Por qué un hábito de seguridad se cae cuando cambia el contexto

Un estudio de campo publicado en 2011 se propuso responder una pregunta simple sobre los hábitos. Cuando alguien compra palomitas en el cine, ¿las come porque le gustan o porque está habituado a comerlas ahí?

Para averiguarlo repartieron cajas de palomitas entre quienes asistían a un cine, unas recién hechas y otras con siete días de antigüedad, y midieron cuánto comía cada persona. Quienes llegaban con el hábito fuerte de comer palomitas en el cine calificaron las rancias como desagradables, y comieron igual alrededor del 63% de la caja, casi lo mismo que quienes habían recibido palomitas frescas.

Después repitieron el reparto con otro grupo de personas, esta vez en una sala de reuniones donde se veían películas en video. Ahí el gusto volvió a mandar, y quienes recibieron las rancias comieron cerca de la mitad que quienes recibieron las frescas.

El hábito estaba pegado al cine. Dentro de ese contexto la conducta seguía saliendo aunque la comida no gustara. Fuera de él, volvía a depender de cuánto gustaba.

El hallazgo incomoda porque pone en duda un supuesto bastante extendido, que las personas actúan sobre todo según lo que saben o lo que deciden. En por qué el phishing no es un problema de conocimiento desarrollé por qué saber la respuesta correcta no alcanza para que esa respuesta gobierne la conducta. Acá me interesa la pregunta que sigue. Si no la gobierna el conocimiento ni la intención del día, entonces qué la gobierna.

¿Por qué no alcanza con querer cambiar un hábito de seguridad?

Un hábito es un vínculo aprendido entre un contexto y una respuesta. Por eso, cuando reaparece la señal de ese contexto, la conducta puede ejecutarse incluso si las preferencias o las intenciones ya cambiaron. La motivación mueve la intención. La señal mueve el hábito.

En otro estudio, Wood, Tam y Guerrero Witt siguieron a 115 estudiantes que cambiaban de universidad y observaron qué pasaba con tres hábitos cotidianos, hacer ejercicio, leer el diario y ver televisión. Cuando en el destino se conservaban las mismas señales y situaciones asociadas a esas conductas, los hábitos tendían a mantenerse. Quien leía el diario acompañado y seguía teniendo con quién, siguió leyéndolo. Cuando el contexto cambiaba mucho, los hábitos se debilitaban y la intención volvía a tener peso, así que la persona hacía lo que efectivamente quería hacer.

Los cambios de circunstancias también movían las intenciones, pero eso por sí solo no alcanzaba para explicar las caídas. La intención dice qué queremos hacer. El contexto suele determinar qué terminamos haciendo.

¿Qué conducta de seguridad puede volverse un hábito?

Las que se repiten en contextos estables y terminan asociándose a las señales de esos contextos. Ahí está el problema silencioso de muchos programas, que dedican años a automatizar un juicio.

La detección de phishing no es buena candidata para automatizarse por completo. Cada correo trae información distinta, la respuesta depende del caso y muchas veces hay que evaluar varias señales antes de decidir. Repetir el entrenamiento mejora ese criterio, y no por eso convierte el buen juicio en una respuesta automática.

Lo que sí se puede diseñar son hábitos alrededor de ese juicio.

1. Si un correo pide credenciales, no usar el enlace del mensaje y entrar por el favorito.
2. Si llega un pedido de pago por fuera del circuito habitual, verificarlo por el canal conocido.
3. Si algo parece sospechoso, reportarlo con la herramienta establecida.

La diferencia importa. Lo que se automatiza es la acción ante una señal determinada, y la decisión sigue siendo un juicio.

Benjamin Gardner, Amanda Rebar y Phillippa Lally revisaron en 2022 cómo se estudia la formación de hábitos fuera del laboratorio, y dejaron dos condiciones escritas. Un hábito se desarrolla cuando la conducta se repite en un contexto consistente. Y no se forma si antes no cambió algo en la motivación, en la capacidad o en la oportunidad de actuar. Esa segunda condición es la que suele faltar. Un programa no instala un hábito repitiendo un mensaje durante meses, tiene que crear las condiciones para que exista una conducta concreta.

¿Sirve pedirle a alguien que se comprometa a estar más atento?

Los planes que nombran un disparador funcionan mejor que los que nombran una fecha. La evidencia sobre intenciones de implementación, los planes con formato “si aparece X, entonces hago Y”, reúne 642 pruebas independientes. El efecto general es pequeño y la propia revisión reporta sesgo de publicación sustancial, así que el punto se apoya en la comparación interna antes que en el tamaño. Los planes con formato contingente rindieron d = 0,43 contra 0,29 de los que tienen formato de agenda, que dicen cuándo y dónde sin atar la acción a una condición.

Traducido al programa, la diferencia queda a la vista. “Este trimestre vamos a prestar más atención a los pedidos de pago” expresa una intención y no especifica qué debería activar la conducta ni qué hacer en ese momento. “Si llega un pedido de pago por fuera de la herramienta habitual, entonces llamo a la persona al número que ya tengo agendado” convierte una situación concreta en una instrucción concreta.

Eso todavía no vuelve la conducta un hábito. Lo que hace el plan es preparar de antemano la respuesta a una señal determinada, y si esa relación se repite después en un contexto estable, puede volverse parte de una conducta habitual.

Un nudge usa una lógica parecida desde afuera, porque introduce la señal en el momento en que la conducta tiene que ocurrir. La intención de implementación hace algo distinto, ya que la persona decide de antemano qué señal va a reconocer y qué va a hacer cuando aparezca. La diferencia está en quién pone la señal, el entorno en un caso y el propio plan en el otro.

¿Cuándo conviene intervenir para instalar un hábito?

Cuando el contexto que sostenía al hábito viejo se acaba de romper. Es el momento en que la señal deja de disparar sola y la conducta vuelve a quedar bajo control de la intención, que es exactamente la condición que un programa necesita y casi nunca elige.

Eso convierte una lista de eventos operativos en la mejor agenda de intervención disponible. Los momentos son el alta de una persona, la migración del cliente de correo, una reorganización de equipos, un cambio de oficina o de esquema de trabajo, y la entrega de un equipo nuevo. En todos ellos las señales del ambiente cambian de golpe, y las rutinas que la persona traía dejan de estar respaldadas por nada.

La misma revisión de 2022 lo señala para los cambios grandes de la vida, como una mudanza o una reubicación del lugar de trabajo, que abren la posibilidad de armar vínculos nuevos entre señal y conducta. Parte de esas señales, además, es lo que hace el equipo alrededor, un plano que trabajé aparte en el atajo que se vuelve norma.

La contracara del mismo momento es que pone en riesgo los hábitos buenos que ya existían. Alguien que reportaba correos sospechosos con un botón que estaba siempre en el mismo lugar de la barra deja de tener ese botón donde estaba. La intención de reportar sigue ahí, y el vínculo que la ejecutaba sin pensar ya no. Conviene sumar entonces la capa de vigencia y altas de personal, porque son los mismos eventos leídos desde la operación del programa.

Esa ventana tiene un límite que conviene tener presente. Es angosta y se cierra sola, porque el contexto nuevo empieza a producir sus propias rutinas en cuanto se estabiliza. Llegar temprano ahí importa más que llegar completo.

Dónde queda el trabajo del programa

Cambia poco en el contenido y bastante en la unidad y en el momento. La conducta se elige por su forma antes que por su importancia, y la intervención se coloca donde el contexto se rompe.

Dos piezas del programa de SMARTFENSE trabajan sobre ese plano. El botón de reporte es la conducta que mejor se presta a volverse hábito, porque la señal es siempre parecida y la respuesta es una sola, disponible sin salir de la bandeja. Y el calendario de campañas permite disparar la intervención contra el evento en lugar de contra la fecha, que es la diferencia que cuenta en un alta o en una migración.

La plataforma mantiene además el registro de qué recibió cada persona y cuándo, que es lo que después deja ver si la intervención llegó dentro de la ventana o más tarde.

Un programa que apunta a la voluntad tiene que ganar todos los días. Uno que apunta a la señal gana una vez, y después el contexto lo sostiene solo.