Questa riflessione mi ha colpito profondamente quando ho letto il libro all’inizio di quest’anno, ed è per questo che ero entusiasta quando abbiamo invitato Josiah Dykstra, Ph.D., direttore delle iniziative strategiche presso Trail of Bits, al podcast “The Resilience Rundown” per discutere del “bias d’azione” e del suo impatto sul processo decisionale negli incidenti di sicurezza informatica.
Iscriviti: Apple Podcasts | Spotify | YouTube
Comprendere il “bias d’azione”
Il “bias d’azione” si riferisce alla naturale tendenza umana ad agire immediatamente di fronte a una minaccia o a una crisi. Sebbene questo istinto possa rivelarsi utile in determinate situazioni, può anche portare a decisioni irrazionali e potenzialmente aggravare il problema in questione. Nel contesto della sicurezza informatica, il bias d’azione può manifestarsi in vari modi, ad esempio cadendo vittima di attacchi di phishing che sfruttano l’urgenza di agire o prendendo decisioni affrettate durante la risposta agli incidenti.
Esempi di “Action Bias” nella sicurezza informatica
Un esempio comune di “bias dell’azione” nel campo della sicurezza informatica è rappresentato dagli incidenti di phishing. Gli autori degli attacchi spesso sfruttano il senso di urgenza e la paura per indurre le persone a compiere azioni immediate, come cliccare su link dannosi o condividere informazioni sensibili. Anche i professionisti della sicurezza informatica possono cadere vittime del “bias dell’azione”, prendendo decisioni impulsive durante una violazione o nella risposta a un incidente che potrebbero avere conseguenze indesiderate.
Quando “non fare nulla” è una cosa positiva
Dykstra analizza il concetto di “non fare nulla” come scelta strategica in determinate situazioni di sicurezza informatica. Per illustrare questo punto, utilizza l’esempio dei portieri professionisti di calcio durante i calci di rigore. Alcune ricerche hanno dimostrato che i portieri che scelgono di non saltare né muoversi durante un calcio di rigore hanno maggiori possibilità di parare il tiro. Questa decisione strategica può sembrare controintuitiva agli spettatori, che si aspettano che il portiere intervenga, ma si basa su un’attenta analisi e preparazione.
Come mitigare gli effetti negativi del “bias d’azione”
Per mitigare gli effetti negativi dei pregiudizi decisionali nel campo della sicurezza informatica, le organizzazioni possono adottare diverse strategie:
1. Preparazione e simulazioni: l’elaborazione di un piano completo di risposta agli incidenti e la sua regolare simulazione possono aiutare i team a reagire in modo efficace durante una crisi. Questa preparazione consente di prendere decisioni strategiche anziché reagire in modo impulsivo.
2. Pazienza e formazione: è fondamentale riconoscere che la pazienza è una virtù negli incidenti di sicurezza informatica. Formare le parti interessate, compresi i membri del consiglio di amministrazione, gli azionisti e i dirigenti, sull’importanza del processo decisionale strategico e sui potenziali rischi di azioni affrettate può contribuire a creare una cultura che valorizzi la pazienza.
3. Rallentare: rallentare non significa ritardare i tempi di risposta. Al contrario, sottolinea l’importanza di effettuare una preparazione accurata prima che si verifichi un incidente. Investendo tempo e impegno nella pianificazione e nella formazione, le organizzazioni possono garantire che i propri team siano in grado di prendere decisioni ponderate in tempo reale.
Conclusione
Il “bias d’azione” è un comune pregiudizio cognitivo che influenza il processo decisionale negli incidenti di sicurezza informatica. Comprendendo le potenziali insidie delle azioni impulsive e attuando strategie volte a mitigare il bias d’azione, le organizzazioni possono migliorare le proprie capacità di risposta agli incidenti e ridurre al minimo il rischio di aggravare le minacce alla sicurezza informatica. Per saperne di più sul bias d’azione e sul suo impatto sulla sicurezza informatica, ascolta la puntata completa del podcast “Resilience Rundown” con Josiah Dykstra.
Consiglio vivamente di seguire Josiah su LinkedIn e di prendere in considerazione la lettura del suo libro, “Cybersecurity Myths and Misconceptions”, che approfondisce vari pregiudizi e problematiche nel campo della sicurezza informatica.
