Porque é que um hábito de segurança cai quando muda o contexto

Um estudo de campo publicado em 2011 propôs-se responder a uma pergunta simples sobre os hábitos. Quando alguém compra pipocas no cinema, come-as porque gosta delas ou porque está habituado a comê-las ali?

Para descobrir, distribuíram caixas de pipocas entre quem assistia num cinema, umas recém-feitas e outras com sete dias, e mediram quanto comia cada pessoa. Quem chegava com o hábito forte de comer pipocas no cinema classificou as rançosas como desagradáveis, e comeu ainda assim cerca de 63% da caixa, quase o mesmo que quem tinha recebido pipocas frescas.

Depois repetiram a distribuição com outro grupo de pessoas, desta vez numa sala de reuniões onde se viam filmes em vídeo. Aí o gosto voltou a mandar, e quem recebeu as rançosas comeu cerca de metade de quem recebeu as frescas.

O hábito estava colado ao cinema. Dentro desse contexto o comportamento continuava a sair mesmo quando a comida não agradava. Fora dele, voltava a depender de quanto agradava.

O resultado incomoda porque põe em dúvida um pressuposto bastante difundido, o de que as pessoas agem sobretudo segundo o que sabem ou o que decidem. Em porque é que o phishing não é um problema de conhecimento desenvolvi porque é que saber a resposta certa não basta para que essa resposta governe o comportamento. Aqui interessa-me a pergunta que segue. Se não o governa o conhecimento nem a intenção do dia, então o que o governa.

Porque é que não basta querer mudar um hábito de segurança?

Um hábito é uma ligação aprendida entre um contexto e uma resposta. Por isso, quando reaparece o sinal desse contexto, o comportamento pode executar-se mesmo se as preferências ou as intenções já mudaram. A motivação move a intenção. O sinal move o hábito.

Noutro estudo, Wood, Tam e Guerrero Witt seguiram 115 estudantes que mudavam de universidade e observaram o que acontecia a três hábitos do dia a dia, fazer exercício, ler o jornal e ver televisão. Onde o destino conservava os mesmos sinais e situações associados a esses comportamentos, os hábitos tendiam a manter-se. Quem lia o jornal acompanhado, e continuava a ter com quem, continuou a lê-lo. Onde o contexto mudava muito, os hábitos enfraqueciam e a intenção voltava a ter peso, pelo que a pessoa fazia o que efetivamente queria fazer.

As mudanças de circunstâncias moviam também as intenções, mas isso por si só não chegava para explicar as quebras. A intenção diz o que queremos fazer. O contexto costuma determinar o que acabamos por fazer.

Que comportamento de segurança pode tornar-se um hábito?

Os que se repetem em contextos estáveis e acabam por associar-se aos sinais desses contextos. Aí está o problema silencioso de muitos programas, que dedicam anos a automatizar um juízo.

A deteção de phishing não é boa candidata para se automatizar por completo. Cada email traz informação diferente, a resposta depende do caso e muitas vezes há que avaliar vários sinais antes de decidir. Repetir a formação melhora esse critério, e ainda assim não transforma o bom juízo numa resposta automática.

O que se pode desenhar são hábitos construídos em torno desse juízo.

1. Se um email pede credenciais, não usar a ligação da mensagem e entrar pelo favorito.
2. Se chega um pedido de pagamento fora do circuito habitual, verificá-lo pelo canal conhecido.
3. Se algo parece suspeito, comunicá-lo através da ferramenta estabelecida.

A distinção conta. O que se automatiza é a ação diante de um sinal determinado, e a decisão continua a ser um juízo.

Benjamin Gardner, Amanda Rebar e Phillippa Lally analisaram em 2022 como se estuda a formação de hábitos fora do laboratório, e deixaram duas condições escritas. Um hábito desenvolve-se quando o comportamento se repete num contexto consistente. E não se forma se antes não mudou algo na motivação, na capacidade ou na oportunidade de agir. Essa segunda condição é a que costuma faltar. Um programa não instala um hábito repetindo uma mensagem durante meses, tem de criar as condições para que exista um comportamento concreto.

Serve de algo pedir a alguém que se comprometa a estar mais atento?

Os planos que nomeiam um gatilho funcionam melhor do que os que nomeiam uma data. A evidência sobre intenções de implementação, os planos com formato “se aparecer X, então faço Y”, reúne 642 testes independentes. O efeito geral é pequeno e a própria revisão reporta viés de publicação substancial, pelo que o ponto apoia-se na comparação interna mais do que na dimensão. Os planos com formato contingente renderam d = 0,43 contra 0,29 dos que têm formato de agenda, que dizem quando e onde sem ligar a ação a uma condição.

Traduzido para o programa, a diferença fica à vista. “Este trimestre vamos prestar mais atenção aos pedidos de pagamento” expressa uma intenção e não especifica o que deveria ativar o comportamento nem o que fazer nesse momento. “Se chegar um pedido de pagamento fora da ferramenta habitual, então telefono à pessoa para o número que já tenho registado” converte uma situação concreta numa instrução concreta.

Isso ainda não torna o comportamento um hábito. O que o plano faz é preparar antecipadamente a resposta a um sinal determinado, e se essa relação se repetir depois num contexto estável, pode tornar-se parte de um comportamento habitual.

Um nudge usa uma lógica parecida a partir de fora, porque introduz o sinal no momento em que o comportamento tem de ocorrer. A intenção de implementação faz algo diferente, dado que a pessoa decide antecipadamente que sinal vai reconhecer e o que vai fazer quando aparecer. A diferença está em quem fornece o sinal, o ambiente num caso e o próprio plano no outro.

Quando convém intervir para instalar um hábito?

Quando o contexto que sustentava o hábito antigo se acabou de quebrar. É o momento em que o sinal deixa de disparar sozinho e o comportamento volta a ficar sob controlo da intenção, que é exatamente a condição de que um programa precisa e quase nunca escolhe.

Isso transforma uma lista de eventos operacionais na melhor agenda de intervenção disponível. Os momentos são a entrada de uma pessoa, a migração do cliente de correio, uma reorganização de equipas, uma mudança de escritório ou de regime de trabalho, e a entrega de um computador novo. Em todos eles os sinais do ambiente mudam de repente, e as rotinas que a pessoa trazia deixam de estar apoiadas em nada.

A mesma revisão de 2022 assinala-o para as grandes mudanças da vida, como uma mudança de casa ou uma deslocação do local de trabalho, que abrem a possibilidade de construir ligações novas entre sinal e comportamento. Parte desses sinais, além disso, é o que faz a equipa em volta, um plano que tratei em separado em o atalho que se torna norma.

O outro lado do mesmo momento é que põe em risco os bons hábitos que já existiam. Quem comunicava emails suspeitos com um botão que estava sempre no mesmo lugar da barra deixa de ter esse botão onde estava. A intenção de comunicar continua lá, e a ligação que a executava sem pensar já não. Convém somar então a camada de validade da formação e novas admissões, porque são os mesmos eventos lidos do lado operacional do programa.

Essa janela tem um limite que convém ter presente. É estreita e fecha-se sozinha, porque o contexto novo começa a produzir as suas próprias rotinas assim que estabiliza. Chegar cedo aí importa mais do que chegar completo.

Onde fica o trabalho do programa

Muda pouco no conteúdo e bastante na unidade e no momento. O comportamento escolhe-se pela sua forma mais do que pela sua importância, e a intervenção coloca-se onde o contexto se quebra.

Duas peças do programa da SMARTFENSE trabalham sobre esse plano. O botão de comunicação é o comportamento que melhor se presta a tornar-se hábito, porque o sinal é sempre parecido e a resposta é uma só, disponível sem sair da caixa de entrada. E o calendário de campanhas permite disparar a intervenção contra o evento em vez de contra a data, que é a diferença que conta numa admissão ou numa migração.

A plataforma mantém além disso o registo do que cada pessoa recebeu e quando, que é o que depois deixa ver se a intervenção chegou dentro da janela ou mais tarde.

Um programa que aponta à vontade tem de ganhar todos os dias. Um que aponta ao sinal ganha uma vez, e depois o contexto sustenta-o sozinho.