Un programa de concientizaci\u00f3n aumenta la frecuencia de sus avisos porque los indicadores no mejoran. Al trimestre siguiente la tasa de reporte baja, las simulaciones no muestran avance y en el informe se escribe que a las personas el tema no les importa lo suficiente. De ah\u00ed sale casi siempre la decisi\u00f3n de insistir m\u00e1s, que es justamente la que empeora el cuadro. El inter\u00e9s sigui\u00f3 donde estaba. Lo que cay\u00f3 fue la respuesta a un est\u00edmulo que se repite sin que nada dependa de \u00e9l, y detr\u00e1s de ese descenso hay dos fen\u00f3menos que la etiqueta de fatiga de seguridad suele reunir en uno.<\/p>\n
Conviene separarlos antes de tocar el calendario. Uno es la fatiga de seguridad propiamente dicha, un estado de desgano frente a las decisiones que la seguridad le pide a cada persona. El otro es la habituaci\u00f3n, una forma elemental de aprendizaje que hace caer la respuesta a un est\u00edmulo repetido porque se vuelve predecible y deja de aportar informaci\u00f3n. A veces viene acompa\u00f1ada de desinter\u00e9s, aunque no lo necesita, y la reacci\u00f3n baja igual en alguien a quien el tema le sigue importando. Se confunden con facilidad porque se ven parecidos en un tablero, y piden intervenciones que van en direcciones opuestas.<\/p>\n
La fatiga de seguridad es el hast\u00edo o la reticencia a lidiar con la seguridad inform\u00e1tica. La definici\u00f3n proviene de un estudio del NIST<\/a> publicado en 2016 en IEEE IT Professional por Brian Stanton, Mary Theofanos, Sandra Spickard Prettyman y Susanne Furman, que trabaj\u00f3 con usuarios comunes de distintas edades y entornos y encontr\u00f3 ese estado extendido en la mayor\u00eda de las personas entrevistadas. Es un hallazgo cualitativo, sin porcentajes.<\/p>\n Lo interesante del trabajo es d\u00f3nde ubica el origen, que est\u00e1 en la cantidad de decisiones antes que en la cantidad de amenazas. Cada verificaci\u00f3n, cada actualizaci\u00f3n, cada contrase\u00f1a nueva, cada advertencia que pide elegir entre continuar o volver atr\u00e1s es una decisi\u00f3n que compite con la tarea por la que a esa persona la contrataron.<\/p>\n Cuando la cuenta se acumula y la fricci\u00f3n sube, la salida m\u00e1s com\u00fan pasa a ser el camino de menor resistencia, y rara vez tiene algo de imprudencia deliberada. Es entonces cuando aparecen los atajos conocidos, como reutilizar la misma contrase\u00f1a en varios servicios, postergar la actualizaci\u00f3n que interrumpe el trabajo o pedirle las credenciales a un compa\u00f1ero para no esperar un permiso.<\/p>\n La fatiga de seguridad describe entonces un estado que produce el dise\u00f1o del entorno, y por eso se corrige redise\u00f1ando ese entorno.<\/p>\n Porque la repetici\u00f3n sin novedad ni consecuencia produce habituaci\u00f3n, y la habituaci\u00f3n no depende de la calidad del mensaje.<\/p>\n En 2009, en Neurobiology of Learning and Memory, Catharine Rankin y un grupo de investigadores<\/a> revisaron el consenso sobre este mecanismo y lo definieron con una precisi\u00f3n que resulta \u00fatil aqu\u00ed. La habituaci\u00f3n es un decremento de la respuesta conductual producido por la estimulaci\u00f3n repetida, que no involucra adaptaci\u00f3n sensorial ni fatiga motora. La distinci\u00f3n importa. El ojo sigue viendo el aviso y la persona no est\u00e1 agotada. Lo que ocurri\u00f3 es que el organismo aprendi\u00f3 que ese est\u00edmulo no anticipa nada relevante y dej\u00f3 de asignarle una respuesta.<\/p>\n Para un programa de concientizaci\u00f3n esa definici\u00f3n resulta inc\u00f3moda, porque significa que un aviso impecable pierde respuesta igual. La redacci\u00f3n cuidada, el dise\u00f1o limpio y el dato bien elegido mejoran la comprensi\u00f3n de quien todav\u00eda presta atenci\u00f3n, pero no evitan la habituaci\u00f3n que produce la repetici\u00f3n id\u00e9ntica.<\/p>\n De ah\u00ed se entiende por qu\u00e9 los dos fen\u00f3menos piden cosas distintas. La fatiga de seguridad se alivia bajando la cantidad de decisiones que la organizaci\u00f3n delega en cada persona. La habituaci\u00f3n se revierte cambiando el est\u00edmulo o d\u00e1ndole descanso. Un programa que responde a la habituaci\u00f3n produciendo mejor contenido est\u00e1 atacando un problema real con la herramienta equivocada.<\/p>\n En la frecuencia. Cuanto m\u00e1s seguido se presenta un est\u00edmulo, m\u00e1s r\u00e1pido cae la respuesta, aunque tambi\u00e9n m\u00e1s r\u00e1pido se recupera cuando el est\u00edmulo se retira. Es una de las diez caracter\u00edsticas que describe la revisi\u00f3n de Rankin y la que tiene consecuencias m\u00e1s directas sobre un calendario.<\/p>\n Cuando planteamos que el espaciado importa m\u00e1s que la intensidad<\/a>, el argumento ven\u00eda de la curva del olvido y sosten\u00eda que distribuir el refuerzo rinde m\u00e1s que concentrarlo en una jornada anual. Ese principio sigue en pie y tiene un techo. El espaciado sostiene la memoria mientras cada aparici\u00f3n conserve algo de valor informativo. Pasado cierto punto de densidad, la misma repetici\u00f3n que sosten\u00eda el recuerdo empieza a entrenar la indiferencia.<\/p>\n Ese techo no es un n\u00famero universal ni una regla de tantos env\u00edos por mes. Depende del formato, del canal, de cu\u00e1nto se parece cada pieza a la anterior y de si algo cambia seg\u00fan c\u00f3mo responda la persona. Dos programas con la misma frecuencia mensual pueden estar en lados opuestos del l\u00edmite. El que se mantiene del lado \u00fatil hace que cada pieza llegue en un momento distinto y pida algo distinto. El que ya lo cruz\u00f3 env\u00eda el mismo recordatorio el mismo d\u00eda por el mismo canal, y lo \u00fanico que var\u00eda es la fecha.<\/p>\n El microaprendizaje<\/a> opera del lado correcto de ese l\u00edmite mientras las piezas breves se distingan entre s\u00ed. Cuando el goteo se vuelve previsible, la brevedad deja de ser una ventaja.<\/p>\n Por se\u00f1ales de comportamiento que las tasas de finalizaci\u00f3n no registran. Un tablero que informa cu\u00e1ntas personas completaron cada m\u00f3dulo puede mostrar un programa en orden sin decir nada sobre c\u00f3mo est\u00e1 respondiendo la gente. Para verlo hay que mirar variables que quedan fuera de ese n\u00famero. Cuatro se\u00f1ales aparecen con regularidad y sirven para ese an\u00e1lisis.<\/p>\n La lectura fina distingue los dos fen\u00f3menos. Si la respuesta cae en un formato o en un canal y se mantiene en otro, se parece m\u00e1s a habituaci\u00f3n, porque el decremento tiene cierta especificidad de est\u00edmulo. Si cae de manera transversal y viene acompa\u00f1ada de resistencia expl\u00edcita, con quejas, pedidos de excepci\u00f3n y evitaci\u00f3n de todo lo que lleve la etiqueta de seguridad, se parece m\u00e1s a fatiga.<\/p>\n Ninguna de las dos aparece en un porcentaje de cumplimiento. Por eso conviene revisar qu\u00e9 est\u00e1 midiendo el programa<\/a> antes de revisar cu\u00e1nto est\u00e1 enviando.<\/p>\n Las mismas caracter\u00edsticas que explican el decremento sugieren por d\u00f3nde intervenir, y tres de ellas tienen traducci\u00f3n operativa directa.<\/p>\n La primera es la recuperaci\u00f3n espont\u00e1nea. La respuesta vuelve, al menos en parte, cuando el est\u00edmulo se retira durante un tiempo. Un calendario de campa\u00f1as<\/a> con huecos deliberados usa esas semanas para devolverle valor al pr\u00f3ximo aviso.<\/p>\n La segunda es la especificidad del est\u00edmulo, junto con el fen\u00f3meno de deshabituaci\u00f3n que la acompa\u00f1a. El decremento no se traslada por completo a est\u00edmulos distintos, y la presentaci\u00f3n de algo diferente puede recuperar la respuesta al original. Conviene trasladar esto con cuidado, porque la literatura mide est\u00edmulos controlados en laboratorio y una campa\u00f1a de concientizaci\u00f3n no lo es. Lo que una persona registra como distinto se decide en el plano del significado antes que en el del formato. Cuando el argumento y la estructura son los mismos, cambiar el envase no produce un est\u00edmulo nuevo, produce el mismo mensaje con otra ropa.<\/p>\n De ah\u00ed que un multicat\u00e1logo con formatos variados<\/a> rinda m\u00e1s que una serie uniforme, siempre que la variaci\u00f3n llegue hasta lo que la pieza dice. Cambiar la imagen de cabecera no alcanza. Pasar de un m\u00f3dulo a una simulaci\u00f3n cambia lo que se le pide a la persona, y ah\u00ed la variaci\u00f3n es real.<\/p>\n La tercera es que nadie est\u00e1 en el mismo punto de la curva. Una persona que report\u00f3 tres correos este mes y otra que no abri\u00f3 ninguna pieza en seis meses no necesitan lo mismo, y enviarles lo mismo garantiza saturar a una y no alcanzar a la otra. Los grupos inteligentes de SMARTFENSE<\/a> permiten que la frecuencia siga a la conducta en lugar de aplicarse por igual a toda la organizaci\u00f3n, sin listas mantenidas a mano.<\/p>\n\u00bfPor qu\u00e9 la respuesta cae aunque el mensaje sea correcto?<\/h2>\n
\u00bfD\u00f3nde est\u00e1 el l\u00edmite entre reforzar y desensibilizar?<\/h2>\n
\u00bfC\u00f3mo se reconoce la fatiga de seguridad en un programa?<\/h2>\n
\n
Qu\u00e9 cambia en el dise\u00f1o del programa<\/h2>\n