Capítulo 2 — Fatores humanos e política cibernética: seminário avançado

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Teorias do comportamento"]
  N1["2.2 Aplicar os modelos"]
  N2["2.3 Crítica"]
  N3["2.4 Relevância para políticas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Teorias do comportamento"]
  N1["2.2 Aplicar os modelos"]
  N2["2.3 Crítica"]
  N3["2.4 Relevância para políticas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]

[2.1 Teorias do comportamento]
    |
    v
[2.2 Aplicar os modelos]
    |
    v
[2.3 Crítica]
    |
    v
[2.4 Relevância para políticas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) criticar as principais teorias de fatores humanos; (2) comparar modelos comportamentais aplicados à segurança; (3) aplicá-los à mudança na política de senhas do hospital.

2.1 Teorias do comportamento

No seminário, o Dr. Nakamura pede aos alunos que comparem teorias que explicam o comportamento de segurança. A teoria do comportamento planejado (Ajzen, 1991) diz que as intenções dependem de atitudes, normas sociais e controle percebido. O orçamento de compliance (Beautement, Sasse e Wonham, 2008) diz que as pessoas gastam um esforço limitado com segurança e deixam de cumprir as regras quando as exigências o ultrapassam. Sofia observa que a primeira se concentra no que as pessoas acreditam e a segunda no que as exigências custam. As duas oferecem previsões sobre a mudança de política do hospital, que ela pode comparar. Ela resume ambas em uma tabela comparativa curta.

2.2 Aplicar os modelos

Usando o comportamento planejado, Sofia prevê que os funcionários que acreditam que o gerenciador de senhas é fácil de usar e veem colegas usando-o vão adotá-lo. Usando o orçamento de compliance, prevê que eliminar as trocas obrigatórias libera esforço, o que pode aumentar o cumprimento de outras regras, como bloquear a tela. Os modelos fazem previsões diferentes sobre quem muda de comportamento: o comportamento planejado aponta para atitudes e normas, enquanto o orçamento aponta para a carga de trabalho. O desenho do estudo pode testar algumas dessas diferenças, levantando crenças em questionário e medindo a carga de trabalho. Ela escreve cada previsão em uma única frase testável.

2.3 Crítica

O seminário critica as duas teorias. O comportamento planejado muitas vezes explica melhor as intenções do que as ações, e as ações de segurança frequentemente são hábitos, e não escolhas deliberadas. O orçamento de compliance é persuasivo, mas difícil de medir diretamente. Bada, Sasse e Nurse (2019) argumentam que campanhas de conscientização fracassam quando presumem que a informação, sozinha, muda o comportamento. Sofia conclui que nenhum modelo isolado explicará seus resultados e que ela deve declarar quais previsões vêm de qual modelo, para que os leitores vejam quais teorias seus dados sustentam e quais não. O grupo do seminário concorda com essa abordagem.

2.4 Relevância para políticas

Sofia liga a teoria às políticas. Se o modelo do orçamento for válido, quem formula políticas deve contabilizar o custo de cada regra e eliminar as de pouco valor. Se o comportamento planejado for válido, o foco deve ser tornar as opções seguras fáceis e visíveis. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) exige conscientização e competência, mas deixa o método a cargo das organizações. Ela observa que a teoria só ajuda as políticas quando leva a previsões mensuráveis, e acrescenta duas previsões desse tipo ao plano do estudo, para testá-las nos dados do hospital. Registra as duas previsões na proposta antes de ver qualquer dado posterior à mudança.

Exemplo resolvido

Sofia compara o comportamento planejado e o orçamento de compliance, deriva previsões diferentes para a mudança de senhas, critica as duas teorias e as liga às políticas.

Caso sintético. As previsões são sintéticas; Ajzen (1991), Beautement et al. (2008), Bada et al. (2019) e a ISO/IEC 27001:2022 são reais.

Erros e limites

Modelos simplificam o comportamento. Medidas de atitude por questionário são imperfeitas.

Exercícios

• EX008 — Fatores do comportamento planejado. Que três fatores moldam a intenção no comportamento planejado?
  Mostrar critérios de avaliação

  Rubrica: 3 = atitudes, normas sociais e controle percebido;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX009 — Previsão do orçamento. O que o orçamento de compliance prevê depois do fim das trocas obrigatórias?
  Mostrar critérios de avaliação

  Rubrica: 3 = o esforço liberado pode aumentar o cumprimento de outras regras;; 2 = esforço liberado;; 1 = vago;; 0 = nenhuma.
• EX010 — Lacuna entre intenção e ação. Qual é uma fraqueza conhecida do comportamento planejado?
  Mostrar critérios de avaliação

  Rubrica: 3 = explica melhor as intenções do que as ações;; 2 = intenção-ação;; 1 = vago;; 0 = nenhuma.
• EX011 — Fracasso das campanhas. Por que as campanhas fracassam, segundo Bada et al.?
  Mostrar critérios de avaliação

  Rubrica: 3 = presumem que a informação sozinha muda o comportamento;; 2 = informação;; 1 = vago;; 0 = nenhuma.
• EX012 — Teoria para políticas. Quando a teoria ajuda as políticas, na visão de Sofia?
  Mostrar critérios de avaliação

  Rubrica: 3 = quando gera previsões mensuráveis;; 2 = previsões;; 1 = sempre;; 0 = nenhuma.
• EX013 — Duas previsões. Cite as duas previsões baseadas em modelos que ela acrescenta.
  Mostrar critérios de avaliação

  Rubrica: 3 = adoção do gerenciador por atitudes e normas; mais bloqueio de tela pelo esforço liberado;; 2 = uma;; 1 = vago;; 0 = nenhuma.
• EX014 — Medir o orçamento. Por que o orçamento de compliance é difícil de testar?
  Mostrar critérios de avaliação

  Rubrica: 3 = é difícil de medir diretamente;; 2 = medição;; 1 = vago;; 0 = nenhuma.

Síntese

Teorias comportamentais são úteis quando fazem previsões distintas e testáveis sobre uma mudança real de política.