Nell’articolo precedente abbiamo esaminato 7 bias cognitivi del seguente elenco.

1. Effetto Dunning-Kruger
2. Conservatorismo ed effetto ancoraggio
3. Reattanza
4. Bias di conferma e i suoi effetti
5. Bias di credenza
6. Cascata di disponibilità ed effetto carrozzone
7. Bias dello status quo
8. Fallacia logica
9. Effetto framing
10. Bias di sopravvivenza
11. Legge della banalità
12. Giustificazione dello sforzo
13. Effetto pessimismo/ottimismo
14. Bias egocentrico

Ora proseguiamo con i 7 rimanenti:

Fallacia logica

Le fallacie logiche si manifestano spesso come interpretazioni errate della probabilità degli eventi o come incomprensioni dei nessi logici tra gli eventi. In questi casi un ragionamento sbagliato porta a conclusioni errate.

Effetti negativi:

Se non siete mai stati vittime di un attacco informatico o se le vostre informazioni non sono mai state sottratte online, potreste credere erroneamente che gli hacker non siano interessati proprio a voi e che in futuro non sarete il bersaglio di un attacco. È però importante ricordare che gli attacchi informatici di massa di norma non sono selettivi: se finora non siete stati tra le vittime, è solo una coincidenza.

Come attenuare questo bias:

Quando si parla di sicurezza informatica, bisogna sempre tenere presente che le precauzioni adottate probabilmente non bastano e non vi proteggono al 100% da tutti gli attacchi. Questo però non è un motivo per rinunciare alle misure di sicurezza, perché riducono notevolmente il rischio.

Se finora non avete preso misure per proteggere i vostri dati e i vostri account perché non vi è successo nulla di grave, è il momento di fare i primi passi. Se avete già fatto qualcosa per la vostra sicurezza informatica, non abbassate la guardia e non sentitevi al sicuro: pensate a come migliorare ulteriormente la vostra protezione.

Effetto framing

L’effetto framing nasce dal modo in cui un’informazione viene presentata. A seconda di come ci viene proposta la stessa informazione, possiamo trarre conclusioni completamente diverse.

Effetti negativi:

Supponiamo che abbiate ideato una password lunga e sicura: quando la inserite, tutti i parametri richiesti sono contrassegnati in verde e la barra di robustezza è completamente verde. Ottimo. Ma supponiamo che la riutilizziate per molti account. Anche se la password è forte, se trapela da un sito web e un aggressore sferra un attacco di credential stuffing su altri siti, perderete l’accesso a molti degli account in cui l’avete riutilizzata.

Oppure un altro esempio: l’autenticazione a più fattori viene presentata come «un livello di protezione aggiuntivo» oppure come «senza MFA i vostri account sono esposti a un rischio elevato». Quale delle due formulazioni vi motiva ad attivarla?

Come attenuare questo bias:

Come per gli altri bias, aiutano la consapevolezza e il pensiero critico. Informatevi, considerate le questioni da diverse prospettive, confrontatevi con gli esperti.

Bias di sopravvivenza

Il bias di sopravvivenza (survivorship bias) si verifica quando le informazioni sui casi «sopravvissuti» sono ampiamente disponibili, mentre quelle sui casi finiti male sono assenti o incomplete.

Effetti negativi:

Quante volte leggete notizie di aziende che hanno subito un attacco informatico e sono fallite? Molto più spesso vediamo notizie di grandi aziende solide, in grado di sopravvivere a un attacco e di ripristinare le proprie attività. Eppure il 60% delle piccole imprese chiude entro sei mesi da un attacco informatico.

Come attenuare questo bias:

Ricordate che nei mass media compaiono di solito i casi più eclatanti. Molti incidenti passano inosservati o vengono semplicemente nascosti sotto il tappeto.

Se state pensando di avviare un’attività, conviene coinvolgere già in fase di pianificazione uno specialista IT e di sicurezza informatica, per costruire correttamente l’architettura delle applicazioni che utilizzerete. In questo modo i rischi si riducono in modo significativo. Se la vostra azienda è già operativa, non sarebbe superfluo sottoporsi a un audit o farsi consigliare da professionisti IT. Sul mercato ci sono molti consulenti IT specializzati in PMI, tra cui anche la nostra azienda.

Legge della banalità

Questa legge (nota anche come Bikeshedding) afferma che le persone tendono a concentrarsi su questioni piccole e semplici, trascurando problemi più importanti e complessi. Di solito si applica alle organizzazioni, ma vale anche per le decisioni di gruppo. Nella sicurezza informatica può portare a decisioni sbagliate e a priorità mal definite.

Effetti negativi:

Un’azienda, ad esempio, passa settimane a discutere se la propria policy debba richiedere password di 12 o di 14 caratteri, mentre molti dipendenti non usano affatto l’autenticazione a più fattori (MFA). Oppure un’azienda impiega mesi a confrontare strumenti di cybersecurity, ma non insegna ai dipendenti a riconoscere gli attacchi di phishing.

Come attenuare questo bias:

La cosa migliore è dare priorità alle misure di sicurezza ad alto impatto (MFA, password manager, formazione sulla sicurezza) rispetto a piccoli dibattiti di scarso effetto. Non sarebbe superfluo verificare il sistema di sicurezza informatica dell’azienda, individuare punti deboli e rischi e valutare il danno potenziale nel caso in cui i rischi si concretizzino. Così la pianificazione della sicurezza informatica sarà razionale ed efficace.

Giustificazione dello sforzo

Questo bias consiste nel valutare in modo preconcetto (sovrastimato) qualcosa in cui abbiamo investito il nostro impegno. Forse avete già sentito parlare dell’effetto IKEA, per cui i clienti attribuiscono più valore ai mobili che hanno montato da soli.

Effetti negativi:

Ad esempio, il vostro attuale password manager non dispone di tutte le funzioni necessarie. Ma questo bias vi porta a continuare a usarlo, perché lo avete già configurato e avete già inserito i dati, e passare a un nuovo password manager vi sembra troppo faticoso. O peggio ancora: conservate le vostre credenziali in un quaderno di carta in cui avete investito molto tempo e fatica, e per questo rifiutate di adottare un’app di gestione delle password.

In un contesto aziendale questo bias può ostacolare l’aggiornamento del sistema IT o il passaggio a un software nuovo, più efficiente e affidabile.

Come attenuare questo bias:

Per prima cosa, provate a valutare il nuovo prodotto a cui volete passare in modo diverso rispetto a quello che utilizzate oggi. Le recensioni degli utenti possono aiutarvi.

Quando la vostra valutazione del nuovo prodotto è cresciuta al punto che l’idea di cambiare non vi respinge più, analizzate quali vantaggi otterrete dal suo utilizzo e quanto le sue funzioni vi semplificheranno la vita rispetto ai disagi causati dal vecchio prodotto. Dopo questa riflessione vi sarà più facile passare alla nuova soluzione.

In azienda, le funzioni del nuovo software vengono confrontate con attenzione con quelle del software attuale e si stimano anche i costi di implementazione e il ritorno sull’investimento.

Effetto pessimismo/ottimismo

Il bias del pessimismo consiste nel sovrastimare le conseguenze negative e sottostimare quelle positive. L’ottimismo, al contrario, ci porta a sottostimare le conseguenze negative e a sovrastimare quelle positive.

Effetti negativi:

Sorprendentemente, entrambi possono portare alla stessa conclusione distorta: non faccio nulla per proteggere i miei dati perché sono sicuro che un attacco informatico sia un evento improbabile che non mi riguarderà. OPPURE non faccio nulla per proteggere i miei dati perché prima o poi un attacco ci sarà comunque e non c’è modo di difendermi.

Come attenuare questo bias:

La cattiva notizia: per evitare che questi bias influenzino il vostro comportamento e paralizzino i vostri sforzi, dovete provare a vestire i panni del realista.

Potete farlo trovando un riferimento adatto al vostro caso. Ad esempio, la testimonianza di qualcuno che è passato dallo stesso prodotto che usate voi a quello nuovo che state valutando. Esistono molti siti di confronto in cui potete paragonare le caratteristiche di prodotti diversi, software compresi. Cercate di confrontare le alternative in modo obiettivo.

Per avere un quadro più completo, se siete ottimisti considerate anche gli aspetti negativi; se siete pessimisti, non dimenticate quelli positivi.

Bias egocentrico

Il bias egocentrico ci fa credere che il nostro giudizio sia più obiettivo e che siamo meno soggetti a pregiudizi rispetto agli altri. Questo bias è anche all’origine di molte incomprensioni nella comunicazione e nell’interazione con le altre persone.

Effetti negativi:

Forse avete notato che molte raccomandazioni sulla sicurezza informatica sembrano esagerate o addirittura inutili. Ed è anche possibile che qualcosa sia effettivamente un po’ estremo. Ma come potete sapere che queste raccomandazioni sono inutili, se non siete esperti di cybersecurity con molta esperienza?

Le raccomandazioni e le best practice di sicurezza informatica non servono a complicarvi la vita, ma a rendere i vostri dati il più sicuri possibile in un ambiente online pieno di rischi.

Come attenuare questo bias:

La consapevolezza di sé è fondamentale! È anche necessario prendere un po’ le distanze dalle proprie convinzioni e osservarle dall’esterno, insieme ai punti di vista alternativi. Concedetevi più tempo per riflettere quando dovete prendere decisioni. Non a caso si dice: la notte porta consiglio.

Superare i bias cognitivi è un compito grande e difficile, indipendentemente dall’ambito in cui si manifestano. Ma l’impegno a lavorare su se stessi ripaga davvero.

Cerchiamo di presentare la sicurezza informatica come qualcosa di utile e accessibile a tutti. A volte seguire le regole della sicurezza informatica e della gestione delle password può sembrare faticoso, ma vi sosteniamo e incoraggiamo al 100% in questo percorso. Continuate così!