La security fatigue e il punto in cui l’avviso smette di funzionare

Un programma di Cybersecurity awareness aumenta la frequenza dei suoi avvisi perché gli indicatori non migliorano. Il trimestre successivo il tasso di segnalazione cala, le simulazioni non mostrano progressi e nel report si scrive che alle persone il tema non interessa abbastanza. Da lì arriva quasi sempre la decisione di insistere di più, che è proprio quella che peggiora il quadro. L’interesse è rimasto dov’era. Quello che è calato era la risposta a uno stimolo che si ripete senza che nulla dipenda da esso, e dietro quel calo ci sono due fenomeni che l’etichetta della security fatigue tende a riunire in uno.

Conviene separarli prima di toccare il calendario. Uno è la security fatigue in senso proprio, uno stato di stanchezza verso le decisioni che la sicurezza chiede a ogni persona. L’altro è l’assuefazione, una forma elementare di apprendimento che fa calare la risposta a uno stimolo ripetuto perché diventa prevedibile e smette di portare informazione. A volte si accompagna al disinteresse, pur non richiedendolo, e la reazione cala allo stesso modo in chi continua a dare importanza al tema. Si confondono facilmente perché su una dashboard si somigliano, e chiedono interventi che vanno in direzioni opposte.

Che cos’è la security fatigue?

La security fatigue è lo sfinimento o la riluttanza a occuparsi della sicurezza informatica. La definizione arriva da uno studio del NIST (National Institute of Standards and Technology) pubblicato nel 2016 su IEEE IT Professional da Brian Stanton, Mary Theofanos, Sandra Spickard Prettyman e Susanne Furman, che ha lavorato con utenti comuni di età e contesti diversi e ha trovato quello stato diffuso nella maggior parte delle persone intervistate. È un risultato qualitativo, senza percentuali.

La parte interessante del lavoro è dove colloca l’origine, che sta nel numero di decisioni più che nel numero di minacce. Ogni verifica, ogni aggiornamento, ogni password nuova, ogni avviso che chiede se continuare o tornare indietro è una decisione che compete con il lavoro per cui quella persona è stata assunta.

Quando il conto si accumula e l’attrito sale, l’uscita più comune diventa la via di minor resistenza, e raramente ha molto di imprudenza deliberata. È allora che compaiono le scorciatoie note, come riutilizzare la stessa password su più servizi, rinviare l’aggiornamento che interrompe il lavoro o chiedere le credenziali a un collega per non aspettare un’autorizzazione.

La security fatigue descrive quindi uno stato che il disegno dell’ambiente produce, ed è per questo che si corregge ridisegnando quell’ambiente.

Perché la risposta cala anche quando il messaggio è corretto?

Perché la ripetizione senza novità né conseguenza produce assuefazione, e l’assuefazione non dipende dalla qualità del messaggio.

Nel 2009, su Neurobiology of Learning and Memory, Catharine Rankin e un gruppo di ricercatori hanno rivisto il consenso su questo meccanismo e lo hanno definito con una precisione che qui torna utile. L’assuefazione è un decremento della risposta comportamentale prodotto dalla stimolazione ripetuta, che non coinvolge adattamento sensoriale né affaticamento motorio. La distinzione conta. L’occhio continua a vedere l’avviso e la persona non è esausta. Quello che è accaduto è che l’organismo ha imparato che quello stimolo non anticipa nulla di rilevante e ha smesso di assegnargli una risposta.

Per un programma di awareness quella definizione risulta scomoda, perché significa che un avviso impeccabile perde risposta comunque. Una scrittura curata, un design pulito e un dato ben scelto migliorano la comprensione di chi sta ancora prestando attenzione, ma non evitano l’assuefazione che la ripetizione identica produce.

Da qui si capisce perché i due fenomeni chiedono cose diverse. La security fatigue si allevia riducendo il numero di decisioni che l’organizzazione delega a ogni persona. L’assuefazione si inverte cambiando lo stimolo o concedendogli una pausa. Un programma che risponde all’assuefazione producendo contenuti migliori sta attaccando un problema reale con lo strumento sbagliato.

Dov’è il limite tra rinforzare e desensibilizzare?

Nella frequenza. Più spesso uno stimolo viene presentato, più rapidamente cala la risposta, anche se più rapidamente si recupera quando lo stimolo viene sospeso. È una delle dieci caratteristiche descritte nella rassegna di Rankin e quella con le conseguenze più dirette su un calendario.

Quando abbiamo sostenuto che la distribuzione conta più dell’intensità, l’argomento veniva dalla curva dell’oblio e reggeva che distribuire il rinforzo rende più che concentrarlo in una giornata annuale. Quel principio resta in piedi e ha un tetto. La distribuzione sostiene la memoria finché ogni apparizione conserva un po’ di valore informativo. Superata una certa densità, la stessa ripetizione che sosteneva il ricordo comincia ad allenare l’indifferenza.

Quel tetto non è un numero universale né una regola di tanti invii al mese. Dipende dal formato, dal canale, da quanto ogni pezzo somiglia al precedente e dal fatto che qualcosa cambi in base a come la persona risponde. Due programmi con la stessa frequenza mensile possono stare su lati opposti del limite. Quello che resta dal lato utile fa arrivare ogni pezzo in un momento diverso e chiedere qualcosa di diverso. Quello che l’ha già superato invia lo stesso promemoria lo stesso giorno sullo stesso canale, e l’unica cosa che varia è la data.

Il microlearning opera sul lato giusto di quel limite finché i pezzi brevi si distinguono tra loro. Quando il gocciolamento diventa prevedibile, la brevità smette di essere un vantaggio.

Come si riconosce la security fatigue in un programma?

Da segnali di comportamento che i tassi di completamento non registrano. Una dashboard che riporta quante persone hanno completato ogni modulo può mostrare un programma in ordine senza dire nulla su come stanno rispondendo le persone. Per vederlo occorre guardare variabili che restano fuori da quel numero. Quattro segnali compaiono con regolarità e servono a quell’analisi.

1. Il tasso di segnalazione cala mentre quello di clic resta stabile. Le persone continuano a distinguere l’attacco e hanno smesso di avvisare. È il segnale più costoso, perché il canale di segnalazione è ciò che dà a un team di sicurezza tempo di reazione.
2. Il tempo di permanenza sui contenuti si accorcia fino a diventare incompatibile con la lettura. Il completamento tiene e il passaggio sul materiale diventa meccanico.
3. Chi ha superato tutte le valutazioni chiede eccezioni proprio ai controlli che quelle valutazioni spiegavano. Capiscono a cosa serve il secondo fattore e chiedono comunque di saltarlo, perché il suo costo sommato a tutto il resto ha smesso di sembrare ragionevole.
4. I canali di sicurezza cominciano a ricevere silenzio, e quel silenzio copre anche gli incidenti reali.

La lettura fine distingue i due fenomeni. Se la risposta cala su un formato o su un canale e tiene su un altro, somiglia più all’assuefazione, perché il decremento ha una certa specificità di stimolo. Se cala in modo trasversale e arriva accompagnata da resistenza esplicita, con lamentele, richieste di eccezione ed evitamento di tutto ciò che porta l’etichetta della sicurezza, somiglia più alla stanchezza.

Nessuna delle due compare in una percentuale di conformità normativa. Per questo conviene rivedere cosa sta misurando il programma prima di rivedere quanto sta inviando.

Cosa cambia nel disegno del programma

Le stesse caratteristiche che spiegano il decremento suggeriscono dove intervenire, e tre di esse hanno una traduzione operativa diretta.

La prima è il recupero spontaneo. La risposta torna, almeno in parte, quando lo stimolo viene sospeso per un po’. Un calendario di campagne con buchi deliberati usa quelle settimane per restituire valore all’avviso successivo.

La seconda è la specificità dello stimolo, insieme al fenomeno di disassuefazione che l’accompagna. Il decremento non si trasferisce del tutto a stimoli diversi, e presentare qualcosa di differente può recuperare la risposta all’originale. Conviene trasferire questo dato con cautela, perché la letteratura misura stimoli controllati in laboratorio e una campagna di Cybersecurity awareness non lo è. Quello che una persona registra come diverso si decide sul piano del significato prima che su quello del formato. Quando l’argomento e la struttura restano gli stessi, cambiare la confezione non produce uno stimolo nuovo, produce lo stesso messaggio con un altro abito.

Da qui un catalogo con formati variati rende più di una serie uniforme, purché la variazione arrivi fino a quello che il pezzo dice. Cambiare l’immagine di testata non basta. Passare da un modulo a una simulazione cambia quello che si chiede alla persona, e lì la variazione è reale.

La terza è che nessuno sta nello stesso punto della curva. Una persona che ha segnalato tre email questo mese e un’altra che non ha aperto un solo pezzo in sei mesi non hanno bisogno della stessa cosa, e inviare loro la stessa cosa garantisce di saturare l’una e di non raggiungere l’altra. I gruppi intelligenti di SMARTFENSE permettono che la frequenza segua il comportamento invece di applicarsi allo stesso modo a tutta l’organizzazione, senza liste mantenute a mano.

Resta il livello tattico del momento in cui arriva ogni intervento, che abbiamo già esplorato parlando dei nudge che arrivano nel momento giusto. Tutto quanto sopra definisce quanto e in che modo. Il momento definisce se l’intervento trova la persona con la decisione ancora aperta.

Anche l’assuefazione è apprendimento. Un programma che si ripete senza variare sta insegnando qualcosa, e vale la pena decidere cosa.