Capítulo 2 — Fatores humanos e política cibernética: fronteira da pesquisa
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX008.
flowchart TD
N0["2.1 Do elo mais fraco a parceiros"]
N1["2.2 Rejeição racional e orçamentos"]
N2["2.3 Frameworks de políticas"]
N3["2.4 A lacuna"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX008"]
Desenho lógico
flowchart LR
N0["2.1 Do elo mais fraco a parceiros"]
N1["2.2 Rejeição racional e orçamentos"]
N2["2.3 Frameworks de políticas"]
N3["2.4 A lacuna"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]
[2.1 Do elo mais fraco a parceiros]
|
v
[2.2 Rejeição racional e orçamentos]
|
v
[2.3 Frameworks de políticas]
|
v
[2.4 A lacuna]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX008]
Objetivos de aprendizagem
Você vai (1) mapear a fronteira da pesquisa sobre conscientização e comportamento; (2) identificar lacunas que importam para políticas; (3) posicionar uma contribuição em relação aos trabalhos anteriores.
2.1 Do elo mais fraco a parceiros
Mireille reconstrói como o campo mudou. Adams e Sasse (1999) mostraram que usuários que quebravam as regras de senha muitas vezes estavam lidando com exigências impraticáveis, e não agindo com descuido. Sasse, Brostoff e Weirich (2001) argumentaram que chamar os usuários de elo mais fraco esconde falhas de projeto e que o objetivo deveria ser a segurança utilizável. Whitten e Tygar (1999) mostraram que mesmo usuários motivados não conseguiam usar corretamente um software de criptografia. Juntos, esses trabalhos deslocaram a fronteira da culpa atribuída às pessoas para o projeto de sistemas e políticas que se ajustem ao modo como as pessoas realmente trabalham.
2.2 Rejeição racional e orçamentos
Herley (2009) argumentou que os usuários muitas vezes rejeitam racionalmente conselhos de segurança porque, para eles, os custos superam os benefícios. Beautement, Sasse e Wonham (2008) descreveram um orçamento de compliance: as pessoas têm capacidade limitada para o esforço de segurança, e cada nova exigência compete com o trabalho. Bada, Sasse e Nurse (2019) revisaram por que campanhas de conscientização muitas vezes não mudam comportamentos, apontando mensagens de medo, excesso de informação e falta de apoio prático. Mireille observa que essas ideias preveem que sua intervenção só dará certo se reportar for barato e se o retorno for útil para os servidores.
2.3 Frameworks de políticas
Mireille revisa as orientações de política. A NIST SP 800-50 Rev. 1 (Hansche et al., 2024) trata conscientização e treinamento como um programa de aprendizagem, com papéis, levantamento de necessidades e avaliação. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) exige que as organizações assegurem a conscientização e a competência das pessoas. As diretrizes de cultura de cibersegurança da ENISA (2019) se apoiam na ciência comportamental e recomendam medir a cultura, e não apenas a conclusão de cursos. Ela observa que os frameworks exigem avaliação, mas raramente dizem que desfecho avaliar, o que leva as organizações a recorrer a contagens de conclusão e a taxas de cliques por serem fáceis de medir. Essa lacuna é um dos motivos de ela ter escolhido o reporte como desfecho principal.
2.4 A lacuna
Mireille declara a lacuna: poucos estudos comparam programas centrados em reportes com programas centrados em cliques em uma organização do setor público, com dificuldade de isca fixa, desfechos pré-registrados e uma replicação independente. Sua contribuição é um estudo de campo escalonado com essas características e um protocolo de medição reutilizável. O Prof. Aalto a pressiona a declarar também o que a contribuição não é: ela não mede se os incidentes de violação diminuem, o que exigiria muito mais tempo e dados. Posicionar uma afirmação com precisão diante dos trabalhos anteriores a protege tanto do exagero quanto do descarte.
Exemplo resolvido
Mireille reconstrói a passagem do pensamento do elo mais fraco para a segurança utilizável, revisa os argumentos de orçamento e de rejeição, mapeia as orientações de política e declara uma lacuna precisa.
Caso sintético. O posicionamento é sintético; todas as obras citadas são reais.
Erros e limites
Mapas da literatura refletem as escolhas de quem lê. As orientações de política mudam entre revisões.
Exercícios
- EX008 — Achado de Adams e Sasse. O que Adams e Sasse (1999) constataram sobre usuários que quebravam regras? Rubrica: 3 = lidavam com exigências impraticáveis, não eram descuidados;; 2 = enfrentamento;; 1 = descuido;; 0 = nenhuma.
- EX009 — Estudo do Johnny. O que Whitten e Tygar (1999) mostraram? Rubrica: 3 = usuários motivados não conseguiam usar corretamente software de criptografia;; 2 = usabilidade;; 1 = vago;; 0 = nenhuma.
- EX010 — Rejeição racional. Por que, segundo Herley (2009), usuários podem rejeitar racionalmente os conselhos? Rubrica: 3 = os custos superam os benefícios para eles;; 2 = custo-benefício;; 1 = ignorância;; 0 = nenhuma.
- EX011 — Ideia do orçamento de compliance. O que é o orçamento de compliance? Rubrica: 3 = capacidade limitada de esforço de segurança que compete com o trabalho;; 2 = capacidade limitada;; 1 = vago;; 0 = nenhuma.
- EX012 — Silêncio dos frameworks. O que os frameworks costumam deixar sem especificar? Rubrica: 3 = que desfecho avaliar;; 2 = desfecho;; 1 = vago;; 0 = nenhuma.
- EX013 — O que não se afirma. O que a contribuição de Mireille não mede? Rubrica: 3 = se as violações diminuem;; 2 = violações;; 1 = vago;; 0 = nenhuma.
- EX014 — Partes da contribuição. Cite duas características da contribuição planejada. Rubrica: 3 = setor público, dificuldade de isca fixa, pré-registro, replicação, desenho escalonado;; 2 = duas;; 1 = vago;; 0 = nenhuma.
Síntese
A fronteira passou de culpar os usuários a projetar para eles; uma contribuição precisa preenche uma lacuna mensurável sem exagerá-la.
Continue estudando — aula 02 (capítulo 02 de 08)
← Capítulo 01 · Índice das aulas · Capítulo 03 →
Continue para a próxima aula já escrita.