¡Los usuarios no tienen sentido común!

El buen sentido es la cosa mejor repartida del mundo, pues cada uno piensa estar tan bien provisto de ella que incluso aquellos que son los más difíciles de contentar en cualquier otra cosa no tienen en esto costumbre de desear más del que tienen.

René Descartes, El Discurso del método [1][2]

En mi día a día me resulta habitual escuchar frases como: “Si caés en trampas de Phishing, es porque no tenés sentido común”, o “Sólo se necesita sentido común para estar seguro en Internet”, y miles de variantes más que tienen como común denominador este ¿grandioso? “Sentido Común”.

Parece que dicho sentido fuese esa solución mágica frente a todo riesgo de la seguridad de la información que tantos intentan (sin éxito, ahora y por siempre) encontrar.

Sin embargo, la experiencia me demuestra que esto no es así, y que parece ser que este sentido común, no es tan común como su nombre lo indica.

Empecemos por el principio, como dicta el sentido común

Luego de leer algunas definiciones sobre el sentido común [3] [4] [5], es inmediato concluir que esto no es un concepto científico, sino filosófico, y hay tantas definiciones como autores hablan del tema.

En general, parece que el sentido común es lo que piensa o sabe la mayoría de las personas acerca de algo, algo así como un “ conocimiento común aplicado”. El lector sabrá que si acerca demasiado la mano al fuego, se va a quemar. Eso es parece ser el sentido común.
Ahora bien… ¿Nació usted con sentido común?.
Si en algo coinciden todas las definiciones, es que el sentido común varía entre personas, familias, ciudades y países, y que el mismo se aprende a lo largo de la vida, a través de todo tipo de fuentes, siendo la principal la propia experiencia.

¿Cuándo lo aplicamos?

Cada vez que realizamos un juicio, nuestro sentido común toma parte en nuestra decisión.

Tomando nuestra experiencia y conocimiento general sobre cierta situación, el sentido común saldrá a darnos la respuesta más simple para que podamos tomar la decisión más correcta, simple e inmediata, según él.

Volviendo a la seguridad de la información

Las personas que mencionan que es necesario tener sentido común para proteger la información, puede que tengan razón, hablando desde su propio sentido común, que no es igual al de las otras personas.

Aquellos responsables de seguridad informática que esperan, por ejemplo, que sus usuarios tengan sentido común para no caer en trampas de Phishing, tienen que saber que a sus usuarios el sentido común NO les indica que un archivo adjunto de un correo puede ser peligroso, por mencionar un caso.

De hecho, yo diría que el sentido común, en la mayoría de las sociedades, indica a las personas conductas poco seguras respecto a la protección de la información.

Entonces, ¿el sentido común no sirve en el mundo de la seguridad?

Pienso que está muy buena la idea de lograr que el sentido común nos lleve a tener comportamientos seguros, y que sería un arma poderosa (pero no la única) contra los riesgos de seguridad de la información de la organización.

Pero, por lo ya mencionado, el responsable de seguridad de la organización debe crear este sentido común [6] proveyendo un conocimiento común a sus usuarios.

Y no es tan fácil como poner a una persona frente al fuego y mostrarle que si acerca la mano se va a quemar. Pero, con los medios adecuados, es posible. Es posible enseñar a una persona los riesgos a los cuales se expone, por ejemplo, en Internet. Es posible ponerla a prueba frente a escenarios reales para que vaya formando su propia experiencia en estas situaciones. Es posible que el comportamiento seguro se convierta en un hábito y en el sentido común de cada usuario.

Pero, es necesario dedicar tiempo y utilizar los medios y herramientas correctos para lograrlo, y no esperar que un usuario, por su sentido común, se convierta por sí solo en una capa fuerte de seguridad de la organización.

¡Los usuarios no tienen sentido común!