Di solito incontriamo esempi di bias cognitivi nella vita quotidiana e nelle relazioni interpersonali, poiché le distorsioni cognitive permeano tutti gli ambiti della vita. In questo articolo abbiamo deciso di arricchire le conoscenze sui bias cognitivi con esempi tratti dalla cybersicurezza, in particolare dalla gestione di password, altre credenziali di accesso e informazioni sensibili.

Quali bias possono dunque influenzare direttamente il nostro comportamento in materia di cybersicurezza e le nostre abitudini di gestione delle password?

Eccoli:

1. Effetto Dunning-Kruger
2. Conservatorismo ed effetto ancoraggio
3. Reattanza
4. Bias di conferma e i suoi effetti
5. Belief bias
6. Cascata di disponibilità ed effetto carrozzone
7. Bias dello status quo
8. Fallacia logica
9. Effetto framing
10. Bias del sopravvissuto
11. Legge della banalità
12. Giustificazione dello sforzo
13. Bias di pessimismo/ottimismo
14. Bias egocentrico

Di seguito analizziamo nel dettaglio i primi sette e vediamo come contrastarli.

Effetto Dunning-Kruger

È una distorsione cognitiva per cui una persona con conoscenze solo frammentarie su un argomento sopravvaluta la propria competenza.

Che effetto può avere sulla gestione delle password e sulle pratiche di cybersicurezza:

Se conosci le minacce informatiche, probabilmente cerchi di ridurle al minimo. Se per esempio sai cos’è il phishing, forse non clicchi sui link contenuti in e-mail sospette. Ma potresti non pensare ad altri tipi di minacce, convinto che basti essere vigili con le e-mail. Esiste però anche una forma di phishing chiamata quishing, in cui malware o link a siti di phishing vengono diffusi tramite codici QR.

Oppure conosci le regole per creare password sicure, ma crei una password come «P@ssword123!», che nonostante abbia tutte le caratteristiche di una password sicura è prevedibile e facile da craccare.

Come attenuare questo bias:

Purtroppo non esiste un metodo semplice per superare rapidamente questo effetto. Siamo orgogliosi quando impariamo qualcosa di nuovo, ma dobbiamo sempre ricordare che, per quanto impariamo, ci saranno sempre informazioni che non conosciamo.

Per questo dobbiamo ampliare gradualmente le nostre conoscenze (ad esempio seguendo sui social network una pagina che divulga la cybersicurezza) e aggiornarle (facendo test gratuiti o frequentando corsi di formazione).

Dobbiamo cercare di valutare le nostre capacità in modo obiettivo e non trascurare i consigli degli esperti.

Conservatorismo ed effetto ancoraggio

L’ancoraggio indica la tendenza a fare affidamento sulla prima informazione ricevuta su un argomento: le nuove informazioni vengono elaborate attraverso la lente di quella prima informazione, invece che in modo obiettivo. Il conservatorismo indica il rifiuto di cambiare opinione di fronte a nuove informazioni, cioè preferiamo continuare a credere alle nostre convinzioni precedenti.

Effetti negativi:

Supponiamo che tu abbia letto nelle notizie di una fuga di dati presso un noto password manager. Di conseguenza pensi che i password manager siano inaffidabili e la tua fiducia in essi diminuisce. Eppure riducono i rischi informatici e, in media, i password manager sono molto più sicuri delle normali applicazioni non progettate per la sicurezza.

Come attenuare questo bias:

L’ancoraggio è un bias cognitivo molto forte che non si può eliminare del tutto. Se hai individuato un’ancora in te stesso, una strategia efficace per ridurne l’influenza è trovare o ideare argomenti che dimostrino perché è sbagliata e non vera.

Nel nostro esempio, potrebbe trattarsi di un confronto tra le statistiche dei settori colpiti da violazioni dei dati (in cui il settore IT è tutt’altro che al primo posto) o di un’analisi sugli utenti con determinate abitudini di gestione delle password (chi usa un password manager è comunque esposto a un rischio minore di chi non lo usa).

Reattanza

Il bias della reattanza indica la tendenza a fare il contrario di ciò che crediamo gli altri vogliano imporci, per dimostrare la nostra libertà di fare ciò che vogliamo.

Effetti negativi:

Vediamo spesso raccomandazioni ripetute sulla protezione dei dati e sulla cybersicurezza. Anche se vengono pubblicate con buone intenzioni, spesso le ignoriamo per reattanza, pur sapendo che potrebbero essere giuste. Semplicemente perché non ci piace sentirci dire cosa fare.

Come attenuare questo bias:

Un buon modo per ridurre la reattanza è trovare un modello di riferimento che incarni i valori che desideri. Avendo davanti un buon esempio, ti sarà più facile seguire le buone pratiche.

Suddividi il processo di adozione delle nuove abitudini in piccoli passi e procedi gradualmente.

Bias di conferma e i suoi effetti

Può sembrare simile al conservatorismo, ma la differenza è che ci concentriamo sulle informazioni che confermano le nostre convinzioni e le interpretiamo in modo da confermare tali convinzioni o pregiudizi.

Esiste anche un effetto boomerang (backfire effect), per cui rafforziamo le nostre convinzioni quando incontriamo informazioni che le contraddicono, e un effetto di percezione selettiva, per cui le nostre percezioni sono influenzate dalle nostre aspettative.

Effetti negativi:

Supponiamo che, per qualche motivo, tu creda che usare un password manager o un antivirus sia inutile. Alla luce di questa convinzione, tutti gli articoli, i post e i video che parlano dei vantaggi di queste applicazioni ti sembreranno trovate di marketing.

Come attenuare questo bias:

Purtroppo l’unico modo per combattere questo bias è approfondire consapevolmente l’ambito di conoscenza in questione. Sono utili anche l’autoriflessione e il confronto con chi conosce bene la materia.

Belief bias

Si parla di belief bias quando le persone accettano argomentazioni in linea con le proprie convinzioni e rifiutano quelle che le contraddicono, anche se la logica è errata. In breve, giudicano qualcosa vero o falso in base a ciò che già credono e non in base a fatti o argomenti concreti.

Effetti negativi:

Molte persone tendono a pensare che gli hacker attacchino solo le grandi aziende e non le persone comuni. Anche quando vengono presentati loro dati su quante persone comuni cadono vittima di attacchi informatici e perdono dati e denaro, sono meno propense ad accettarli rispetto ai fatti sugli attacchi a grandi aziende o enti governativi.

Come attenuare questo bias:

Un metodo efficace per superare questo bias è prendersi il tempo di esaminare gli argomenti contrari alla propria opinione. Non scartarli e basta: riflettici con attenzione, confrontali con gli argomenti a sostegno della tua opinione oppure informati meglio.

Tendiamo inoltre ad analizzare con più attenzione gli argomenti presentati in una luce negativa rispetto a quelli presentati in modo neutro.

Cascata di disponibilità ed effetto carrozzone

La cascata di disponibilità si verifica quando incontriamo altre persone che la pensano come noi, rafforzando così la nostra convinzione su qualcosa (che non è necessariamente vero). L’effetto carrozzone (bandwagon), cioè la tendenza ad adeguarsi a ciò che fanno gli altri, si verifica quando aderiamo all’opinione di un gruppo.

Effetti negativi:

Ad esempio, la convinzione un tempo molto diffusa che le password vadano cambiate spesso portava gli utenti a modificare semplicemente l’ultimo carattere di una password (spesso debole), ritenendolo sufficiente. Questa politica veniva imposta nelle aziende. Oggi non c’è un consenso chiaro sulla frequenza dei cambi di password, ma è meglio creare una password lunga, robusta e unica e monitorarla tramite un password manager per individuare eventuali fughe di dati nel dark web, piuttosto che cambiarla spesso.

Come attenuare questo bias:

L’opinione di un gruppo (soprattutto di non esperti) non è necessariamente sempre giusta. Nel dubbio, è meglio studiare il parere degli esperti. Se queste pratiche fanno parte della policy dell’azienda per cui lavori, purtroppo hai meno margine di manovra: o le accetti e le rispetti, oppure collabori con il reparto IT per promuovere pratiche più efficaci.

Bias dello status quo

Il bias dello status quo (cioè preferire la situazione attuale ed evitare i cambiamenti, anche quando sarebbero oggettivamente più vantaggiosi) si manifesta quando ti opponi ai cambiamenti per mantenere la tua posizione attuale.

Effetti negativi:

Supponiamo che tu voglia usare un password manager ma, dato che prima dovresti inserire, organizzare ed etichettare tutte le tue password e le altre credenziali, il tuo cervello sabota il passaggio con il bias dello status quo: perché usare un password manager se i tuoi account non sono ancora stati violati e i tuoi dati non sono ancora trapelati?

Anche il numero enorme di password manager disponibili sul mercato può scoraggiarti dall’usarne uno, perché confrontare le alternative richiede tempo e fatica.

Come attenuare questo bias:

In questa situazione conviene cercare consapevolmente argomenti a favore della nuova e utile iniziativa che vuoi avviare e soppesare tutti i potenziali vantaggi e svantaggi della nuova pratica rispetto a quella attuale.

Cerca di ridurre il numero di opzioni. E una volta presa la decisione, prepara un piano per introdurre la nuova pratica e procedi passo dopo passo, tenendo sempre a mente l’obiettivo.

Speriamo che questo articolo ti abbia aiutato a conoscerti un po’ meglio e ti abbia motivato a migliorare la tua sicurezza informatica. Della seconda metà dei bias parleremo nel prossimo articolo.