Porque errar a jogar ensina mais do que passar num exame de segurança

Em quase qualquer formação de segurança, errar conta como uma nota vermelha. Marcamos mal a opção, o sistema regista-o como erro e passa à pergunta seguinte. Num videojogo acontece algo diferente. A personagem cai, o ecrã diz que perdemos e essa queda é precisamente a parte onde fica alguma coisa. Voltamos a tentar e desta vez desviamo-nos do buraco que antes não tínhamos visto.

Parece um pormenor de design, mas toca no centro de como as pessoas aprendem a decidir sob pressão. Um programa de sensibilização que só premeia a resposta certa perde a metade mais rica da questão, que é o que acontece quando erramos e ninguém nos passa a fatura por isso.

Essa licença para falhar, para aprender com o erro sem que custe caro, tem nome e tem evidência por trás. Vale a pena olhar para ela, porque explica porque é que um jogo bem pensado deixa uma marca que o curso do costume não consegue.

Porque é que um videojogo nos deixa falhar sem que aconteça nada?

Um videojogo assenta num pacto silencioso. Podes falhar as vezes que quiseres e não se parte nada real. A isso chamamos ensaio seguro, a possibilidade de experimentar uma decisão, ver como corre mal e recomeçar sem consequências fora do ecrã. O erro, aí, funciona como informação para a próxima tentativa mais do que como uma condenação.

Cada tentativa falhada diz-te algo sobre a seguinte. Caíste no buraco, agora sabes que ele está ali. Abriste o baú-armadilha, para a próxima desconfias do que brilha demasiado. Ninguém te envia um email dos recursos humanos por teres morrido no nível três (ainda). Essa margem é o que torna o jogo um lugar confortável para praticar coisas que na vida real metem medo. Quando o custo de experimentar baixa quase a zero, experimentamos mais, e de tanto experimentar vamos afinando o olho para a próxima.

Em segurança, o que mete medo é bastante concreto. Clicar onde não devíamos clicar, aprovar uma transferência que afinal não era, entregar uma credencial a quem não devia. Um jogo deixa-nos viver essas microdecisões muitas vezes, num ambiente onde o pior final é começar o nível de novo. E é praticar a decisão, mais do que ler sobre ela, o que depois sustenta o reflexo.

O que diz a evidência sobre aprender com o erro?

A investigação é bastante clara num ponto. Treinar deixando que a pessoa cometa erros costuma funcionar melhor do que guiá-la passo a passo para que nunca se engane. Esta abordagem tem um nome pouco glamoroso, error management training, e consiste em dar espaço ao erro durante a prática em vez de blindar cada movimento.

Uma meta-análise de Nina Keith e Michael Frese, publicada no Journal of Applied Psychology em 2008, reuniu vinte e quatro estudos com mais de duas mil pessoas e comparou os dois caminhos. Treinar com erros venceu o método que os evita, com um efeito moderado e consistente. E aqui está o que mais nos interessa a quem trabalha em sensibilização. Essa vantagem crescia quando a pessoa tinha de aplicar o que aprendera a uma situação nova, diferente daquela que tinha praticado.

E é, no fundo, o que pedimos a qualquer pessoa perante um ataque. O email malicioso que chega nunca é idêntico ao do exemplo do curso. Mudam o remetente e o pretexto, e por vezes até a língua em que está escrito. Reconhecer a armadilha nova a partir das antigas que já vivemos é transferência, e é precisamente o terreno onde a aprendizagem com erros leva vantagem. Um método que só nos mostrou a resposta certa uma vez chega pior preparado a esse encontro.

Há uma intuição simples por trás desse resultado. Quando temos medo de errar, exploramos menos. Seguimos o caminho seguro que alguém nos marcou e evitamos mexer no que não conhecemos, que é o contrário do que é preciso para detetar algo inédito. Um ambiente onde o erro sai de graça baixa essa guarda. Deixa que a pessoa experimente, se atreva a olhar debaixo do tapete e construa um critério próprio, em vez de memorizar uma única rota certa que se desmorona assim que a realidade muda um pormenor.

Porque é que um exame que se passa uma vez não treina o reflexo?

Um exame que se passa uma vez mede o que recordamos nesse dia, não o que vamos fazer meses depois quando chegar o email estranho. Marcamos a opção certa, sai o certificado e o assunto arquiva-se. O pormenor incómodo é que a segurança se joga na hora da decisão, muito depois do exame, e entre os dois costuma passar bastante tempo.

O que precisamos é que à pessoa saia o gesto certo quase sem pensar quando aparece a armadilha, para além de saber responder bem a uma pergunta de escolha múltipla. A isso chamo o reflexo, e o reflexo não se explica, treina-se. Constrói-se repetindo a mesma microdecisão em contextos parecidos até que reconhecê-la custe pouco.

Um exame toca-a uma vez. Um jogo fá-la repetir sem que pareça repetição, porque a envolve numa história e num desafio que dão vontade de continuar. Aqui volta uma ideia que trago com frequência, que é a de que o tédio é um buraco de segurança. Uma prática que aborrece é abandonada, e o que se abandona não treina nada. O jogo resolve essa parte quase às escondidas. Enquanto a pessoa quer passar o nível, ainda por cima está a ensaiar a decisão que nos interessa. Sobre como a repetição sustenta o que se aprendeu já escrevi antes, quando falámos de microaprendizagem e gota a gota contínuo.

Como se leva o ensaio seguro a um programa de sensibilização?

A forma prática de dar às pessoas essa licença para errar é pôr-lhes à frente situações realistas onde o erro não custe caro mas deixe alguma coisa. Há três maneiras que se complementam bem dentro de um mesmo programa.

A primeira é a simulação. Um email de phishing simulado deixa que a pessoa morda o isco num ambiente controlado e receba, de imediato, a explicação do que a denunciou. Falhou, mas falhou no simulacro, que é exatamente onde queremos que falhe antes de o fazer perante um atacante real. As ferramentas de simulação existem para isso, para que o primeiro clique infeliz aconteça num ensaio.

A segunda são os videojogos de sensibilização. Aqui o ensaio seguro é quase literal. A pessoa toma decisões de segurança dentro de uma história, engana-se, vê a consequência dentro do jogo e volta a tentar. Na nossa biblioteca de videojogos de sensibilização é precisamente essa a mecânica, treinar o critério a jogar em vez de ouvir uma lista de proibições. E como cada jogo constrói o seu próprio mundo, a mesma ideia pode contar-se de formas muito diferentes sem cansar, algo que já tínhamos visto ao repassar as mecânicas de gamificação que mudam o comportamento e ao olhar para os videojogos como power-ups do programa.

A terceira é o momento educativo. Quando a pessoa comete uma ação de risco, por exemplo clicar numa simulação de phishing, esse instante é a melhor aula possível, porque a atenção está no máximo. O momento educativo entra ali mesmo, assim que o erro acontece, e explica-lhe que ação de risco cometeu e como reconhecer o engano da próxima vez. É a mesma lógica do jogo, mostrar-lhe o que aconteceu e oferecer-lhe a saída de imediato, sem o sermão do costume, que costuma chegar tarde e que, ainda por cima, ninguém acaba de ouvir.

Convém não o confundir com o nudge, que é outra peça distinta. O nudge trabalha antes, como prevenção, com um empurrão subtil que surge no momento da decisão para orientar sem obrigar. O momento educativo chega depois, como reação, quando o erro já aconteceu e há uma lição ainda quente para aproveitar. Cumprem funções diferentes e reforçam-se quando convivem na mesma campanha, algo que já desenvolvemos em como os nudges e os momentos educativos moldam o comportamento.

Há algo que convém não perder de vista nas três. O ensaio seguro só ensina se o erro deixar uma lição clara. Um jogo que te deixa perder sem te explicar porquê entretém um bocado e não muda nada. A consequência dentro do ecrã tem de apontar para a decisão que se quer treinar, e a nova tentativa tem de chegar depressa, enquanto a experiência ainda está quente.

O erro ensina quando a pessoa percebe porque é que se enganou. Sem essa explicação fica apenas um bocado de entretenimento, e é essa diferença que separa um jogo que forma de um que só passa o tempo. É também aí que convém medir se as pessoas aprenderam algo ou apenas se divertiram.

Como plataforma de sensibilização com conteúdo nativo em espanhol e presença consolidada na América Latina e em Espanha, na SMARTFENSE vemos esse padrão a toda a hora. Os programas que mais mexem o ponteiro costumam ser os que deixam praticar a decisão, acima dos que a explicam melhor. O erro controlado, precoce e sem custo real acaba por ser um dos melhores mestres que temos à mão.

Voltemos à nota vermelha do início. Num exame, essa marca é o fim do assunto. Num jogo é o começo da tentativa seguinte, e com sorte da aprendizagem que procurávamos. O que faz a diferença é ter tido um lugar onde errar antes de o erro ser a sério.

Um bom programa de sensibilização parece-se mais com isso do que com um exame. Deixa praticar e errar as vezes que forem precisas, e confia em que a próxima armadilha se reconheça porque já se viveu num sítio onde cair não doía. É aí que a formação deixa de parecer um trâmite e começa a cuidar de alguém.

O teu programa dá espaço às pessoas para errarem, ou só as põe à prova no dia em que o erro já não tem volta a dar?