La psicologia nella sicurezza informatica è una disciplina che si colloca all'intersezione tra sicurezza usabile e cyberpsicologia. Il suo oggetto di studio è l'influenza del comportamento umano, dei bias cognitivi e delle dinamiche sociali sulla sicurezza delle informazioni. A differenza dell'approccio tradizionale alla cybersecurity, incentrato sulle vulnerabilità di hardware e software, questo campo si occupa del "fattore umano" che gli attaccanti sfruttano regolarmente. Le sue basi teoriche risiedono nella psicologia cognitiva e nell'interazione uomo-macchina.

Storia ed evoluzione La sfida del comportamento umano nell'informatica fu notata già negli anni '60 con mainframe multiutente come il Compatible Time-Sharing System (CTSS). Nel 1966, un errore software sul CTSS fece sì che il file della password principale del sistema venisse visualizzato da ogni utente al momento dell'accesso: uno dei primi incidenti di sicurezza documentati attribuibili a una combinazione di progettazione del sistema e fattori umani.

Questi comportamenti hanno acquisito un significato più ampio negli anni '90, quando Internet è diventato ampiamente accessibile. Incidenti di alto profilo che hanno coinvolto personaggi come Kevin Mitnick hanno dimostrato come la fiducia umana potesse essere sfruttata attraverso l'ingegneria sociale, come ad esempio il pretexting telefonico.

Fattori cognitivi e comportamentali Gran parte della psicologia della sicurezza informatica si concentra sul processo decisionale in condizioni di stress o incertezza. I ricercatori applicano modelli come la teoria del doppio processo per spiegare perché gli esseri umani cadano vittime di phishing o compromissione delle e-mail aziendali. Gli attaccanti progettano comunicazioni per innescare un pensiero rapido ed emotivo del "Sistema 1", utilizzando urgenza, autorità o panico, che spinge gli utenti a cliccare su un collegamento o a trasferire fondi prima che il loro "Sistema 2" analitico possa valutare la legittimità della situazione.

La ricerca di settore ha costantemente documentato l’efficacia di queste tecniche su larga scala, indicando diversi fenomeni psicologici ricorrenti che influenzano le pratiche di sicurezza quotidiane:

Bias cognitivi : il bias dell'ottimismo porta gli utenti a credere che sia improbabile che vengano presi di mira dai criminali informatici, con conseguenti pratiche di password deboli o aggiornamenti software procrastinati. L'euristica della disponibilità induce gli individui a concentrarsi su minacce sofisticate e ampiamente pubblicizzate, ignorando rischi comuni e statisticamente probabili come il riutilizzo delle credenziali di accesso. Influenza sociale : gli aggressori sfruttano principi di persuasione consolidati, come quelli categorizzati da Robert Cialdini. Impersonare un CEO sfrutta l'innesco psicologico dell'autorità, mentre le truffe di falso supporto tecnico utilizzano la reciprocità (offrendosi di risolvere un problema prima di chiedere le credenziali di rete).

Fattori neurologici e pre-cognitivi Studi di risonanza magnetica funzionale (fMRI) mostrano che l'attivazione neurale nelle regioni visive e attentive diminuisce con l'esposizione ripetuta allo stesso stimolo, un fenomeno denominato soppressione da ripetizione. Esperimenti longitudinali con fMRI e tracciamento oculare hanno confermato questo effetto nel contesto degli avvisi di sicurezza: i design statici degli avvisi producono un calo dell'attenzione e della compliance dell'utente.

I modelli di elaborazione delle informazioni applicati al phishing indicano che stimoli affettivi, quali urgenza artificiale o paura, aumentano il carico cognitivo e inducono un'elaborazione euristica automatica, riducendo la probabilità di una valutazione analitica e facilitando la compliance con richieste malevole.

Affaticamento da sicurezza e dinamiche organizzative L'accumulo di queste pressioni ha portato alla cosiddetta “cybersecurity fatigue”, uno stato di esaurimento mentale ed emotivo derivante dalla ripetuta esposizione alle richieste di sicurezza.

Alert fatigue Un esempio è l'affaticamento da avvisi, che si manifesta sia tra gli utenti finali che tra gli analisti dei centri operativi di sicurezza ( SOC ). L'esposizione continua agli avvisi del browser o ai pop-up antivirus, in particolare quelli che sono falsi positivi, condiziona gli utenti ad abituarsi agli avvisi e a ignorarli automaticamente senza leggerne il contenuto. La portata di questo problema è significativa nelle aziende: i team SOC nelle grandi organizzazioni ricevono migliaia di avvisi ogni giorno e gli analisti trascorrono oltre il 25% del loro tempo a gestire falsi positivi, il che significa che gli indicatori realmente dannosi sono nascosti nel rumore.

Password fatigue Allo stesso modo, la "password fatigue" è la sensazione provata da molte persone che sono costrette a ricordare un numero eccessivo di password nell'ambito della loro routine quotidiana, come ad esempio per accedere a un computer al lavoro. Gli utenti affrontano il carico di memoria apportando modifiche prevedibili e iterative alle proprie password (ad esempio, aggiornando "Password01!" in "Password02!"), il che ne riduce la sicurezza.

Compliance budget Beautement, Sasse e Wonham hanno introdotto il concetto di "budget di conformità" attraverso una ricerca sul campo condotta presso due importanti organizzazioni commerciali. Hanno definito il budget di conformità come la disponibilità di un individuo a compiere sforzi supplementari per conformarsi alle policy di sicurezza senza trarne alcun beneficio personale diretto. La "soglia di conformità" implicita segna il punto specifico in cui l'individuo non è più disposto o in grado di conformarsi.

I ricercatori hanno osservato che le policy di sicurezza comportano un costo nascosto che compete direttamente con la produttività. Il budget limitato di un dipendente per la conformità viene velocemente esaurito dagli aspetti negativi delle attività di sicurezza, in particolare il "fattore fastidio" (processi macchinosi e articolati in più fasi), la ripetitività delle attività, la percezione di inutilità e la mancanza di un chiaro valore per il dipendente. Una volta superata la soglia di conformità, i dipendenti ricorrono a soluzioni alternative non sicure, come l'invio di documenti sensibili tramite e-mail ad account personali per evitare sistemi di trasferimento file lenti e sicuri.

Per gestire efficacemente il budget per la conformità e prevenire queste soluzioni alternative non sicure, lo studio individua cinque aree specifiche che le organizzazioni possono sfruttare per influenzare il comportamento degli utenti:

Migliorare la progettazione del sistema per ridurre il costo percepito della conformità; Promuovere una cultura della sicurezza solidale; Migliorare la consapevolezza e l'istruzione mirate; Implementare un monitoraggio appropriato; Stabilire sanzioni chiare per aumentare la percezione della necessità di conformità.

Note

Bibliografia Ulteriori letture

Voci correlate

Cyberpsicologia Fattori umani ed ergonomia Sicurezza utilizzabile Consapevolezza della sicurezza delle informazioni Psicologia delle password Economia comportamentale

Collegamenti esterni — Carnegie Mellon University

Categoria:Bias cognitivi Categoria:Interazione uomo-computer Categoria:Psicologia applicata Categoria:Sicurezza informatica Categoria:Pagine con traduzioni non revisionate