Perché un’abitudine di sicurezza crolla quando cambia il contesto

Uno studio sul campo pubblicato nel 2011 si è proposto di rispondere a una domanda semplice sulle abitudini. Quando qualcuno compra i popcorn al cinema, li mangia perché gli piacciono o perché è abituato a mangiarli lì?

Per scoprirlo sono state distribuite scatole di popcorn agli spettatori di un cinema, alcune appena fatte e altre con sette giorni di vita, misurando quanto mangiava ciascuna persona. Chi arrivava con la forte abitudine di mangiare popcorn al cinema ha giudicato quelli stantii come sgradevoli, e ne ha mangiato comunque circa il 63% della scatola, quasi la stessa quantità di chi aveva ricevuto popcorn freschi.

La distribuzione è stata poi ripetuta con un altro gruppo di persone, questa volta in una sala riunioni dove si guardavano film in video. Lì il gusto è tornato a comandare, e chi ha ricevuto quelli stantii ne ha mangiato circa la metà rispetto a chi ha ricevuto quelli freschi.

L’abitudine era attaccata al cinema. Dentro quel contesto il comportamento continuava a uscire anche quando il cibo non piaceva. Fuori da lì, tornava a dipendere da quanto piaceva.

Il risultato è scomodo perché mette in dubbio un presupposto piuttosto diffuso, che le persone agiscano soprattutto in base a ciò che sanno o a ciò che decidono. In perché il phishing non è un problema di conoscenza ho sviluppato perché sapere la risposta giusta non basta a far sì che quella risposta governi il comportamento. Qui mi interessa la domanda successiva. Se non lo governano la conoscenza né l’intenzione del giorno, allora cosa lo governa.

Perché non basta voler cambiare un’abitudine di sicurezza?

Un’abitudine è un legame appreso tra un contesto e una risposta. Per questo, quando ricompare il segnale di quel contesto, il comportamento può eseguirsi anche se le preferenze o le intenzioni sono già cambiate. La motivazione muove l’intenzione. Il segnale muove l’abitudine.

In un altro studio, Wood, Tam e Guerrero Witt hanno seguito 115 studenti che si trasferivano in una nuova università e hanno osservato cosa accadeva a tre abitudini quotidiane, fare esercizio, leggere il giornale e guardare la televisione. Dove la nuova situazione conservava gli stessi segnali e le stesse circostanze associate a quei comportamenti, le abitudini tendevano a mantenersi. Chi leggeva il giornale in compagnia, e continuava ad averla, ha continuato a leggerlo. Dove il contesto cambiava molto, le abitudini si indebolivano e l’intenzione tornava a pesare, quindi la persona faceva ciò che effettivamente voleva fare.

I cambiamenti di circostanze spostavano anche le intenzioni, ma questo da solo non bastava a spiegare le interruzioni. L’intenzione dice cosa vogliamo fare. Il contesto tende a determinare cosa finiamo per fare.

Quale comportamento di sicurezza può diventare un’abitudine?

Quelli che si ripetono in contesti stabili e finiscono per associarsi ai segnali di quei contesti. Lì sta il problema silenzioso di molti programmi, che dedicano anni ad automatizzare un giudizio.

Il rilevamento del phishing non è un buon candidato per l’automazione completa. Ogni email porta informazioni diverse, la risposta dipende dal caso e spesso bisogna valutare più segnali prima di decidere. Ripetere la formazione migliora quel criterio, e comunque non trasforma il buon giudizio in una risposta automatica.

Quello che si può progettare sono abitudini costruite attorno a quel giudizio.

1. Se una email chiede credenziali, non usare il link del messaggio ed entrare dal preferito.
2. Se arriva una richiesta di pagamento fuori dal circuito abituale, verificarla tramite il canale noto.
3. Se qualcosa sembra sospetto, segnalarlo con lo strumento stabilito.

La distinzione conta. Ciò che si automatizza è l’azione di fronte a un segnale determinato, e la decisione resta un giudizio.

Benjamin Gardner, Amanda Rebar e Phillippa Lally hanno esaminato nel 2022 come si studia la formazione delle abitudini fuori dal laboratorio, e hanno messo per iscritto due condizioni. Un’abitudine si sviluppa quando il comportamento si ripete in un contesto coerente. E non si forma se prima non è cambiato qualcosa nella motivazione, nella capacità o nell’opportunità di agire. Quella seconda condizione è quella che di solito manca. Un programma non installa un’abitudine ripetendo un messaggio per mesi, deve creare le condizioni perché esista un comportamento concreto.

Serve chiedere a qualcuno di impegnarsi a stare più attento?

I piani che nominano un innesco funzionano meglio di quelli che nominano una data. Le prove sulle intenzioni di implementazione, i piani con formato “se compare X, allora faccio Y”, raccolgono 642 test indipendenti. L’effetto generale è piccolo e la revisione stessa segnala un bias di pubblicazione sostanziale, quindi il punto si appoggia sul confronto interno più che sulla dimensione. I piani con formato contingente hanno reso d = 0,43 contro 0,29 di quelli con formato di agenda, che dicono quando e dove senza legare l’azione a una condizione.

Tradotto nel programma, la differenza si vede. “Questo trimestre presteremo più attenzione alle richieste di pagamento” esprime un’intenzione e non specifica cosa dovrebbe attivare il comportamento né cosa fare in quel momento. “Se arriva una richiesta di pagamento fuori dallo strumento abituale, allora chiamo la persona al numero che ho già in rubrica” trasforma una situazione concreta in un’istruzione concreta.

Questo non rende ancora il comportamento un’abitudine. Ciò che fa il piano è preparare in anticipo la risposta a un segnale determinato, e se quella relazione si ripete poi in un contesto stabile, può diventare parte di un comportamento abituale.

Un nudge usa una logica simile dall’esterno, perché introduce il segnale nel momento in cui il comportamento deve avvenire. L’intenzione di implementazione fa qualcosa di diverso, dato che la persona decide in anticipo quale segnale riconoscerà e cosa farà quando comparirà. La differenza sta in chi fornisce il segnale, l’ambiente in un caso e il piano stesso nell’altro.

Quando conviene intervenire per costruire un’abitudine?

Quando il contesto che sosteneva la vecchia abitudine si è appena rotto. È il momento in cui il segnale smette di attivarsi da solo e il comportamento torna sotto il controllo dell’intenzione, che è esattamente la condizione di cui un programma ha bisogno e che quasi mai sceglie.

Questo trasforma un elenco di eventi operativi nella migliore agenda di intervento disponibile. I momenti sono l’ingresso di una persona, la migrazione del client di posta, una riorganizzazione dei team, un cambio di ufficio o di modalità di lavoro, e la consegna di un computer nuovo. In tutti questi i segnali dell’ambiente cambiano di colpo, e le routine che la persona portava con sé smettono di essere sostenute da qualsiasi cosa.

La stessa revisione del 2022 lo segnala per i grandi cambiamenti della vita, come un trasloco o uno spostamento del luogo di lavoro, che aprono la possibilità di costruire legami nuovi tra segnale e comportamento. Parte di quei segnali, inoltre, è ciò che fa il team intorno, un piano che ho trattato a parte in la scorciatoia che diventa norma.

Il rovescio dello stesso momento è che mette a rischio le buone abitudini già esistenti. Chi segnalava le email sospette con un pulsante che stava sempre nello stesso punto della barra non ha più quel pulsante dov’era. L’intenzione di segnalare è ancora lì, e il legame che la eseguiva senza pensare non più. Conviene aggiungere allora il livello di scadenza della formazione e nuovi assunti, perché sono gli stessi eventi letti dal lato operativo del programma.

Quella finestra ha un limite che conviene tenere presente. È stretta e si chiude da sola, perché il nuovo contesto inizia a produrre le proprie routine appena si stabilizza. Arrivare presto lì conta più che arrivare completi.

Dove resta il lavoro del programma

Cambia poco nel contenuto e parecchio nell’unità e nel momento. Il comportamento si sceglie per la sua forma più che per la sua importanza, e l’intervento si colloca dove il contesto si rompe.

Due componenti del programma di SMARTFENSE lavorano su quel piano. Il pulsante di segnalazione è il comportamento che si presta meglio a diventare abitudine, perché il segnale è sempre simile e la risposta è una sola, disponibile senza uscire dalla casella di posta. E il calendario di campagne permette di attivare l’intervento in base all’evento invece che alla data, che è la differenza che conta in un nuovo ingresso o in una migrazione.

La piattaforma mantiene inoltre il registro di cosa ha ricevuto ogni persona e quando, che è ciò che poi permette di vedere se l’intervento è arrivato dentro la finestra o più tardi.

Un programma che punta alla volontà deve vincere ogni giorno. Uno che punta al segnale vince una volta, e poi il contesto lo sostiene da solo.