La variabile che predice il comportamento sicuro e che quasi nessun programma misura

Tremilacinquecento persone di sette paesi hanno risposto a due domande diverse dentro lo stesso questionario. Una era un test di conoscenza sulla sicurezza informatica, con risposte giuste e sbagliate. L’altra era quanto credevano di sapere.

Poi hanno dichiarato con quanta frequenza facevano cose concrete, come controllare dove porta un link prima di aprirlo o installare gli aggiornamenti quando compaiono.

Entrambe le risposte si sono legate a quello che dicevano di fare, e non con lo stesso peso. Il gruppo dello studio del 2017 ha messo un numero sulla differenza: un punto in più nel test di conoscenza muoveva il comportamento dichiarato circa quattro volte meno di un punto in più nella scala di fiducia. Le due scale non hanno lo stesso intervallo e gli autori lo segnalano, quindi quel numero esatto va letto con cautela. Che la fiducia pesi più della conoscenza, no.

Sapere la risposta giusta non bastava. Serviva anche credere di sapere cosa farne.

E lì si apre un punto cieco dei programmi di Cybersecurity awareness. La dashboard registra la prima domanda, perché un test di conoscenza lascia un voto. La seconda quasi non esiste da nessuna parte, e il nome che la psicologia le dà è autoefficacia.

Che cos’è l’autoefficacia e cosa ha a che vedere con la sicurezza?

L’autoefficacia è la convinzione di una persona rispetto alla propria capacità di eseguire una determinata azione in una determinata situazione. Si distingue dall’autostima, dall’ottimismo e dalla competenza reale. È un giudizio su ciò che si può fare, formulato sempre come «posso farlo».

La parola che fa il lavoro è «determinata». L’autoefficacia si definisce sempre per un dominio e per un’azione concreta. Qualcuno può avere un’alta autoefficacia nel notare che una email ha qualcosa che non torna e una bassa autoefficacia nel decidere cosa farne, e le due cose appartengono allo stesso programma.

In sicurezza il sostegno non viene da un singolo lavoro. La revisione delle evidenze di ENISA (Agenzia dell’Unione europea per la cibersicurezza) sui modelli delle scienze comportamentali applicati alla cybersecurity ha passato in rassegna gli studi sulla teoria della motivazione protettiva e sul comportamento pianificato, e ha concluso che l’autoefficacia risulta un predittore affidabile e moderatamente forte dell’intenzione e del comportamento di sicurezza. La stessa revisione ne ricava una conseguenza per la progettazione delle campagne. Intervenire sulla capacità di risposta ha più probabilità di dare risultati che insistere sulla minaccia.

In perché il phishing non è un problema di conoscenza ho scritto che buona parte di queste decisioni si prende senza deliberazione di mezzo. L’autoefficacia lavora un passo prima, sull’aspettativa della persona di poter fare qualcosa con ciò che pensa.

Cosa pesa di più, sapere o credersi capaci?

Lo studio dei sette paesi ha misurato 500 persone in ognuno di essi: Cina, Corea del Sud, Emirati Arabi Uniti, Francia, Giappone, Russia e Stati Uniti. Il modello ha spiegato il 38,5% della variazione nel comportamento dichiarato, e dentro di esso la conoscenza ha avuto un effetto significativo e piccolo, mentre la fiducia in quella conoscenza ne ha avuto uno maggiore.

Quel risultato ha due limiti che il gruppo stesso dichiara e che cambiano come va letto. Il primo è che la variabile di esito sono intenzioni comportamentali autodichiarate e non comportamento osservato, quindi lo studio parla di quello che le persone dicono di fare. Il secondo è che usa la nazionalità come approssimazione della cultura, che gli autori riconoscono come misura grossolana. L’affermazione sul comportamento osservato la sostiene ENISA, che ha esaminato studi in cui l’autoefficacia predice entrambe le cose.

La conoscenza non esce dal quadro e non lo governa. È una delle variabili, con un effetto reale e piccolo, e accanto ce n’è un’altra con più peso che nessun questionario di fine corso cattura.

Su questo il blog aveva già un precedente. In cosa misurano davvero le domande di validazione ho lavorato la distanza fra rispondere bene e fare bene. Questo risultato aggiunge qualcosa di diverso. C’è una seconda domanda che quasi nessuno fa e che anticipa più della prima.

Basta mostrare il rischio?

Qui l’evidenza smentisce il titolo comodo. Negli ambienti della Cybersecurity awareness circola l’idea che fare leva sulla paura sia controproducente, e la più ampia meta-analisi disponibile sugli appelli alla paura non lo sostiene. Su 127 articoli, 248 campioni indipendenti e 27.372 partecipanti, gli autori non hanno individuato nessuna circostanza in cui l’appello alla paura si ribalti e produca l’effetto contrario.

Quello che hanno trovato è una differenza di dimensione. Quando il messaggio includeva enunciati di efficacia, che oltre a mostrare il rischio dicono cosa fare e sostengono che la persona può farlo, l’effetto medio sugli atteggiamenti, sulle intenzioni e sul comportamento è stato 0,43 su 92 campioni, misurato nella scala standard di ampiezza dell’effetto. Quando non li includeva, 0,21 su 154 campioni. Sono effetti modesti in entrambi i casi, e quello del messaggio completo raddoppia quello del messaggio che si limita ad allarmare. Gli intervalli di confidenza al 95% non si sovrappongono.

Il messaggio che mostra soltanto la minaccia è quindi a metà strada, e la metà che manca è quella che parla di capacità. Nei comportamenti da ripetere, che è quasi tutto quello che un programma chiede, l’effetto misurato è ancora più piccolo.

Perché questa variabile non compare nelle dashboard?

Non esiste ancora uno strumento standard di autoefficacia in cybersecurity che un programma possa adottare e applicare direttamente.

Una revisione sistematica del 2024 ha analizzato 174 studi sull’autoefficacia in cybersecurity e ha trovato 173 modi diversi di misurarla, di cui solo cinque usati più di una volta. Non c’è ancora una misura consolidata su cui il settore si sia assestato.

Anche l’evidenza su come aumentarla è scarsa. Solo 13 di quei 174 studi hanno provato un intervento per muoverla, nessuno di essi è stato replicato, e gli autori stessi concludono che la loro efficacia resta speculativa.

Per un programma di Cybersecurity awareness questo avvicina la variabile alla progettazione e alla valutazione interna più che al confronto con altre organizzazioni. Una scala propria serve a seguire l’evoluzione della propria popolazione, e solo se la si mantiene identica da un anno all’altro.

Cosa decide il programma

La convinzione di poter fare qualcosa si forma per quattro vie, e non pesano allo stesso modo. La revisione del 2024 le ordina seguendo la formulazione originale di Albert Bandura, e quella gerarchia si traduce con discreta nitidezza in decisioni di programma.

1. Il risultato proprio, e che si veda. La via più forte è aver eseguito l’azione e averne visto l’esito. Per un programma questo significa produrre occasioni in cui la persona esegua un’azione di sicurezza completa e riceva un ritorno su cosa è successo, non soltanto occasioni in cui riconosca la risposta giusta in un elenco.
2. Vedere qualcuno di simile che lo fa. La seconda via è osservare un’altra persona eseguire il comportamento. La revisione segnala che è poco studiata rispetto alle altre, quindi entra come ipotesi di progettazione e non come raccomandazione sostenuta. Si può provare in gruppo e misurarlo a parte.
3. Dirlo è la via più debole. La persuasione verbale, del tipo «puoi riconoscere una email così», compare nella formulazione originale come fonte relativamente debole. Un messaggio che afferma solo la capacità, senza nessuna delle due vie precedenti, è la leva meno potente delle quattro.
4. La quarta via spiega il problema delle campagne allarmistiche. Anche l’attivazione emotiva informa la convinzione. Quando il livello di attivazione è alto, la persona non si aspetta di poter fronteggiare la situazione e abbassa il giudizio su ciò che può fare. Una campagna costruita solo sulla minaccia agisce sulla via meno affidabile delle quattro, e nella direzione sbagliata. È l’altro lato di quello che la meta-analisi sulla paura ha mostrato dai dati.

In come cade un’abitudine di sicurezza quando cambia il contesto ho sostenuto che la variabile del programma è il segnale e non la motivazione. Questo pezzo completa quel ragionamento. Il segnale innesca il comportamento, e la convinzione di poterlo eseguire decide se quel comportamento sia disponibile per essere innescato.

Quali indicatori di comportamento guardare invece del tasso di click è già trattato in il tuo programma di awareness sta misurando ciò che conta?. Questo pezzo lavora lo strato sotto, la variabile che quegli indicatori lasciano implicita.

Sulla misurazione conviene restare conservativi. Finché non c’è uno strumento confrontabile, quello che un programma può osservare oggi sono le conseguenze di quella convinzione, e la più visibile è che qualcuno faccia qualcosa di sicurezza senza che gliel’abbiano assegnato.

La dashboard di SMARTFENSE porta già indicatori più vicini a questo del tasso di click. L’hub dei report include nel suo quadro esecutivo il tasso di segnalazione e il tasso di proattività accanto a quello di completamento, e un report di adozione che guarda il consumo volontario di contenuti. Quei numeri non misurano l’autoefficacia, e dirlo conta. Registrano azioni che una persona che si sente capace compie più spesso, una cosa diversa dalla convinzione stessa.

Per la prima via, quella del risultato con esito visibile, il pulsante di segnalazione è il caso più nitido della piattaforma: chi segnala una simulazione riceve un ritorno immediato, più punti esperienza e badge di gamification. Il limite è visibile in quella stessa pagina. Quando la email segnalata è reale, l’informazione esce verso il team di risposta e non c’è nessun ritorno promesso a chi ha segnalato. Quel circuito, visto dall’operatività, è sviluppato in cosa succede all’abitudine di segnalare quando nessuno risponde.

La conoscenza si può verificare con una domanda. La convinzione di poterla usare si vede soltanto quando qualcuno agisce senza che glielo si chieda.