Los sesgos en la toma de decisiones pueden contribuir a resultados adversos de ciberseguridad. Descubra por qué ser empático y dar a los demás el beneficio de la duda es clave al abordar estos prejuicios.
Parece que los humanos tomamos decisiones basadas en gran medida en los sesgos que hemos acumulado a lo largo de los años. Esos sesgos no son útiles, en particular al tomar decisiones sobre ciberseguridad.
“Al mejorar nuestra comprensión de los sesgos, es más fácil identificar y mitigar el impacto del razonamiento defectuoso y las convenciones para la toma de decisiones”, escribe Margaret Cunningham, PhD, investigadora científica principal, en su informe Forcepoint Pensando en pensar: explorando el sesgo en la ciberseguridad con conocimientos de la ciencia cognitiva.
“Nuestros esfuerzos para construir armonía entre las mejores características de los seres humanos y las mejores características de la tecnología para abordar los desafíos de la ciberseguridad dependen de la comprensión y la superación de los prejuicios”, dice Cunningham.
La psicología detrás del sesgo
En pocas palabras, el sesgo es discriminación: la tendencia a favorecer a un grupo, persona o cosa sobre otro. “Para bien o para mal, el sesgo es una característica ineludible de la experiencia humana”, explica Cunningham. “Estamos formados por una combinación de nuestro entorno, nuestra genética y nuestra capacidad cognitiva para procesar y dar sentido a nuestro mundo. Esto significa que nuestras decisiones, comportamientos y experiencias están influenciados por las experiencias del pasado y del presente”.
Piensa en pensar
A veces somos conscientes de los prejuicios, otras veces no, y ese hecho nos hace creer que tenemos todo bajo control. “Esto se debe a que los prejuicios moran bajo la superficie de nuestra conciencia como procesos de pensamiento automáticos”, sostiene Cunningham. “Crear conciencia sobre los sesgos cognitivos puede ayudarnos a ir más allá de la toma de decisiones sesgada y, lo que es más importante, ayudarnos a evitar el diseño de sistemas que perpetúan nuestros propios sesgos en la tecnología”.
Cunningham continúa: “Para lograr este tipo de conciencia, tenemos que desafiarnos a nosotros mismos a pensar sobre el pensamiento. Pensar y comprender cómo pensamos y razonamos es especialmente beneficioso cuando identificamos situaciones en las que el sesgo puede tener un impacto negativo significativo en nuestras elecciones o comportamientos “.
Cunningham compiló una lista de sesgos de toma de decisiones conocidos y significativos para los profesionales de la ciberseguridad, junto con información sobre cómo funciona cada sesgo y cómo pueden afectar la ciberseguridad de una organización. Aquí están algunos ejemplos.
Sesgo agregado: Esto sucede cuando inferimos algo sobre un individuo usando datos que describen la población más amplia con la que está asociado el individuo. Cunningham sugiere que “esto da como resultado un sesgo porque no se puede suponer que la información utilizada para comprender a grupos de personas sea precisa a nivel individual, ya que los individuos a menudo tienen muchas otras variables que afectan su comportamiento”.
Abordar el sesgo agregado es primordial durante las investigaciones de seguridad y al desarrollar plataformas de seguridad de datos que aborden el error humano y otros factores de riesgo. Cunningham sugiere que el análisis de comportamiento que permite comparaciones entre uno mismo, uno mismo con sus pares y entre uno mismo y global puede proporcionar un contexto para comprender los comportamientos individuales.
Sesgo de disponibilidad: Cuanto más frecuentemente las personas encuentran tipos específicos de información, más fácil es para sus mentes acceder a ella, lo que a su vez afecta la forma en que perciben eventos similares. Este sesgo, según Cunningham, requiere trabajar con la tecnología y los datos existentes para obtener una representación precisa de las amenazas existentes.
Cunningham escribe: “Hacemos esto para que nuestras decisiones no se basen en ciclos de noticias que potencialmente inflen o tergiversen la probabilidad de ciertos tipos de amenazas.
Esto significa que hacer frente al sesgo de disponibilidad requiere tanto humanos como tecnología. Los humanos deben crear un La cultura organizacional y la estrategia de comunicación que valora la experiencia del personal de seguridad y la tecnología pueden ayudar a proporcionar probabilidades más precisas de varios tipos de amenazas “.
Sesgo de confirmación: Confirmación de creencias mediante la búsqueda y construcción de información en torno a un argumento, al tiempo que se excluyen los puntos de vista opuestos. “El sesgo de confirmación no solo afecta nuestras estrategias de razonamiento, sino que también afecta nuestra memoria de información”, agrega Cunningham. “La gente tiende a concentrarse y recordar la información que confirma o se alinea con sus creencias mientras descarta u olvida información que se opone a su punto de vista”.
Superar el sesgo de confirmación requiere aceptar diferentes puntos de vista, fomentar una actitud de “escuchemos lo que todos piensan” y pensar fuera de la caja.
El efecto de encuadre: Otro factor que afecta la forma en que las personas toman decisiones es cómo están redactadas esas opciones. Decir algo es una apuesta segura, ya sea que lo sea o no, la mayoría de las veces resultará en que se perciba como la mejor opción. “Los efectos de encuadre son algo frágiles y su impacto depende de la naturaleza unilateral de la formulación de una pregunta”, escribe Cunningham. “Cuando una persona sabe que debe prestar atención a cómo se formulan las preguntas, puede superar sus reacciones instintivas iniciales al tomar una decisión”.
Error fundamental de atribución: Este sesgo es la tendencia a ver las fallas o errores de otra persona como parte de su identidad en lugar de atribuir la falla o el error a influencias contextuales o ambientales. Un ejemplo común, según Cunningham, sería la acusación bidireccional entre el personal de TI y los usuarios finales.
En cuanto a la respuesta, Cunningham sugiere comprensión personal y empatía, y agrega que, aunque es difícil, debemos determinar cuándo culpamos a una persona en lugar de a los factores que afectaron el comportamiento de una persona. “También es difícil reconocer cuándo somos responsables, debido a nuestras deficiencias, de los eventos o resultados adversos”, escribe Cunningham.
“Lo que podemos hacer es practicar la empatía y desarrollar nuestra capacidad para dar a otros el beneficio de la duda. Para los supervisores y líderes, reconocer imperfecciones / fallas puede ayudar a crear una cultura más resistente y dinámica. Para las personas que diseñan arquitecturas de software complejas, considere que su perspectiva está muy centrada en la seguridad, mientras que las motivaciones de sus usuarios p)