Come si passa da un comportamento obiettivo a un contenuto di Cybersecurity awareness?

Quando decidiamo di lavorare su un tema di Cybersecurity awareness, la prima conversazione tende a ruotare intorno al formato, se funzionerebbe meglio un video o se un gioco coinvolgerebbe di più. È una domanda logica, perché il formato è la prima cosa che si vede e quella che poi le persone ricordano. Detto questo, da dove comincia un contenuto che cambia qualcosa? Dal comportamento. Prima di decidere come raccontarlo, bisogna sapere che cosa deve fare di diverso la persona quando lo avrà terminato, e se questa definizione resta implicita, ogni persona del team ne immagina una diversa e il contenuto finisce per allenare un po’ di tutto.

Questo percorso, che parte dal comportamento e arriva a un contenuto pubblicato, si chiama progettazione didattica (in inglese instructional design). Qui lo seguiremo in ordine e con un solo esempio dall’inizio alla fine, perché ogni passaggio si veda applicato a una situazione concreta di lavoro.

Che cos’è la progettazione didattica applicata alla Cybersecurity awareness?

La progettazione didattica è il processo con cui si decide che cosa deve saper fare una persona dopo un’esperienza di apprendimento e si costruisce quell’esperienza a partire da lì, con il contenuto, il formato e la forma di valutazione scelti in funzione di quel risultato. Nella Cybersecurity awareness ha un’esigenza in più, perché ciò che ci interessa è quello che la persona fa nella sua casella di posta, sul suo telefono o nel mezzo del suo turno. Sono situazioni in cui non c’è nessun esame di mezzo.

Per questo il punto di partenza è un comportamento e il tema arriva dopo. Qual è la differenza? Un tema è ciò di cui tratta il contenuto, come l’autenticazione a più fattori o il phishing, mentre un comportamento è ciò che qualcuno deve fare in modo diverso in una situazione concreta. Con un tema si può produrre un contenuto corretto dall’inizio alla fine che non chiede alla persona alcuna azione, mentre con un comportamento il contenuto ha uno scopo che poi si può verificare.

L’esempio che seguiremo è una situazione concreta e documentata. Qualcuno che ha già ottenuto la password di una persona prova ad accedere al suo account. Poiché l’accesso richiede un secondo fattore, sul telefono di quella persona arriva una richiesta di approvazione che non ha chiesto. A volte ne arriva una sola e a volte ne arrivano molte di seguito, con la scommessa che a un certo punto la persona tocchi “Approva” perché smettano di comparire. MITRE ATT&CK, la base di conoscenza sulle tecniche di attacco usata dai team di sicurezza, descrive questa tecnica e la collega a quella che è nota come MFA fatigue.

Perché partire dal formato porta a contenuti che non cambiano nulla?

Quando il formato si decide per primo, il resto della progettazione si adatta a lui. Se è già stabilito che sarà un video di due minuti, la domanda diventa che cosa entra in due minuti di video, e la risposta tende a essere tutto ciò che si può dire sul tema in quel tempo.

Con l’esempio si vede subito. Un contenuto sull’autenticazione a più fattori che parte dal formato spiega che cos’è il secondo fattore, perché protegge l’account, quali metodi esistono e come si attiva. È tutto corretto, eppure la persona può terminarlo senza sapere che cosa fare quando le arriva un’approvazione che non ha chiesto. Quella situazione ha occupato una riga tra tante altre e non ha avuto lo spazio di una decisione allenata.

Il secondo effetto compare nella misurazione, perché se il contenuto non persegue un comportamento, l’unica cosa che resta da misurare è se è stato completato e se le domande finali hanno avuto la risposta giusta. Questi due numeri possono risultare ottimi per un contenuto che non ha cambiato nulla di ciò che succede sul telefono delle persone.

C’è un terzo effetto, più silenzioso, che riguarda il catalogo. Quando ogni contenuto nasce da un formato accattivante, il programma accumula contenuti sullo stesso tema senza che nessuno si faccia carico di un comportamento concreto, e diventa difficile capire che cosa manca e che cosa è di troppo.

Come si scrive un comportamento obiettivo osservabile?

Un comportamento obiettivo ben scritto descrive un’azione che qualcuno potrebbe vedere o registrare, in una situazione concreta e con un criterio che permetta di dire se è avvenuta. Se la frase contiene verbi come sapere, conoscere o comprendere, stiamo ancora descrivendo ciò che succede nella testa della persona, che conta molto ma non si può osservare.

Per scriverlo aiuta rispondere a queste domande in ordine:

• In quale situazione? L’evento scatenante concreto, così come lo vive la persona. Nell’esempio, una richiesta di approvazione di accesso che arriva quando non sta cercando di accedere a nessun sistema.
• Che cosa fa? L’azione, con un verbo chiaro e senza sfumature. La persona rifiuta la richiesta e la segnala attraverso il canale che l’organizzazione ha previsto.
• Come ce ne accorgiamo? Ciò che resterebbe registrato se il comportamento avviene. Nell’esempio, un rifiuto nel sistema di autenticazione e una segnalazione che arriva al team di sicurezza.

Mettendo insieme le risposte, il comportamento resta scritto in una frase che tutto il team può leggere allo stesso modo: ”quando arriva una richiesta di approvazione che non ha avviato, la persona la rifiuta e avvisa il team di sicurezza”. La stessa scheda di MITRE, nella sezione sulle mitigazioni, lo formula quasi negli stessi termini quando raccomanda di formare le persone ad accettare solo le richieste che hanno avviato e a segnalare quelle che non hanno chiesto.

Una prova semplice è confrontare quella frase con quella che compare di solito nella richiesta iniziale, del tipo “che le persone comprendano l’importanza del secondo fattore”. La seconda descrive una buona intenzione, ed è per questo che qualsiasi contenuto sul tema sembra rispettarla. La prima, invece, lascia fuori tutto ciò che non serve per quella situazione.

Con il comportamento scritto emerge anche qualcosa che prima restava nascosto, ossia il minimo che la persona deve sapere per poterlo mettere in pratica. Nell’esempio sono poche cose. La persona deve sapere che una richiesta che non ha chiesto significa che qualcun altro ha la sua password, che rifiutarla è esattamente ciò che l’organizzazione si aspetta da lei e dove segnalarla.

La storia del secondo fattore o il confronto tra i metodi possono essere interessanti, ma non servono per questo comportamento e occupano l’attenzione di cui la persona ha bisogno per ciò che conta. Così ciò che resta fuori dal contenuto si decide con il comportamento alla mano.

Come si sceglie il formato che allena quel comportamento?

Solo a questo punto torna la domanda iniziale, e arriva con un criterio che prima non aveva. Il formato che allena meglio un comportamento è quello che più somiglia al momento in cui quel comportamento deve comparire. In questo articolo su fumetto, video e newsletter abbiamo visto che cosa fa bene ciascun formato in base al comportamento che si cerca, quindi qui ci concentreremo su come si applica quel criterio all’esempio.

Com’è il momento reale? Dura pochi secondi, arriva sul telefono senza preavviso e di solito interrompe un’altra attività, con pochissimo testo sullo schermo per decidere. Un contenuto lungo che spiega l’autenticazione a più fattori dall’inizio resta lontano da quella situazione. Un esercizio di decisione che mostra la notifica così come appare e chiede alla persona di scegliere che cosa fare le somiglia molto di più, perché le fa allenare la stessa decisione che poi dovrà prendere da sola.

Se il programma include giochi, quell’esercizio può vivere dentro uno di essi, come una sfida in cui si avanza decidendo bene, e quando il gioco è condiviso tra reparti aggiunge anche la conversazione che nasce intorno, che aiuta a fissare ciò che si è imparato. Un video breve può accompagnarlo, per esempio per mostrare com’è una raffica di richieste vista dalla parte di chi attacca, e una storia ben raccontata aiuta a capire perché qualcuno finirebbe per approvarne una. Nessuno dei due sostituisce l’allenamento della decisione, che è il centro del contenuto.

I nudge giocano su un altro piano, perché la loro forza sta nell’arrivare appena prima della decisione, e per questo serve un evento che la piattaforma di Cybersecurity awareness possa rilevare. Una richiesta di approvazione avviene nel sistema di autenticazione, quindi in questo esempio il nudge non ha dove agganciarsi. Arrivare a questa conclusione fa parte anch’esso della progettazione, perché evita di produrre un contenuto in un formato che non può svolgere la sua funzione.

Quando il catalogo offre diversi formati per uno stesso tema, come succede con i contenuti di SMARTFENSE, che includono video, fumetti, moduli interattivi, newsletter e videogiochi, è il comportamento obiettivo a permettere di scegliere tra di essi. E poiché si possono modificare i testi, le immagini e gli esempi, la notifica che compare nel contenuto può somigliare a quella che la persona vede sul proprio telefono.

Come si decide, prima di produrlo, se il contenuto ha funzionato?

La misurazione si decide prima di produrre, e il motivo è pratico. Se aspettiamo di avere il contenuto finito, misureremo ciò che il contenuto permette di misurare, di solito se è stato completato. Con il comportamento scritto, invece, la terza domanda del passaggio precedente ha già annotato che cosa dovremmo vedere se il contenuto funziona.

Nell’esempio, il segnale più diretto sta nelle segnalazioni. Se dopo la pubblicazione il canale di segnalazione riceve più avvisi di richieste non avviate rispetto a prima, il comportamento sta comparendo. Perché il confronto dica qualcosa bisogna guardare il punto di partenza prima di pubblicare, perché senza un prima non c’è modo di sapere se il dopo è cambiato. Se il sistema di autenticazione dell’organizzazione registra i rifiuti, il team che lo gestisce può aggiungere quel dato e il confronto guadagna in precisione.

Le domande di validazione mantengono il loro posto, anche se misurano un’altra cosa. Una domanda ben fatta verifica che la persona abbia capito che cosa significa una richiesta che non ha chiesto, ed è una condizione per il comportamento, ma non garantisce che compaia quando la notifica arriva sul telefono in una giornata di lavoro qualsiasi. In questo articolo sulle domande di validazione approfondiamo che cosa misurano e che cosa no.

Ci sono comportamenti che non lasciano una traccia così chiara, e in quei casi vale comunque la pena scrivere che cosa ci aspetteremmo di vedere, anche se è un segnale indiretto, perché l’esercizio serve a verificare se il comportamento è ben definito. Se non ci viene in mente nessun modo di accorgerci che è avvenuto, probabilmente stiamo ancora descrivendo un tema.

La domanda sul formato, al suo posto

Torniamo alla conversazione iniziale, quella del video o del gioco. La domanda resta valida, e quando arriva dopo il comportamento si può rispondere con argomenti, perché sappiamo già quale situazione bisogna allenare, che cosa deve sapere la persona per affrontarla e che cosa ci aspettiamo di vedere se ci riesce.

In definitiva, un contenuto di Cybersecurity awareness è ben progettato quando qualsiasi persona del team sa dire quale comportamento allena e come ci accorgeremo che è comparso. Se la prossima volta che affrontiamo un tema cominciamo chiedendoci che cosa deve fare di diverso la persona, la conversazione sul formato continuerà a esistere, solo che sarà più breve, perché il comportamento avrà già escluso la maggior parte delle opzioni.