Capítulo 19 — Fatores humanos e política cibernética: escopo e teoria

Mapa da aula

Aula 19 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["19.1 Escopo"]
  N1["19.2 Teorias do comportamento"]
  N2["19.3 Aplicar a teoria"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["19.1 Escopo"]
  N1["19.2 Teorias do comportamento"]
  N2["19.3 Aplicar a teoria"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX055"]

[19.1 Escopo]
    |
    v
[19.2 Teorias do comportamento]
    |
    v
[19.3 Aplicar a teoria]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) definir o escopo dos fatores humanos em cibersegurança; (2) explicar as principais teorias do comportamento de segurança; (3) aplicar a teoria à Ashcombe.

19.1 Escopo

Os fatores humanos em cibersegurança estudam como as pessoas interagem com a segurança: usuários, defensores, gestores e atacantes. O campo cobre usabilidade, tomada de decisão, cultura, política, treinamento e engenharia social. Nadia aprende que o campo passou de culpar os usuários a projetar para eles, uma mudança expressa nos títulos de Adams e Sasse (1999), "Users are not the enemy", e de Sasse, Brostoff e Weirich (2001), "Transforming the weakest link". O escopo também inclui a política, porque regras e leis moldam o que as organizações pedem às pessoas. Nadia lê os dois artigos na íntegra.

19.2 Teorias do comportamento

Várias teorias ajudam a explicar o comportamento de segurança. A teoria do comportamento planejado, de Ajzen (1991), diz que as intenções dependem das atitudes, das normas sociais e do controle percebido. O orçamento de compliance (Beautement, Sasse e Wonham, 2008) diz que as pessoas pesam o esforço de segurança contra suas tarefas principais. Herley (2009) argumentou que rejeitar alguns conselhos é racional quando seus custos superam os benefícios. Nadia compara essas teorias e observa que elas concordam num ponto: o comportamento depende de quão fácil e quão valiosa a ação segura parece, e não apenas do conhecimento. Ela resume cada uma numa tabela.

19.3 Aplicar a teoria

Nadia aplica essas teorias ao problema de reporte da Ashcombe. O comportamento planejado sugere verificar se os funcionários acreditam que os colegas reportam e se reportar parece fácil. O orçamento de compliance sugere verificar se reportar compete com o atendimento aos usuários. A visão de Herley sugere verificar se os funcionários veem algum benefício em reportar. Ela transforma cada ponto num item do questionário. Assim, a teoria orienta o que medir, em vez de deixar o estudo à mercê das perguntas que lhe ocorrerem, e ajuda a explicar os resultados quando os dados chegam. Cada item está ligado a uma teoria em seu plano.

Exemplo resolvido

Nadia define o campo, compara três teorias e as transforma em itens de questionário para a Ashcombe.

Caso sintético. A aplicação é sintética; Ajzen (1991), Beautement et al. (2008) e Herley (2009) são reais.

Erros e limites

As teorias se sobrepõem. Os itens do questionário podem não capturar plenamente os construtos.

Exercícios

• EX055 — Mudança do campo. Que mudança o campo mostra?
  Mostrar critérios de avaliação

  Rubrica: 3 = de culpar os usuários a projetar para eles;; 2 = design;; 1 = vago;; 0 = nenhuma.
• EX056 — Partes do comportamento planejado. Que três fatores moldam as intenções na teoria de Ajzen?
  Mostrar critérios de avaliação

  Rubrica: 3 = atitudes, normas e controle percebido;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX057 — Ponto comum. Em que as teorias concordam?
  Mostrar critérios de avaliação

  Rubrica: 3 = o comportamento depende de quão fácil e valiosa a ação segura parece;; 2 = facilidade;; 1 = conhecimento;; 0 = nenhuma.

Síntese

A teoria define o que procurar no comportamento de segurança e orienta a medição.