Pobierz PDF

Cyber Security Awareness Campaigns: Why do they fail to change behaviour?

Metadane

• Autorzy: Maria Bada, Angela M. Sasse, Jason R.C. Nurse
• Rok: 2019
• Zrodlo: arXiv:1901.02672; Global Cyber Security Capacity Centre, University of Oxford
• DOI: arxiv:1901.02672
• Status: #read
• Kategoria: Security
• Tagi: #security-awareness #behaviour-change #phishing-training #psychology #persuasion #fear-appeals #cultural-factors #human-factors #project/phishing-simulation-ethics

Streszczenie

Paper przeglada literature psychologiczna i praktyczne kampanie cyberbezpieczenstwa, by zidentyfikowac kluczowe czynniki powodujace niepowodzenie kampanii swiadomosci bezpieczenstwa w zmianie zachowan. Autorzy (Oxford, UCL) twierdza, ze prosta transmisja wiedzy o zagrozen jest niewystarczajaca: ludzie musza rozumiec ryzyka, byc zmotywowani do zmiany i miec zdolnosc do wdrozenia zalecanych zachowan.

Analiza skupia sie na czynnikach psychologicznych (personal factors, cultural/environmental factors), technikach perswazji (w tym “fear appeals”), i komponentach kampanii warunkujacych sukces lub porazke. Autorzy porownuja kampanie z UK (GetSafeOnline, Cyber Streetwise) i Afryki (ISC Africa, Parents Corner), ilustrujac wplyw kontekstu kulturowego (indywidualizm vs kolektywizm) na skutecznosc przekazu.

Wniosek: sama swiadomosc ryzyka nie wystarczy. Potrzebne sa: ukierunkowane, wykonalne i weryfikowalne zalecenia; ciagla informacja zwrotna; uwzglednienie kontekstu kulturowego; i projektowanie bezpiecznych systemow, ktore nie obarczaja uzytkownikow nadmierna odpowiedzialnoscia.

Kluczowe Wnioski

• Sama wiedza o ryzyku nie zmienia zachowania - potrzebna jest motywacja i zdolnosc do dzialania
• “Security fatigue” - przeciazenie wymogami bezpieczenstwa prowadzi do porzucenia wszelkich praktyk ochronnych
• Fear appeals czesto sa nieskuteczne lub wrecz kontraproduktywne (paralizuja zamiast motywowac)
• Czynniki kulturowe (indywidualizm vs kolektywizm) istotnie wplywaja na skutecznosc przekazu
• Postrzegana kontrola (perceived control) jest kluczowym konstruktem - ludzie zmieniaja zachowania, gdy czuja, ze maja sprawczosc
• Kampanie zbyt ogolne, bezosobowe, lub nadmiernie techniczne sa pomijane przez uzytkownikow
• Blame-shifting na uzytkownikow jest bledna strategia - systemy bezpieczenstwa sa czesto zle zaprojektowane
• Metryki skutecznosci kampanii (np. liczba otwartych emaili phishingowych) sa trudne do zmierzenia w duzej skali

Metodologia

Przeglad literaturowy z perspektywy psychologii zachowan. Analiza modeli zmiany zachowania (Regulatory Focus Theory, Protection Motivation Theory, Parallel Response Model). Studia przypadkow kampanii w UK i Afryce.

Kluczowe modele teoretyczne:

• MINDSPACE (Dolan et al.): 9 czynnikow wplywajacych na zachowanie (messenger, incentives, norms, defaults, salience, priming, affect, commitments, ego)
• Protection Motivation Theory: ocena zagrozenia + ocena wlasnej skutecznosci → zmiana zachowania
• Regulatory Focus Theory: tryb promocji (osiaganie celow) vs prewencji (unikanie strat)

Glowne Koncepcje

• Security Fatigue: Stan wyczerpania wymogami bezpieczenstwa, prowadzacy do ignorowania wszelkich zalecen
• Perceived Control/Self-Efficacy: Postrzegana zdolnosc do wykonania zalecanych dzialan - kluczowy moderator skutecznosci kampanii
• Fear Appeals: Techniki perswazji oparte na strachu; skuteczne tylko gdy towarzysza im konkretne, wykonalne zalecenia; inaczej moga wywolac efekt odwrotny
• Security-Functionality-Usability Triangle: Kompromis miedzy bezpieczenstwem, funkcjonalnoscia i uzywalnoscia; nadmierne wymagania bezpieczenstwa prowadza do “security fatigue”
• Cultural Congruency Effect: Przekazy sa skuteczniejsze, gdy dopasowane do kontekstu kulturowego odbiorcy

Wyniki

Autorzy identyfikuja 5 kluczowych czynnikow skutecznych kampanii:

1. Profesjonalne przygotowanie i organizacja
2. Unikanie fear appeals jako glownej techniki
3. Ukierunkowane, wykonalne i dostarczajace informacji zwrotnej szkolenie
4. Ciagla informacja zwrotna i wsparcie w procesie zmiany
5. Uwzglednienie roznic kulturowych

Studia przypadkow: UK kampanie (GetSafeOnline: “Get safe online” - indywidualistyczny przekaz; Cyber Streetwise: 5 praktycznych porad) vs Afryka (ISC Africa: kolektywistyczny “Working together…”; Parents Corner: ochrona dzieci, relacje spoleczne).

Przydatne Cytaty

“Simple transfer of knowledge about good practices in security is far from enough. Knowledge and awareness is a prerequisite to change behaviour but not necessarily sufficient.” (str. 6)

“Threatening or intimidating security messages are not particularly effective, especially because they increase stress to such an extent that the individual may even be repulsed or deny the existence of the need for any security decision.” (str. 2)

“One of the main reasons why users do not behave optimally is that security systems and policies are often poorly designed.” (str. 6)

“Behaviour change in a cyber security context could possibly be measured through risk reduction, but not through what people know.” (str. 6)

Datasety

Brak empirycznych danych pierwotnych - przeglad literaturowy i studia przypadkow kampanii publicznych.

Powiazane Tematy

• Psychologiczne modele zmiany zachowania w bezpieczenstwie
• Fear appeals i ich granice skutecznosci
• Kulturowe uwarunkowania swiadomosci bezpieczenstwa
• Projektowanie kampanii awareness uwzgledniajacych kontekst
• Security usability i “security fatigue”
• Mierzenie skutecznosci kampanii bezpieczenstwa

Notatki

Wazne tlo teoretyczne dla projektu PSE: wyjasnia, dlaczego standardowe kampanie awareness nie dzialaja, odwolujac sie do mechanizmow psychologicznych. Uzupelnia Rozema 2025 (brak efektu szkolen) o wyjasnienie mechanizmow. Szczegolnie uzyteczne przy projektowaniu debriefingu (#PSE-3): jesli debriefing ma byc skuteczny, musi byc ukierunkowany, wykonalny i dostosowany do kontekstu.