Tutti i 100 indicatori / Categoria 3.x: Influenza sociale
Indicatore 3.7
Misura la vulnerabilità alla pressione di conformità sociale in cui i dipendenti compromettono la sicurezza per allinearsi al comportamento dei pari o evitare il rifiuto del gruppo
Quando i dipendenti osservano colleghi che bypassano i controlli di sicurezza o ricevono pressione dai pari per conformarsi a richieste discutibili, spesso si conformano al comportamento del gruppo anche quando viola la politica di sicurezza. Gli esperimenti di conformità di Asch dimostrano che il 75% dei soggetti si conforma almeno una volta al consenso di gruppo ovviamente errato, creando una vulnerabilità pre-cognitiva che gli attaccanti sfruttano attraverso social engineering amplificato dai pari.
Studi di conformità di Asch (1951) - il 75% si conforma almeno una volta al consenso di gruppo errato. Teoria dell'Identità Sociale (Tajfel, 1979) - l'appartenenza al gruppo guida il comportamento rispetto al giudizio individuale. La neuroscienza rivela che il rifiuto sociale attiva la corteccia cingolata anteriore dorsale e l'insula anteriore - le stesse regioni che elaborano il dolore fisico (Eisenberger, 2003), rendendo il rifiuto dei pari neurologicamente equivalente alla minaccia fisica.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Esiste una forte cultura contro-normativa in cui la conformità alla sicurezza è il default sociale. I sistemi di segnalazione anonima prevengono la paura del rifiuto. Il processo decisionale individuale è esplicitamente protetto indipendentemente dal comportamento dei pari. La formazione regolare include il riconoscimento della pressione dei pari.
Qualche consapevolezza delle dinamiche di pressione dei pari ma protezioni incoerenti. Esistono sistemi di segnalazione ma potrebbero non sembrare veramente anonimi. Segnali misti su se sia valorizzato il giudizio individuale o la conformità di gruppo.
Forte cultura di conformità in cui 'integrarsi' è valorizzato rispetto al giudizio di sicurezza individuale. Nessun meccanismo di segnalazione anonima. La pressione dei pari per bypassare la sicurezza è normalizzata. I nuovi dipendenti vengono rapidamente socializzati in norme di non conformità.
Educare i dipendenti sulle dinamiche di conformità di Asch, neuroscienza del rifiuto sociale e tecniche specifiche per resistere alla pressione dei pari mantenendo le relazioni
Moduli di formazione che coprono: (1) Esperimento di Asch e tasso di conformità del 75%, (2) Neuroscienza del dolore sociale, (3) Script di rifiuto rispettoso, (4) Riconoscimento dell'influenza informazionale vs normativa, (5) Validazione del giudizio individuale
Distribuire meccanismo di segnalazione anonima fidato specificamente per incidenti di pressione dei pari con politiche garantite di non ritorsione
Hotline o piattaforma di segnalazione anonima di terze parti, categoria esplicita di segnalazione pressione pari, protocollo di risposta rapida, comunicazione regolare che rafforza le garanzie di anonimato
Creare norme organizzative esplicite secondo cui il giudizio di sicurezza individuale prevale sul consenso dei pari, con modellazione visibile della leadership
Politica che dichiara esplicitamente che il comportamento dei pari non giustifica violazioni, messaggistica della leadership che celebra la resistenza alla pressione dei pari, riconoscimento visibile per dipendenti che mantengono la conformità nonostante la pressione di gruppo
Implementare rilevamento automatizzato di violazioni di sicurezza che si diffondono attraverso reti di pari con intervento precoce
Regole SIEM che rilevano clustering temporale e di team di violazioni simili, alert automatizzati quando 2+ membri del team mostrano la stessa violazione entro finestra temporale, protocollo di intervento rapido prima che la cascata si diffonda
Assegnare mentori di sicurezza ai nuovi dipendenti per contrastare la pressione dei pari durante il periodo vulnerabile di onboarding
Accoppiare nuovi dipendenti con mentori consapevoli della sicurezza per i primi 90 giorni, modulo di onboarding esplicito sulla resistenza alla pressione dei pari, canale protetto per segnalare la pressione di conformità senza conseguenze sociali
Distribuire controlli tecnici che prevengono la condivisione di credenziali a livello di infrastruttura
Applicare l'utilizzo di account individuali attraverso MFA legato a dispositivi personali, rilevamento automatizzato di pattern di password condivise, monitoraggio viaggio impossibile e sessioni concorrenti, gestione accessi privilegiati per account di sistema condivisi
Stabilire percorsi di escalation chiari per decisioni di sicurezza ambigue per prevenire il default al consenso dei pari
Hotline di guida alla sicurezza 24/7, alberi decisionali per scenari ambigui comuni, politica esplicita che l'escalation è preferita al consenso dei pari in situazioni poco chiare, SLA di risposta rapida per richieste di escalation