Un programma di Cybersecurity awareness aumenta la frequenza dei suoi avvisi perch\u00e9 gli indicatori non migliorano. Il trimestre successivo il tasso di segnalazione cala, le simulazioni non mostrano progressi e nel report si scrive che alle persone il tema non interessa abbastanza. Da l\u00ec arriva quasi sempre la decisione di insistere di pi\u00f9, che \u00e8 proprio quella che peggiora il quadro. L\u2019interesse \u00e8 rimasto dov\u2019era. Quello che \u00e8 calato era la risposta a uno stimolo che si ripete senza che nulla dipenda da esso, e dietro quel calo ci sono due fenomeni che l\u2019etichetta della security fatigue tende a riunire in uno.<\/p>\n
Conviene separarli prima di toccare il calendario. Uno \u00e8 la security fatigue in senso proprio, uno stato di stanchezza verso le decisioni che la sicurezza chiede a ogni persona. L\u2019altro \u00e8 l\u2019assuefazione, una forma elementare di apprendimento che fa calare la risposta a uno stimolo ripetuto perch\u00e9 diventa prevedibile e smette di portare informazione. A volte si accompagna al disinteresse, pur non richiedendolo, e la reazione cala allo stesso modo in chi continua a dare importanza al tema. Si confondono facilmente perch\u00e9 su una dashboard si somigliano, e chiedono interventi che vanno in direzioni opposte.<\/p>\n
La security fatigue \u00e8 lo sfinimento o la riluttanza a occuparsi della sicurezza informatica. La definizione arriva da uno studio del NIST (National Institute of Standards and Technology)<\/a> pubblicato nel 2016 su IEEE IT Professional da Brian Stanton, Mary Theofanos, Sandra Spickard Prettyman e Susanne Furman, che ha lavorato con utenti comuni di et\u00e0 e contesti diversi e ha trovato quello stato diffuso nella maggior parte delle persone intervistate. \u00c8 un risultato qualitativo, senza percentuali.<\/p>\n La parte interessante del lavoro \u00e8 dove colloca l\u2019origine, che sta nel numero di decisioni pi\u00f9 che nel numero di minacce. Ogni verifica, ogni aggiornamento, ogni password nuova, ogni avviso che chiede se continuare o tornare indietro \u00e8 una decisione che compete con il lavoro per cui quella persona \u00e8 stata assunta.<\/p>\n Quando il conto si accumula e l\u2019attrito sale, l\u2019uscita pi\u00f9 comune diventa la via di minor resistenza, e raramente ha molto di imprudenza deliberata. \u00c8 allora che compaiono le scorciatoie note, come riutilizzare la stessa password su pi\u00f9 servizi, rinviare l\u2019aggiornamento che interrompe il lavoro o chiedere le credenziali a un collega per non aspettare un\u2019autorizzazione.<\/p>\n La security fatigue descrive quindi uno stato che il disegno dell\u2019ambiente produce, ed \u00e8 per questo che si corregge ridisegnando quell\u2019ambiente.<\/p>\n Perch\u00e9 la ripetizione senza novit\u00e0 n\u00e9 conseguenza produce assuefazione, e l\u2019assuefazione non dipende dalla qualit\u00e0 del messaggio.<\/p>\n Nel 2009, su Neurobiology of Learning and Memory, Catharine Rankin e un gruppo di ricercatori<\/a> hanno rivisto il consenso su questo meccanismo e lo hanno definito con una precisione che qui torna utile. L\u2019assuefazione \u00e8 un decremento della risposta comportamentale prodotto dalla stimolazione ripetuta, che non coinvolge adattamento sensoriale n\u00e9 affaticamento motorio. La distinzione conta. L\u2019occhio continua a vedere l\u2019avviso e la persona non \u00e8 esausta. Quello che \u00e8 accaduto \u00e8 che l\u2019organismo ha imparato che quello stimolo non anticipa nulla di rilevante e ha smesso di assegnargli una risposta.<\/p>\n Per un programma di awareness quella definizione risulta scomoda, perch\u00e9 significa che un avviso impeccabile perde risposta comunque. Una scrittura curata, un design pulito e un dato ben scelto migliorano la comprensione di chi sta ancora prestando attenzione, ma non evitano l\u2019assuefazione che la ripetizione identica produce.<\/p>\n Da qui si capisce perch\u00e9 i due fenomeni chiedono cose diverse. La security fatigue si allevia riducendo il numero di decisioni che l\u2019organizzazione delega a ogni persona. L\u2019assuefazione si inverte cambiando lo stimolo o concedendogli una pausa. Un programma che risponde all\u2019assuefazione producendo contenuti migliori sta attaccando un problema reale con lo strumento sbagliato.<\/p>\n Nella frequenza. Pi\u00f9 spesso uno stimolo viene presentato, pi\u00f9 rapidamente cala la risposta, anche se pi\u00f9 rapidamente si recupera quando lo stimolo viene sospeso. \u00c8 una delle dieci caratteristiche descritte nella rassegna di Rankin e quella con le conseguenze pi\u00f9 dirette su un calendario.<\/p>\n Quando abbiamo sostenuto che la distribuzione conta pi\u00f9 dell\u2019intensit\u00e0<\/a>, l\u2019argomento veniva dalla curva dell\u2019oblio e reggeva che distribuire il rinforzo rende pi\u00f9 che concentrarlo in una giornata annuale. Quel principio resta in piedi e ha un tetto. La distribuzione sostiene la memoria finch\u00e9 ogni apparizione conserva un po\u2019 di valore informativo. Superata una certa densit\u00e0, la stessa ripetizione che sosteneva il ricordo comincia ad allenare l\u2019indifferenza.<\/p>\n Quel tetto non \u00e8 un numero universale n\u00e9 una regola di tanti invii al mese. Dipende dal formato, dal canale, da quanto ogni pezzo somiglia al precedente e dal fatto che qualcosa cambi in base a come la persona risponde. Due programmi con la stessa frequenza mensile possono stare su lati opposti del limite. Quello che resta dal lato utile fa arrivare ogni pezzo in un momento diverso e chiedere qualcosa di diverso. Quello che l\u2019ha gi\u00e0 superato invia lo stesso promemoria lo stesso giorno sullo stesso canale, e l\u2019unica cosa che varia \u00e8 la data.<\/p>\n Il microlearning<\/a> opera sul lato giusto di quel limite finch\u00e9 i pezzi brevi si distinguono tra loro. Quando il gocciolamento diventa prevedibile, la brevit\u00e0 smette di essere un vantaggio.<\/p>\n Da segnali di comportamento che i tassi di completamento non registrano. Una dashboard che riporta quante persone hanno completato ogni modulo pu\u00f2 mostrare un programma in ordine senza dire nulla su come stanno rispondendo le persone. Per vederlo occorre guardare variabili che restano fuori da quel numero. Quattro segnali compaiono con regolarit\u00e0 e servono a quell\u2019analisi.<\/p>\n La lettura fine distingue i due fenomeni. Se la risposta cala su un formato o su un canale e tiene su un altro, somiglia pi\u00f9 all\u2019assuefazione, perch\u00e9 il decremento ha una certa specificit\u00e0 di stimolo. Se cala in modo trasversale e arriva accompagnata da resistenza esplicita, con lamentele, richieste di eccezione ed evitamento di tutto ci\u00f2 che porta l\u2019etichetta della sicurezza, somiglia pi\u00f9 alla stanchezza.<\/p>\n Nessuna delle due compare in una percentuale di conformit\u00e0 normativa. Per questo conviene rivedere cosa sta misurando il programma<\/a> prima di rivedere quanto sta inviando.<\/p>\n Le stesse caratteristiche che spiegano il decremento suggeriscono dove intervenire, e tre di esse hanno una traduzione operativa diretta.<\/p>\n La prima \u00e8 il recupero spontaneo. La risposta torna, almeno in parte, quando lo stimolo viene sospeso per un po\u2019. Un calendario di campagne<\/a> con buchi deliberati usa quelle settimane per restituire valore all\u2019avviso successivo.<\/p>\n La seconda \u00e8 la specificit\u00e0 dello stimolo, insieme al fenomeno di disassuefazione che l\u2019accompagna. Il decremento non si trasferisce del tutto a stimoli diversi, e presentare qualcosa di differente pu\u00f2 recuperare la risposta all\u2019originale. Conviene trasferire questo dato con cautela, perch\u00e9 la letteratura misura stimoli controllati in laboratorio e una campagna di Cybersecurity awareness non lo \u00e8. Quello che una persona registra come diverso si decide sul piano del significato prima che su quello del formato. Quando l\u2019argomento e la struttura restano gli stessi, cambiare la confezione non produce uno stimolo nuovo, produce lo stesso messaggio con un altro abito.<\/p>\n Da qui un catalogo con formati variati<\/a> rende pi\u00f9 di una serie uniforme, purch\u00e9 la variazione arrivi fino a quello che il pezzo dice. Cambiare l\u2019immagine di testata non basta. Passare da un modulo a una simulazione cambia quello che si chiede alla persona, e l\u00ec la variazione \u00e8 reale.<\/p>\n La terza \u00e8 che nessuno sta nello stesso punto della curva. Una persona che ha segnalato tre email questo mese e un\u2019altra che non ha aperto un solo pezzo in sei mesi non hanno bisogno della stessa cosa, e inviare loro la stessa cosa garantisce di saturare l\u2019una e di non raggiungere l\u2019altra. I gruppi intelligenti di SMARTFENSE<\/a> permettono che la frequenza segua il comportamento invece di applicarsi allo stesso modo a tutta l\u2019organizzazione, senza liste mantenute a mano.<\/p>\nPerch\u00e9 la risposta cala anche quando il messaggio \u00e8 corretto?<\/h2>\n
Dov\u2019\u00e8 il limite tra rinforzare e desensibilizzare?<\/h2>\n
Come si riconosce la security fatigue in un programma?<\/h2>\n
\n
Cosa cambia nel disegno del programma<\/h2>\n