Tutti i 100 indicatori / Categoria 3.x: Influenza sociale
Indicatore 3.2
Misura la vulnerabilità agli attaccanti che sfruttano il principio di impegno/coerenza per aumentare da piccole richieste iniziali a importanti compromessi di sicurezza
Quando le organizzazioni fanno piccole eccezioni o impegni iniziali di sicurezza, la dissonanza cognitiva crea pressione psicologica per mantenere coerenza con le decisioni precedenti, consentendo agli attaccanti di aumentare progressivamente l'accesso, i privilegi o le violazioni delle policy attraverso tecniche foot-in-door (piede nella porta) e sfruttamento dei costi irrecuperabili.
Principio di impegno/coerenza di Cialdini (2007) - gli esseri umani hanno un profondo desiderio di apparire coerenti con le azioni precedenti. Teoria della dissonanza cognitiva di Festinger (1957) - disagio psicologico nell'invertire impegni precedenti. Ricerca sull'escalation dell'impegno di Staw (1976) - la fallacia dei costi irrecuperabili spinge a continuare investimenti in percorsi fallimentari. Gli studi fMRI di Sharot (2010) mostrano l'attivazione del percorso della ricompensa nel mantenere la coerenza, creando pressione neurologica contro l'inversione.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Policy automatizzate di scadenza delle eccezioni con cicli di revisione obbligatori. Investimenti di sicurezza valutati indipendentemente dai costi irrecuperabili. Confini di accesso dei fornitori applicati con rilevamento di pattern di escalation. Protocolli di revisione delle decisioni proteggono esplicitamente le correzioni di rotta. Audit regolari identificano e terminano sequenze di eccezioni in escalation.
Esistono alcuni processi di revisione delle eccezioni ma applicazione incoerente. Le decisioni di sicurezza occasionalmente fanno riferimento a impegni precedenti. Accesso dei fornitori monitorato ma pattern di escalation non rilevati sistematicamente. Capacità limitata di invertire decisioni di sicurezza precedenti. Consapevolezza informale del bias dei costi irrecuperabili.
Forte pressione culturale per mantenere coerenza con decisioni di sicurezza precedenti. La fallacia dei costi irrecuperabili spinge a continuare investimenti in strumenti di sicurezza inefficaci. Espansione dell'accesso dei fornitori normalizzata come 'approfondimento della relazione'. Nessuna revisione sistematica delle eccezioni in escalation. Decisioni di sicurezza difese in base a impegni precedenti piuttosto che al panorama delle minacce attuale.
Controlli tecnici che fanno scadere automaticamente le eccezioni di sicurezza su programmi predeterminati, richiedendo ri-giustificazione indipendente per il rinnovo
Implementare piattaforma di gestione del ciclo di vita delle eccezioni con flussi di lavoro di scadenza automatizzati (cicli di 30/60/90 giorni basati sul rischio). Le eccezioni si revocano automaticamente a meno che non siano ri-giustificate indipendentemente dall'approvazione precedente. Integrazione con controllo accessi, firewall, PAM e sistemi di applicazione delle policy. Avvisare le parti interessate 7 giorni prima della scadenza con requisiti di ri-giustificazione.
Tracciamento sistematico e applicazione dei confini dello scope di accesso dei fornitori con rilevamento automatizzato di pattern di escalation
Definire confini di accesso espliciti per ogni relazione con fornitore nel sistema di gestione fornitori. Implementare monitoraggio automatizzato dello scope che segnala richieste di espansione. Calcolare ESI per sequenze di accesso dei fornitori. Richiedere valutazione del rischio indipendente per espansione dello scope ignorando concessioni di accesso precedenti. Report mensili di audit dei confini di accesso dei fornitori.
Framework di valutazione dell'efficacia indipendente che contrasta esplicitamente la fallacia dei costi irrecuperabili nelle decisioni su strumenti e iniziative di sicurezza
Revisione trimestrale dell'efficacia degli investimenti di sicurezza con formazione esplicita sulla consapevolezza del bias dei costi irrecuperabili per i decisori. Criteri di valutazione indipendenti che escludono l'investimento precedente dalle decisioni di continuazione. Protocolli documentati di revisione delle decisioni che proteggono i dipendenti che raccomandano la dismissione. Analisi ROI basata sull'efficacia attuale, non sull'investimento cumulativo.
Team di revisione separati che valutano richieste di accesso in escalation senza conoscenza della cronologia delle approvazioni precedenti per eliminare la pressione alla coerenza
Stabilire comitato di revisione indipendente per richieste di accesso ad alto rischio che opera senza visibilità sulla cronologia delle eccezioni precedenti per lo stesso richiedente. Processo di revisione cieco rimuove la pressione alla coerenza. Formazione del comitato sulle tecniche foot-in-door e sfruttamento dell'escalation. Rotazione trimestrale dei membri del team di revisione.
Calcolo automatizzato dell'Indice di Sequenza di Escalation (ESI) con avvisi quando i pattern di escalation dell'impegno superano le soglie
Implementare motore di calcolo ESI che analizza richieste di eccezione, concessioni di accesso e violazioni di policy per sequenze di escalation. Avvisare i team di sicurezza quando ESI > 0.2 AND Sequence_Length > 3. Dashboard di visualizzazione dei pattern che mostra catene di escalation dell'impegno. Integrazione con SIEM per correlazione con altri indicatori di attacco. Report ESI mensile alla leadership di sicurezza.
Policy organizzative esplicite e framework di sicurezza psicologica che proteggono e incoraggiano le correzioni di rotta quando emergono nuove informazioni
Protocollo formale di revisione delle decisioni che celebra il processo decisionale di sicurezza adattivo. Programmi di formazione sulle trappole di escalation dell'impegno, fallacia dei costi irrecuperabili e dissonanza cognitiva nella sicurezza. Policy di protezione esplicite per i dipendenti che invertono impegni precedenti basati su nuove intelligence sulle minacce o risultati di audit. Comunicazione della leadership che enfatizza che le correzioni di rotta dimostrano forza, non debolezza. Programmi di riconoscimento per inversioni di decisioni esemplari.