A variável que prevê o comportamento seguro e que quase nenhum programa mede

Três mil e quinhentas pessoas de sete países responderam a duas perguntas distintas dentro do mesmo inquérito. Uma foi um teste de conhecimento sobre segurança informática, com respostas certas e erradas. A outra foi quanto acreditavam saber.

Depois declararam com que frequência faziam coisas concretas, como verificar para onde aponta um link antes de o abrir ou instalar as atualizações quando aparecem.

As duas respostas relacionaram-se com o que diziam fazer, e não com o mesmo peso. A equipa do estudo de 2017 pôs um número na diferença: somar um ponto no teste de conhecimento movia o comportamento declarado cerca de quatro vezes menos do que somar um ponto na escala de confiança. As duas escalas não têm o mesmo intervalo e os autores avisam disso, pelo que esse número exato deve ser lido com reservas. Que a confiança pese mais do que o conhecimento, não.

Saber a resposta certa não chegava. Era preciso também acreditar que se sabia o que fazer com ela.

E é aí que se abre um ponto cego dos programas de consciencialização. O painel regista a primeira pergunta, porque um teste de conhecimento deixa uma nota. A segunda quase não existe em lado nenhum, e o nome que a psicologia lhe dá é autoeficácia.

O que é a autoeficácia e o que tem a ver com a segurança?

A autoeficácia é a crença de uma pessoa acerca da sua própria capacidade de executar uma determinada ação numa determinada situação. Distingue-se da autoestima, do otimismo e da competência real. É um juízo sobre o que se é capaz de fazer, formulado sempre como «sou capaz de fazer isto».

A palavra que faz o trabalho ali é «determinada». A autoeficácia define-se sempre por um domínio e por uma ação concreta. Alguém pode ter elevada autoeficácia para notar que um email tem algo de estranho e baixa autoeficácia para decidir o que fazer com esse email, e as duas coisas pertencem ao mesmo programa.

Em segurança o apoio não vem de um único trabalho. A revisão de evidência da ENISA sobre modelos das ciências do comportamento aplicados à cibersegurança percorreu os estudos da teoria da motivação protetora e do comportamento planeado, e concluiu que a autoeficácia resultou num preditor fiável e moderadamente forte da intenção e do comportamento de segurança. A mesma revisão retira daí uma consequência para o desenho de campanhas. Intervir na capacidade de resposta tem mais probabilidade de dar resultado do que insistir na ameaça.

Em porque o phishing não é um problema de conhecimento escrevi que boa parte destas decisões se toma sem deliberação pelo meio. A autoeficácia trabalha um passo antes disso, sobre a expectativa que a pessoa tem de poder fazer algo com aquilo que pensa.

O que pesa mais, saber ou acreditar-se capaz?

O estudo dos sete países mediu 500 pessoas de cada um deles: China, Coreia do Sul, Emirados Árabes Unidos, Estados Unidos, França, Japão e Rússia. O modelo explicou 38,5% da variação no comportamento declarado, e dentro dele o conhecimento teve um efeito significativo e pequeno, enquanto a confiança nesse conhecimento teve um maior.

Esse resultado tem dois limites que a própria equipa declara e que mudam como se lê. O primeiro é que a variável de saída são intenções de comportamento autodeclaradas e não comportamento observado, pelo que o estudo fala do que as pessoas dizem que fazem. O segundo é que usa a nacionalidade como aproximação da cultura, que os autores reconhecem como medida grosseira. A afirmação sobre comportamento observado é sustentada pela ENISA, que percorreu estudos onde a autoeficácia prevê as duas coisas.

O conhecimento não sai do quadro nem o governa. É uma das variáveis, com um efeito real e pequeno, e há outra ao lado com mais peso que nenhum questionário de fim de curso capta.

Sobre isso o blog já tinha um antecedente. Em o que medem realmente as perguntas de validação trabalhei a distância entre responder bem e fazer bem. Este resultado acrescenta algo distinto. Há uma segunda pergunta que quase ninguém faz e que antecipa mais do que a primeira.

Basta mostrar o risco?

Aqui a evidência desmente o título cómodo. Nos círculos de consciencialização circula a ideia de que apelar ao medo é contraproducente, e a maior meta-análise disponível sobre apelos ao medo não sustenta isso. Em 127 artigos, 248 amostras independentes e 27.372 participantes, os autores não encontraram nenhuma circunstância identificada em que o apelo ao medo se virasse e produzisse o efeito contrário.

O que encontraram foi uma diferença de tamanho. Quando a mensagem incluía enunciados de eficácia, que além de mostrar o risco dizem o que fazer e sustentam que a pessoa é capaz de o fazer, o efeito médio sobre as atitudes, as intenções e o comportamento foi de 0,43 em 92 amostras, medido na escala padrão de tamanho de efeito. Quando não os incluía, foi de 0,21 em 154 amostras. São efeitos modestos nos dois casos, e o da mensagem completa duplica o da mensagem que apenas alarma. Os intervalos de confiança de 95% não se sobrepõem.

A mensagem que apenas mostra a ameaça está portanto a meio caminho, e a metade que falta é a que fala de capacidade. Nos comportamentos que é preciso repetir, que é quase tudo o que um programa pede, o efeito medido é ainda mais pequeno.

Porque é que esta variável não aparece nos painéis?

Ainda não existe um instrumento padrão de autoeficácia em cibersegurança que um programa possa adotar e aplicar diretamente.

Uma revisão sistemática de 2024 analisou 174 estudos sobre autoeficácia em cibersegurança e encontrou 173 formas diferentes de a medir, das quais apenas cinco foram usadas mais de uma vez. Não há ainda uma medida consolidada que a área tenha adotado.

A evidência sobre como aumentá-la também é escassa. Apenas 13 desses 174 estudos testaram uma intervenção para a mover, nenhuma delas foi replicada, e os próprios autores concluem que a sua eficácia continua especulativa.

Para um programa de consciencialização isso deixa a variável mais perto do desenho e da avaliação interna do que da comparação com outras organizações. Uma escala própria serve para acompanhar a evolução da própria população, e só se se mantiver idêntica de um ano para o outro.

O que o programa decide

A crença de poder fazer algo forma-se por quatro vias, e não pesam de igual maneira. A revisão de 2024 ordena-as seguindo a formulação original de Albert Bandura, e essa hierarquia traduz-se com bastante nitidez em decisões de programa.

1. O feito próprio, e que se veja. A via mais forte é ter executado a ação e ter visto o resultado. Para um programa isso significa produzir ocasiões em que a pessoa execute uma ação de segurança completa e receba um retorno sobre o que aconteceu, e não apenas ocasiões em que reconheça a resposta certa numa lista.
2. Ver alguém parecido a fazê-lo. A segunda via é observar outra pessoa executar o comportamento. A revisão assinala que está pouco estudada em comparação com as restantes, pelo que entra como hipótese de desenho e não como recomendação sustentada. Pode testar-se em grupo e medir-se à parte.
3. Dizê-lo é a via mais fraca. A persuasão verbal, do tipo «és capaz de detetar um email assim», figura na formulação original como fonte relativamente fraca. Uma mensagem que apenas afirma a capacidade, sem nenhuma das duas vias anteriores, é a alavanca menos potente das quatro.
4. A quarta via explica o problema das campanhas de alarme. A ativação emocional também informa a crença. Quando o nível de ativação é elevado, a pessoa não espera conseguir enfrentar a situação e ajusta em baixa o seu juízo sobre o que é capaz de fazer. Uma campanha construída só sobre a ameaça opera sobre a via menos fiável das quatro, e na direção errada. É o outro lado do que a meta-análise do medo mostrou a partir dos dados.

Em como cai um hábito de segurança quando muda o contexto defendi que a variável do programa é o sinal e não a motivação. Esta peça completa esse argumento. O sinal dispara o comportamento, e a crença de poder executá-lo decide se esse comportamento está disponível para ser disparado.

Que indicadores de comportamento olhar em vez da taxa de cliques já está tratado em o teu programa de awareness está a medir o que importa?. Esta peça trabalha a camada de baixo, a variável que esses indicadores deixam implícita.

Sobre a medição convém ser conservador. Enquanto não houver instrumento comparável, o que um programa pode observar hoje são as consequências dessa crença, e a mais visível é alguém fazer algo de segurança sem que lho tenham atribuído.

O painel da SMARTFENSE já traz indicadores mais próximos disso do que a taxa de cliques. O hub de relatórios inclui no seu quadro executivo a taxa de reporte e a taxa de proatividade ao lado da de conclusão, e um relatório de adoção que olha o consumo voluntário de conteúdos. Esses números não medem a autoeficácia, e dizê-lo importa. Registram ações que uma pessoa que se sente capaz faz com mais frequência, coisa distinta da própria crença.

Para a primeira via, a do feito com resultado visível, o botão de reporte é o caso mais nítido da plataforma: quem reporta uma simulação recebe um retorno instantâneo, mais pontos de experiência e insígnias. O limite também está à vista nessa mesma página. Quando o email reportado é real, a informação sai para a equipa de resposta e não há qualquer retorno prometido a quem reportou. Esse circuito, visto da operação, está desenvolvido em o que acontece ao hábito de reportar quando ninguém responde.

O conhecimento pode verificar-se com uma pergunta. A crença de poder usá-lo vê-se apenas quando alguém age sem que lho peçam.