A fadiga de segurança e o ponto em que o aviso deixa de fazer efeito

Um programa de sensibilização aumenta a frequência dos seus avisos porque os indicadores não melhoram. No trimestre seguinte a taxa de reporte cai, as simulações não mostram progresso e no relatório escreve-se que o tema não interessa o suficiente às pessoas. É daí que sai quase sempre a decisão de insistir mais, que é justamente a que agrava o quadro. O interesse ficou onde estava. O que caiu foi a resposta a um estímulo que se repete sem que nada dependa dele, e por trás dessa descida há dois fenómenos que a etiqueta da fadiga de segurança costuma reunir num só.

Convém separá-los antes de tocar no calendário. Um é a fadiga de segurança propriamente dita, um estado de desânimo perante as decisões que a segurança pede a cada pessoa. O outro é a habituação, uma forma elementar de aprendizagem que faz cair a resposta a um estímulo repetido porque este se torna previsível e deixa de trazer informação. Às vezes vem acompanhada de desinteresse, embora não o exija, e a reação cai igualmente em quem continua a dar importância ao tema. Confundem-se com facilidade porque se parecem num painel, e pedem intervenções que vão em direções opostas.

O que é a fadiga de segurança?

A fadiga de segurança é o cansaço ou a relutância em lidar com a segurança informática. A definição vem de um estudo do NIST publicado em 2016 na IEEE IT Professional por Brian Stanton, Mary Theofanos, Sandra Spickard Prettyman e Susanne Furman, que trabalhou com utilizadores comuns de idades e contextos diferentes e encontrou esse estado difundido na maioria das pessoas entrevistadas. É um resultado qualitativo, sem percentagens.

O interessante do trabalho é onde situa a origem, que está no número de decisões mais do que no número de ameaças. Cada verificação, cada atualização, cada palavra-passe nova, cada aviso que pede para escolher entre continuar ou voltar atrás é uma decisão que compete com a tarefa para a qual essa pessoa foi contratada.

Quando a conta se acumula e o atrito sobe, a saída mais comum passa a ser o caminho de menor resistência, e raramente tem muito de imprudência deliberada. É então que aparecem os atalhos conhecidos, como reutilizar a mesma palavra-passe em vários serviços, adiar a atualização que interrompe o trabalho ou pedir as credenciais a um colega para não esperar uma autorização.

A fadiga de segurança descreve então um estado que o desenho do ambiente produz, e é por isso que se corrige a redesenhar esse ambiente.

Porque é que a resposta cai mesmo quando a mensagem está correta?

Porque a repetição sem novidade nem consequência produz habituação, e a habituação não depende da qualidade da mensagem.

Em 2009, na Neurobiology of Learning and Memory, Catharine Rankin e um grupo de investigadores reviram o consenso sobre este mecanismo e definiram-no com uma precisão que aqui é útil. A habituação é um decremento da resposta comportamental produzido pela estimulação repetida, que não envolve adaptação sensorial nem fadiga motora. A distinção importa. O olho continua a ver o aviso e a pessoa não está exausta. O que aconteceu é que o organismo aprendeu que aquele estímulo não antecipa nada de relevante e deixou de lhe atribuir uma resposta.

Para um programa de sensibilização essa definição é incómoda, porque significa que um aviso impecável perde resposta da mesma forma. Uma escrita cuidada, um design limpo e um dado bem escolhido melhoram a compreensão de quem ainda presta atenção, mas não evitam a habituação que a repetição idêntica produz.

Fica claro por aí a razão pela qual os dois fenómenos pedem coisas diferentes. A fadiga de segurança alivia-se reduzindo o número de decisões que a organização delega em cada pessoa. A habituação inverte-se mudando o estímulo ou dando-lhe descanso. Um programa que responde à habituação a produzir melhores conteúdos está a atacar um problema real com a ferramenta errada.

Onde está o limite entre reforçar e dessensibilizar?

Na frequência. Quanto mais seguido um estímulo é apresentado, mais depressa cai a resposta, embora também recupere mais depressa quando o estímulo é retirado. É uma das dez características descritas na revisão de Rankin e a que tem consequências mais diretas sobre um calendário.

Quando defendemos que o espaçamento importa mais do que a intensidade, o argumento vinha da curva do esquecimento e sustentava que distribuir o reforço rende mais do que concentrá-lo numa jornada anual. Esse princípio continua de pé e tem um teto. O espaçamento sustenta a memória enquanto cada aparição conservar algum valor informativo. Passado certo ponto de densidade, a mesma repetição que sustentava a recordação começa a treinar a indiferença.

Esse teto não é um número universal nem uma regra de tantos envios por mês. Depende do formato, do canal, de quanto cada peça se parece com a anterior e de se algo muda em função de como a pessoa responde. Dois programas com a mesma frequência mensal podem estar em lados opostos do limite. O que se mantém do lado útil faz com que cada peça chegue num momento diferente e peça algo diferente. O que já o atravessou envia o mesmo lembrete no mesmo dia pelo mesmo canal, e a única coisa que varia é a data.

A microaprendizagem opera do lado certo desse limite enquanto as peças breves se distinguirem entre si. Quando o gotejamento se torna previsível, a brevidade deixa de ser uma vantagem.

Como se reconhece a fadiga de segurança num programa?

Por sinais de comportamento que as taxas de conclusão não registam. Um painel que informa quantas pessoas concluíram cada módulo pode mostrar um programa em ordem sem dizer nada sobre como as pessoas estão a responder. Para o ver há que olhar para variáveis que ficam fora desse número. Quatro sinais aparecem com regularidade e servem para essa análise.

1. A taxa de reporte cai enquanto a de cliques se mantém estável. As pessoas continuam a distinguir o ataque e deixaram de avisar. É o sinal mais caro, porque o canal de reporte é o que dá a uma equipa de segurança tempo de reação.
2. O tempo de permanência nos conteúdos encurta até se tornar incompatível com a leitura. A conclusão mantém-se e a passagem pelo material torna-se mecânica.
3. Quem passou todas as avaliações pede exceções aos controlos que essas mesmas avaliações explicavam. Compreendem para que serve o segundo fator e pedem para o saltar mesmo assim, porque o seu custo somado ao do resto deixou de lhes parecer razoável.
4. Os canais de segurança começam a receber silêncio, e esse silêncio cobre também os incidentes reais.

A leitura fina distingue os dois fenómenos. Se a resposta cai num formato ou num canal e se mantém noutro, parece-se mais com habituação, porque o decremento tem alguma especificidade de estímulo. Se cai de forma transversal e vem acompanhada de resistência explícita, com queixas, pedidos de exceção e evitamento de tudo o que leve a etiqueta da segurança, parece-se mais com fadiga.

Nenhuma das duas aparece numa percentagem de cumprimento. Por isso convém rever o que o programa está a medir antes de rever quanto está a enviar.

O que muda no desenho do programa

As mesmas características que explicam o decremento sugerem por onde intervir, e três delas têm tradução operativa direta.

A primeira é a recuperação espontânea. A resposta volta, ao menos em parte, quando o estímulo é retirado durante um tempo. Um calendário de campanhas com espaços deliberados usa essas semanas para devolver valor ao próximo aviso.

A segunda é a especificidade do estímulo, junto com o fenómeno de desabituação que a acompanha. O decremento não se transfere por completo para estímulos diferentes, e apresentar algo distinto pode recuperar a resposta ao original. Convém transpor isto com cuidado, porque a literatura mede estímulos controlados em laboratório e uma campanha de sensibilização não o é. O que uma pessoa registra como diferente decide-se no plano do significado antes do que no do formato. Quando o argumento e a estrutura são os mesmos, mudar a embalagem não produz um estímulo novo, produz a mesma mensagem com outra roupa.

Daí que um multicatálogo com formatos variados renda mais do que uma série uniforme, desde que a variação chegue até ao que a peça diz. Mudar a imagem de cabeçalho não basta. Passar de um módulo para uma simulação muda o que se pede à pessoa, e aí a variação é real.

A terceira é que ninguém está no mesmo ponto da curva. Uma pessoa que reportou três mensagens este mês e outra que não abriu uma única peça em seis meses não precisam do mesmo, e enviar-lhes o mesmo garante saturar uma e não alcançar a outra. Os grupos inteligentes da SMARTFENSE permitem que a frequência siga o comportamento em vez de se aplicar por igual a toda a organização, sem listas mantidas à mão.

Fica a camada tática do momento em que chega cada intervenção, que já explorámos ao falar dos nudges que aparecem no momento certo. Tudo o anterior define quanto e de que maneira. O momento define se a intervenção encontra a pessoa com a decisão ainda aberta.

A habituação também é aprendizagem. Um programa que se repete sem variar está a ensinar algo, e vale a pena decidir o quê.