Quando qualcosa va storto nella sicurezza, la spiegazione arriva quasi da sola. \u00c8 stato un errore umano. La frase rassicura perch\u00e9 chiude il caso prima di aprirlo. Nasconde per\u00f2 un problema, perch\u00e9 raccoglie sotto la stessa etichetta situazioni che si somigliano ben poco. La persona che clicca di fretta alla fine di una giornata lunga, quella che riutilizza una password perch\u00e9 nessuno le ha offerto niente di meglio e quella che copia un database la settimana prima di dimettersi condividono una parola e poco altro. Secondo il Verizon Data Breach Investigations Report, il fattore umano resta presente in una quota ampia delle violazioni analizzate ogni anno. Quel dato viene spesso letto come una condanna alle persone. Leggerlo cos\u00ec \u00e8, per l\u2019appunto, il primo errore, e quello s\u00ec \u00e8 nostro.<\/p>\n
L\u2019errore umano \u00e8 lo scarto tra ci\u00f2 che una persona voleva fare e ci\u00f2 che \u00e8 effettivamente accaduto. Definito con questa precisione, lascia fuori buona parte di ci\u00f2 che di solito ci mettiamo dentro. La psicologia dell\u2019errore lavora su questa distinzione da decenni. In Human Error<\/em> (1990), James Reason ha distinto i fallimenti non intenzionali<\/strong>, le sviste e gli errori di chi cercava di fare bene, dalle violazioni<\/strong>, le deviazioni deliberate da una regola nota. Sono meccanismi diversi, con cause diverse, e per questo richiedono risposte diverse.<\/p>\n Il problema pratico \u00e8 che l\u2019etichetta \u201cerrore umano\u201d cancella quel confine. Mette insieme chi ha sbagliato senza accorgersene, chi ha preso una scorciatoia consapevole e chi ha agito per fare danno. Quando la diagnosi \u00e8 cos\u00ec grossolana, lo \u00e8 anche il trattamento. E un trattamento grossolano tende a fallire con tutti e tre i casi insieme. Peggio ancora, nasconde l\u2019organizzazione dietro la persona. Se tutto finisce per essere \u201cerrore umano\u201d, non si rivede mai l\u2019ambiente che ha reso probabile quell\u2019errore.<\/p>\n Conviene separare tre fenomeni che la conversazione quotidiana confonde.<\/p>\n L\u2019errore<\/strong> si verifica quando la persona voleva fare la cosa giusta e ha fallito comunque. L\u2019attenzione era frammentata, la capacit\u00e0 di analisi esaurita, un bias ha fatto il resto. Non c\u2019\u00e8 stata alcuna decisione di aggirare una regola. Il rischio umano nasce l\u00ec, prima del click<\/a>, nelle condizioni in cui qualcuno decide davanti allo schermo.<\/p>\n La negligenza<\/strong> compare quando la persona conosceva la regola e ha scelto la via di minor resistenza. Raramente c\u2019\u00e8 malizia. Quasi sempre c\u2019\u00e8 un\u2019organizzazione che ha messo la sicurezza a competere con il compito che quella persona deve consegnare oggi. Riutilizzare una password, rimandare un aggiornamento o condividere un accesso \u201csolo per questa volta\u201d sono scorciatoie che l\u2019ambiente rende ragionevoli.<\/p>\n L\u2019intenzione<\/strong> \u00e8 un\u2019altra cosa. Qui la persona cerca di causare un danno o di trarne un vantaggio. Sabotaggio, frode, furto di informazioni prima di un\u2019uscita. \u00c8 una minoranza dei casi, ma esiste, e non si corregge con una buona campagna di Cybersecurity awareness.<\/p>\n Messi in fila, la differenza si vede subito:<\/p>\n Uno stesso fatto pu\u00f2 ricadere in una qualunque delle tre categorie a seconda del contesto. Condividere una password con un collega \u00e8 un errore di chi non sapeva che fosse vietato, una negligenza di chi lo sapeva e ha preferito risparmiarsi la trafila, o la prima mossa di una frode. L\u2019azione osservabile \u00e8 identica nei tre casi. Ci\u00f2 che cambia \u00e8 l\u2019intenzione e le condizioni che la circondavano. Un registro che annota solo \u201cpassword condivisa\u201d perde quell\u2019informazione proprio quando serve di pi\u00f9, e lascia chi indaga con un dato che non distingue niente. \u00c8 questa la differenza tra un cruscotto che accusa e uno che spiega.<\/p>\n Distinguere serve a qualcosa di molto concreto. Ogni tipo si riduce con uno strumento diverso, e usare quello sbagliato spreca lo sforzo.<\/p>\n L\u2019errore si affronta ridisegnando l\u2019ambiente decisionale. Se qualcuno fallisce perch\u00e9 la sua attenzione era altrove, ripetergli la regola non cambia niente. Ci\u00f2 che cambia \u00e8 abbassare il carico cognitivo, aggiungere un segnale al momento giusto e trasformare ogni fallimento in un breve apprendimento. I nudge e i momenti educativi<\/a> agiscono su questo tipo, non sugli altri due. Che il phishing non sia un problema di conoscenza \u00e8 esattamente questo. La persona sa, e fallisce lo stesso, perch\u00e9 la conoscenza non governa la decisione sotto pressione.<\/p>\n La negligenza richiede di ridurre l\u2019attrito del fare la cosa giusta e di sostenere la responsabilit\u00e0 senza punizione. Se una password unica \u00e8 impossibile da ricordare, un gestore di password fa pi\u00f9 di dieci promemoria. Se la scorciatoia \u00e8 la corsia veloce, la corsia sicura deve essere anche la pi\u00f9 comoda.<\/p>\n La punizione come intervento spinge a nascondere l\u2019errore invece di segnalarlo, e un\u2019organizzazione che non viene a sapere dei propri incidenti perde la sua migliore fonte di miglioramento. Per ridurre la negligenza, conviene rivedere quali scorciatoie premia senza rendersene conto, perch\u00e9 quasi sempre il comportamento non sicuro \u00e8 anche il pi\u00f9 rapido.<\/p>\n L\u2019intenzione va oltre il programma di Cybersecurity awareness, e conviene dirlo con chiarezza. Di fronte a qualcuno deciso a fare danno, ci\u00f2 che protegge sono i controlli tecnici, la gestione degli accessi e la capacit\u00e0 di rilevare comportamenti anomali in tempo. \u00c8 l\u00ec che entrano il monitoraggio, i segnali di comportamento che il SIEM non vede da solo<\/a> e la risposta agli incidenti. Chiedere a un corso di fermare un insider carica sulla Cybersecurity awareness un peso che non le spetta. Rilevare in tempo un download massivo di file o un accesso fuori orario non \u00e8 compito di una campagna, ma della correlazione tra ci\u00f2 che fanno le persone e ci\u00f2 che registrano i sistemi.<\/p>\n S\u00ec, ed \u00e8 la parte che pi\u00f9 spesso si trascura. Nominare bene ci\u00f2 che \u00e8 successo significa trattare la persona per ci\u00f2 che ha fatto e non per la lettura peggiore disponibile. Confondere qualcuno sovraccarico con un sabotatore \u00e8 ingiusto e anche inefficace. La risposta che merita il primo non funziona per il secondo. Il rispetto, in questo campo, \u00e8 precisione prima che gentilezza.<\/p>\n Questa precisione serve anche a chi gestisce il programma. Un cruscotto che riporta \u201c500 errori umani\u201d non dice niente di azionabile. Uno che separa i fallimenti per attenzione, le scorciatoie per attrito e le condotte deliberate indica tre piani di lavoro diversi, con responsabili diversi. Distinguere protegge anche la funzione stessa di Cybersecurity awareness. Quando le si attribuisce tutto, compreso ci\u00f2 che non pu\u00f2 risolvere, la si finisce per giudicare per fallimenti che non le sono mai appartenuti, e si abbandona proprio lo strumento che riduce davvero gli errori e le negligenze.<\/p>\n I programmi di Cybersecurity awareness<\/a> che progettiamo in SMARTFENSE partono da questa distinzione, perch\u00e9 un contenuto pensato per l\u2019errore non rende quanto una simulazione che misura il comportamento reale<\/a>. L\u2019etichetta \u201cerrore umano\u201d consola chi la usa e non aiuta chi la riceve. Iniziare a nominare bene ci\u00f2 che \u00e8 successo \u00e8 dove comincia il lavoro serio.<\/p>\n","protected":false},"excerpt":{"rendered":" L’errore umano non \u00e8 una cosa sola. Distinguere errore, negligenza e intenzione cambia il modo di ridurre il rischio umano nella cybersecurity.<\/p>\n","protected":false},"author":32,"featured_media":43302,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,339],"tags":[1945,1640,2016,2168,2209],"class_list":["post-43194","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-comportamiento-humano-it","tag-cultura-de-seguridad-it","tag-psicologia-cognitiva-it","tag-riesgo-humano","tag-sesgos-cognitivos"],"acf":[],"yoast_head":" \nIn cosa si distinguono errore, negligenza e intenzione?<\/h2>\n
\n
Quale intervento \u00e8 adatto a ciascun tipo?<\/h2>\n
Distinguere \u00e8 una forma di rispetto?<\/h2>\n