conocimiento tuvo uno mayor.
Ese resultado tiene dos límites que el propio equipo declara y que cambian cómo se lee. El primero es que la variable de salida son intenciones de conducta autoinformadas, no conducta observada, así que el estudio habla de lo que la gente dice que hace. El segundo es que usa la nacionalidad como aproximación a la cultura, que los autores reconocen como una medida gruesa. La afirmación sobre conducta observada la sostiene ENISA, que revisó estudios donde la autoeficacia predice las dos cosas.
El conocimiento no desaparece del cuadro y tampoco lo gobierna. Es una de las variables, con un efecto real y chico, y hay otra al lado con más peso que ningún cuestionario de fin de curso captura.
Sobre eso ya había un antecedente en este blog. En qué miden realmente las preguntas de validación trabajé la distancia entre responder bien y hacer bien. Este hallazgo agrega algo distinto. Hay una segunda pregunta que casi nadie hace y que anticipa más que la primera.
¿Alcanza con mostrar el riesgo?
Acá la evidencia desmiente el titular cómodo. En los círculos de concienciación circula la idea de que apelar al miedo es contraproducente, y el mayor meta-análisis disponible sobre apelaciones al miedo no sostiene eso. Sobre 127 artículos, 248 muestras independientes y 27.372 participantes, los autores no encontraron ninguna circunstancia identificada en la que la apelación al miedo se diera vuelta y produjera el efecto contrario.
Lo que encontraron fue una diferencia de tamaño. Cuando el mensaje incluía enunciados de eficacia, que además de mostrar el riesgo dicen qué hacer y sostienen que la persona puede hacerlo, el efecto medio sobre las actitudes, las intenciones y la conducta fue de 0,43 sobre 92 muestras, medido en la escala estándar de tamaño de efecto. Cuando no los incluía, fue de 0,21 sobre 154 muestras. Son efectos modestos en los dos casos, y el del mensaje completo dobla al del mensaje que solo alarma. Los intervalos de confianza del 95% no se solapan.
El mensaje que solamente muestra la amenaza está a la mitad, entonces, y la mitad que falta es la que habla de capacidad. En las conductas que hay que repetir, que es casi todo lo que pide un programa, el efecto que midieron es todavía más chico.
¿Por qué esta variable no aparece en los tableros?
Todavía no existe un instrumento estándar de autoeficacia en ciberseguridad que un programa pueda adoptar y aplicar directamente.
Una revisión sistemática de 2024 analizó 174 estudios sobre autoeficacia en ciberseguridad y encontró 173 formas distintas de medirla, de las cuales solo cinco se usaron más de una vez. No hay todavía una medida consolidada que la comunidad haya adoptado.
La evidencia sobre cómo aumentarla también es escasa. Solo 13 de esos 174 estudios probaron una intervención para moverla, ninguna de ellas se replicó, y los propios autores concluyen que su eficacia sigue siendo especulativa.
Para un programa de concienciación eso deja la variable más cerca del diseño y de la evaluación interna que de la comparación con otras organizaciones. Una escala propia sirve para seguir la evolución de la propia población, y solo si se mantiene idéntica de un año al siguiente.
Qué decide el programa
La creencia de poder hacer algo se forma por cuatro vías, y no pesan igual. La revisión de 2024 las ordena siguiendo la formulación original de Albert Bandura, y esa jerarquía se traduce con bastante nitidez en decisiones de programa.
- El logro propio, y que se vea. La vía más fuerte es haber ejecutado la acción y haber visto el resultado. Para un programa eso significa producir ocasiones donde la persona ejecute una acción de seguridad completa y reciba una devolución de lo que pasó, no solamente donde reconozca la respuesta correcta en una lista.
- Ver a alguien parecido hacerlo. La segunda vía es observar a otra persona ejecutar la conducta. La revisión señala que está poco estudiada en comparación con las demás, así que va como hipótesis de diseño y no como recomendación respaldada. Se puede probar en grupo y medirlo aparte.
- Decirlo es la vía más débil. La persuasión verbal, del tipo “puedes detectar un correo así”, figura en la formulación original como una fuente relativamente débil. Un mensaje que solo afirma la capacidad, sin ninguna de las dos vías anteriores, es la palanca menos potente de las cuatro.
- La cuarta vía explica el problema de las campañas de alarma. La activación emocional también informa la creencia. Cuando el nivel de activación es alto, la persona no espera poder afrontar la situación y ajusta a la baja su juicio sobre lo que puede hacer. Una campaña construida solo sobre la amenaza opera sobre la vía menos fiable de las cuatro, y en la dirección equivocada. Es el otro lado de lo que el meta-análisis del miedo mostró desde los datos.
En cómo se cae un hábito de seguridad cuando cambia el contexto planteé que la variable del programa es la señal y no la motivación. Esta pieza completa ese planteo. La señal dispara la conducta, y la creencia de poder ejecutarla decide si esa conducta está disponible para ser disparada.
Qué indicadores de comportamiento mirar en lugar de la tasa de clic ya está tratado en ¿tu programa de awareness está midiendo lo que importa?. Esta pieza trabaja la capa de abajo, la variable que esos indicadores dejan implícita.
Sobre la medición conviene ser conservador. Mientras no haya instrumento comparable, lo que un programa puede observar hoy son las consecuencias de esa creencia, y la más visible es que alguien haga algo de seguridad sin que se lo hayan asignado.
El tablero de SMARTFENSE ya trae indicadores más cerca de eso que la tasa de clic. El hub de reportes incluye en su cuadro ejecutivo la tasa de reporte y la tasa de proactividad junto a la de finalización, y un informe de adopción que mira el consumo voluntario de contenidos. Esos números no miden la autoeficacia, y decirlo importa. Registran acciones que una persona que se siente capaz hace más seguido, una cosa distinta de la creencia misma.
Para la primera vía, la del logro con resultado visible, el botón de reporte es el caso más nítido de la plataforma: quien reporta una simulación recibe una devolución instantánea, más puntos de experiencia e insignias. El límite también está a la vista en esa misma página. Cuando el correo reportado es real, la información sale hacia el equipo de respuesta y no hay ninguna devolución prometida a quien reportó. Ese circuito, mirado desde la operación, está desarrollado en el hábito de reportar sin respuesta.
El conocimiento se puede verificar con una pregunta. La creencia de poder usarlo se ve solamente cuando alguien actúa sin que se lo pidan.
Deja una respuesta