0 
0 Os designers de tecnologia começam construindo um produto e testando-o em usuários. O produto vem em primeiro lugar; a entrada do usuário é usada para confirmar sua viabilidade e melhorá-la. A abordagem faz sentido. McDonald’s e Starbucks fazem o mesmo. As pessoas não conseguem imaginar novos produtos, assim como não conseguem imaginar receitas, sem experimentá-los.
Mas o paradigma também foi estendido para o design de tecnologias de segurança, onde construímos programas para proteção do usuário e depois solicitamos que os usuários os apliquem. E isso não faz sentido.
Segurança não é uma ideia conceitual. As pessoas já usam e-mail, já navegam na Web, usam mídias sociais e compartilham arquivos e imagens. A segurança é uma melhoria em camadas sobre algo que os usuários já fazem ao enviar e-mails, navegar e compartilhar online. É semelhante a pedir às pessoas que usem cinto de segurança.
Hora de olhar para a segurança de forma diferente
Nossa abordagem de segurança, no entanto, é como ensinar segurança ao motorista, ignorando como as pessoas dirigem. Fazer tudo isso garante que os usuários adotem cegamente algo, acreditando que é melhor, ou por outro lado, quando forçados, simplesmente obedeçam. De qualquer forma, os resultados são subótimos.
Veja o caso do software VPN. Eles são fortemente promovidos aos usuários como uma ferramenta obrigatória de segurança e proteção de dados, mas a maioria tem validade limitada ou nula . Eles colocam os usuários que acreditam em suas proteções em maior risco, sem contar que os usuários correm mais riscos, acreditando em tais proteções. Além disso, considere o treinamento de conscientização de segurança que agora é obrigatório por muitas organizações. Aqueles que consideram o treinamento irrelevante para seus casos de uso específicos encontram soluções alternativas, muitas vezes levando a inúmeros riscos de segurança.
Há uma razão para tudo isso. A maioria dos processos de segurança é projetada por engenheiros com experiência no desenvolvimento de produtos de tecnologia. Eles abordam a segurança como um desafio técnico. Os usuários são apenas mais uma ação no sistema, não diferente de software e hardware que podem ser programados para executar funções previsíveis. O objetivo é conter ações baseadas em um modelo predefinido de quais insumos são adequados, para que os resultados se tornem previsíveis. Nada disso tem como premissa o que o usuário precisa, mas reflete uma agenda de programação definida com antecedência.
Exemplos disso podem ser encontrados nas funções de segurança programadas em muitos dos softwares atuais. Veja os aplicativos de e-mail, alguns dos quais permitem que os usuários verifiquem o cabeçalho de origem de um e-mail recebido, uma camada importante de informações que podem revelar a identidade de um remetente, enquanto outros não. Ou pegue os navegadores móveis, onde, novamente, alguns permitem que os usuários verifiquem a qualidade do certificado SSL, enquanto outros não, mesmo que os usuários tenham as mesmas necessidades em todos os navegadores. Não é como se alguém precisasse verificar o SSL ou o cabeçalho de origem apenas quando estiver em um aplicativo específico. O que essas diferenças refletem é a visão distinta de cada grupo de programação de como seu produto deve ser usado pelo usuário – uma mentalidade de produto em primeiro lugar.
Os usuários compram, instalam ou cumprem os requisitos de segurança acreditando que os desenvolvedores de diferentes tecnologias de segurança cumprem o que prometem — e é por isso que alguns usuários são ainda mais descuidados em suas ações online ao usar essas tecnologias.
Hora de uma abordagem de segurança que prioriza o usuário
É imperativo que invertamos o paradigma de segurança – coloque os usuários em primeiro lugar e depois construa a defesa em torno deles. Não só porque devemos proteger as pessoas, mas também porque, ao fomentar uma falsa sensação de proteção, estamos fomentando o risco e tornando-as mais vulneráveis. As organizações também precisam disso para controlar os custos. Mesmo com as economias do mundo oscilando por causa de pandemias e guerras, os gastos com segurança organizacional na última década aumentaram geometricamente.
A segurança que prioriza o usuário deve começar com a compreensão de como as pessoas usam a tecnologia de computação. Temos que perguntar: o que torna os usuários vulneráveis a hackers via e-mail, mensagens, mídia social, navegação, compartilhamento de arquivos?
Temos que desemaranhar a base do risco e localizar suas raízes comportamentais, cerebrais e técnicas. Esta tem sido a informação que os desenvolvedores ignoraram por muito tempo enquanto construíam seus produtos de segurança, e é por isso que mesmo as empresas mais preocupadas com a segurança ainda são violadas.
Preste atenção ao comportamento online
Muitas dessas perguntas já foram respondidas . A ciência da segurança explicou o que torna os usuários vulneráveis à engenharia social. Como a engenharia social visa uma variedade de ações online, o conhecimento pode ser aplicado para explicar uma ampla gama de comportamentos.
Entre os fatores identificados estão as crenças de risco cibernético – ideias que os usuários têm em mente sobre o risco de ações online e estratégias de processamento cognitivo – como os usuários abordam cognitivamente as informações, o que determina a quantidade de atenção focada que os usuários prestam às informações quando estão online. Outro conjunto de fatores são os hábitos e rituais da mídia que são influenciados em parte pelos tipos de dispositivos e em parte pelas normas organizacionais. Juntos, crenças, estilos de processamento e hábitos influenciam se uma parte da comunicação online — e-mail, mensagem, página da Web, texto — desencadeia suspeitas .
Treinar, medir e rastrear suspeitas de usuários
A suspeita é aquele mal-estar ao encontrar algo, a sensação de que algo está errado. Quase sempre leva à busca de informações e, se uma pessoa está armada com os tipos certos de conhecimento ou experiência, leva à detecção e correção de enganos. Ao medir a suspeita junto com os fatores cognitivos e comportamentais que levam à vulnerabilidade de phishing, as organizações podem diagnosticar o que tornou os usuários vulneráveis . Essas informações podem ser quantificadas e convertidas em um índice de risco que eles podem usar para identificar aqueles que correm maior risco – os elos mais fracos – e protegê-los melhor.
Ao capturar esses fatores, podemos rastrear como os usuários são cooptados por meio de vários ataques, entender por que são enganados e desenvolver soluções para mitigá-lo . Podemos criar soluções em torno do problema conforme experimentado pelos usuários finais. Podemos acabar com os mandatos de segurança e substituí-los por soluções relevantes para os usuários.
Depois de bilhões gastos colocando a tecnologia de segurança na frente dos usuários, continuamos vulneráveis aos ataques cibernéticos que surgiram na rede AOL na década de 1990 . É hora de mudar isso — e criar segurança em torno dos usuários.
FONTE: DARK READING