La psicología de la ciberseguridad: adopta buenos hábitos con tus contraseñas y conviértete en una mejor versión de ti mismo. Parte 1
Las malas prácticas con las contraseñas y la ciberseguridad se deben a nuestros sesgos cognitivos. ¡Si combates unos, combates también los otros (y viceversa)!
Lo más habitual es encontrar ejemplos de sesgos cognitivos en la vida cotidiana y en las relaciones interpersonales, ya que impregnan todos los ámbitos de la vida. En este artículo hemos decidido complementar el conocimiento sobre los sesgos cognitivos con ejemplos del mundo de la ciberseguridad, en particular de la gestión de contraseñas, otras credenciales de acceso e información sensible.
Entonces, ¿qué sesgos pueden influir directamente en nuestro comportamiento en materia de ciberseguridad y en nuestras prácticas de gestión de contraseñas?
Son los siguientes:
- Efecto Dunning-Kruger
- Conservadurismo y efecto anclaje
- Reactancia
- Sesgo de confirmación y sus efectos
- Sesgo de creencia
- Cascada de disponibilidad y efecto arrastre
- Sesgo del statu quo
- Falacia lógica
- Efecto marco (framing)
- Sesgo del superviviente
- Ley de la trivialidad
- Justificación del esfuerzo
- Sesgo de pesimismo/optimismo
- Sesgo egocéntrico
A continuación analizamos en detalle los siete primeros y cómo contrarrestarlos.
Efecto Dunning-Kruger
Se trata de un sesgo cognitivo que hace que una persona con conocimientos solo fragmentarios sobre un tema sobrestime su propia competencia.
Cómo puede afectar a tu gestión de contraseñas y a tus prácticas de ciberseguridad:
Si conoces las ciberamenazas, probablemente intentes minimizarlas. Por ejemplo, si sabes lo que es el phishing, quizá no hagas clic en enlaces de correos sospechosos. Pero puede que no pienses en otros tipos de amenazas porque crees que basta con estar alerta con el correo electrónico. Sin embargo, también existe un tipo de phishing llamado quishing, en el que se difunden malware o enlaces a sitios de phishing mediante códigos QR.
O conoces las reglas para crear contraseñas seguras, pero creas una contraseña como «P@ssword123!» que, a pesar de tener todas las características de una contraseña segura, es predecible y fácil de descifrar.
Cómo mitigar este sesgo:
Por desgracia, no existe un método sencillo para superar rápidamente este efecto. Nos sentimos orgullosos cuando aprendemos algo nuevo, pero siempre debemos recordar que, por mucho que aprendamos, seguirá habiendo información que desconocemos.
Por eso debemos ampliar nuestros conocimientos de forma progresiva (por ejemplo, siguiendo en redes sociales una página de divulgación sobre ciberseguridad) y actualizarlos (haciendo tests gratuitos o asistiendo a formaciones).
Debemos intentar evaluar nuestras capacidades de forma objetiva y no desatender los consejos de los expertos.
Conservadurismo y efecto anclaje
El anclaje es la tendencia a confiar en la primera información que recibimos sobre un tema: la información nueva se procesa a través del filtro de esa primera información en lugar de hacerlo de forma objetiva. El conservadurismo implica negarnos a cambiar de opinión ante información nueva, es decir, preferimos seguir creyendo en nuestras convicciones previas.
Efectos negativos:
Por ejemplo, has leído en las noticias sobre una filtración de datos en un conocido gestor de contraseñas. Como consecuencia, piensas que los gestores de contraseñas no son fiables y tu confianza en ellos disminuye. Y eso a pesar de que reducen los ciberriesgos y, de media, son mucho más seguros que las aplicaciones normales que no están diseñadas para la seguridad.
Cómo mitigar este sesgo:
El anclaje es un sesgo cognitivo muy potente que no puede eliminarse por completo. Si has detectado un ancla en ti, una estrategia eficaz para reducir su influencia es encontrar o idear argumentos que demuestren por qué es errónea y no es cierta.
En el contexto de nuestro ejemplo, podría tratarse de comparar las estadísticas de los sectores en los que se producen brechas de datos (donde el sector TI está lejos de ocupar el primer puesto) o de analizar a los usuarios con determinados hábitos de gestión de contraseñas (quienes usan un gestor de contraseñas siguen estando expuestos a un riesgo menor que quienes no lo hacen).
Reactancia
El sesgo de reactancia significa que tendemos a hacer lo contrario de lo que creemos que otros quieren imponernos, para demostrar nuestra libertad de hacer lo que queremos.
Efectos negativos:
A menudo vemos recomendaciones repetidas sobre protección de datos y ciberseguridad. Aunque se publiquen con buena intención, muchas veces las ignoramos por reactancia, aun sabiendo que podrían ser correctas. Simplemente porque no nos gusta que nos digan lo que tenemos que hacer.
Cómo mitigar este sesgo:
Una buena manera de reducir la reactancia es encontrar un modelo a seguir que represente los valores que deseas. Si tienes un buen ejemplo delante, te resultará más fácil seguir las buenas prácticas.
Divide el proceso de adopción de nuevas prácticas en pequeños pasos y avanza de forma gradual.
Sesgo de confirmación y sus efectos
Puede parecerse al conservadurismo, pero la diferencia es que nos centramos en la información que confirma nuestras creencias y la interpretamos de forma que confirme esas creencias o prejuicios.
También existe un efecto contraproducente (backfire effect), por el que reforzamos nuestras creencias cuando encontramos información que las contradice, y un efecto de percepción selectiva, que significa que nuestras percepciones están influidas por nuestras expectativas.
Efectos negativos:
Supongamos que, por algún motivo, crees que usar un gestor de contraseñas o un antivirus no sirve de nada. Con esa creencia, todos los artículos, publicaciones y vídeos que hablan de las ventajas de estas aplicaciones te parecerán trucos de marketing.
Cómo mitigar este sesgo:
Por desgracia, la única forma de combatir este sesgo es profundizar conscientemente en el ámbito de conocimiento en cuestión. También ayudan la autorreflexión y el intercambio con alguien que conozca bien la materia.
Sesgo de creencia
Se habla de sesgo de creencia cuando las personas aceptan argumentos que encajan con sus convicciones y rechazan los que las contradicen, aunque la lógica sea errónea. En resumen, juzgan algo como verdadero o falso en función de lo que ya creen y no de hechos o argumentos reales.
Efectos negativos:
Mucha gente tiende a pensar que los hackers solo atacan a grandes empresas y no a personas corrientes. Incluso cuando se les presentan datos sobre cuántas personas corrientes son víctimas de ciberataques y pierden sus datos y su dinero, es menos probable que los acepten que los datos sobre ciberataques a grandes empresas u organismos públicos.
Cómo mitigar este sesgo:
Un método eficaz para superar este sesgo es tomarse tiempo para examinar los argumentos que contradicen tu opinión. No los descartes sin más: reflexiona detenidamente sobre ellos, compáralos con los argumentos que respaldan tu opinión o infórmate sobre ellos.
Además, solemos analizar con más cuidado los argumentos presentados de forma negativa que los presentados de forma neutral.
Cascada de disponibilidad y efecto arrastre
La cascada de disponibilidad se produce cuando encontramos a otras personas que opinan lo mismo que nosotros, lo que refuerza nuestra creencia en algo (que no necesariamente es cierto). El efecto arrastre (bandwagon), es decir, la tendencia a sumarse a lo que hacen los demás, se produce cuando nos adherimos a la opinión de un grupo.
Efectos negativos:
Por ejemplo, la creencia antes muy extendida de que las contraseñas debían cambiarse con frecuencia llevaba a los usuarios a cambiar simplemente el último carácter de una contraseña (a menudo débil), pensando que era suficiente. Esta política se imponía en las empresas. Hoy no hay un consenso claro sobre la frecuencia de cambio de contraseñas, pero es mejor crear una contraseña larga, robusta y única y vigilarla mediante un gestor de contraseñas para detectar filtraciones en la dark web que cambiarla a menudo.
Cómo mitigar este sesgo:
La opinión de un grupo (sobre todo la de personas no expertas) no siempre es la correcta. En caso de duda, es mejor estudiar la opinión de los expertos. Si estas prácticas forman parte de la política de la empresa en la que trabajas, por desgracia tienes menos margen de maniobra: o las aceptas y las cumples, o colaboras con el departamento de TI para promover prácticas más eficaces.
Sesgo del statu quo
El sesgo del statu quo (es decir, preferir la situación actual y evitar los cambios aunque objetivamente fueran más ventajosos) se da cuando te resistes a los cambios para mantener tu posición actual.
Efecto negativo:
Supongamos que quieres usar un gestor de contraseñas, pero como primero tendrías que añadir, organizar y etiquetar todas tus contraseñas y demás credenciales, tu cerebro sabotea la transición con el sesgo del statu quo: ¿para qué usar un gestor de contraseñas si tus cuentas aún no han sido hackeadas ni tus datos se han filtrado?
La enorme cantidad de gestores de contraseñas disponibles en el mercado también puede disuadirte de usar uno, ya que comparar alternativas cuesta tiempo y esfuerzo.
Cómo mitigar este sesgo:
En esta situación conviene buscar conscientemente argumentos a favor de la nueva y útil iniciativa que quieres poner en marcha y sopesar todas las posibles ventajas e inconvenientes de la nueva práctica frente a la anterior.
Intenta reducir el número de opciones. Y una vez que hayas decidido, elabora un plan para implantar la nueva práctica y avanza paso a paso, sin perder de vista el objetivo.
Esperamos que este artículo te haya ayudado a conocerte un poco mejor y te haya motivado a mejorar tu nivel de ciberseguridad. La segunda mitad de los sesgos se tratará en el próximo artículo.
Este sitio web utiliza cookies, las cuales tienen dos funciones: por un lado, están proporcionando una funcionalidad básica para este sitio web. Por otro lado, nos permiten mejorar nuestro contenido guardando y analizando datos anónimos de usuario. Usted puede cambiar su consentimiento a utilizar estas cookies en cualquier momento. Encontrar más información sobre cookies en nuestro Declaración de Protección de Datos y sobre nosotros en el Aviso Legal.