Tutti i 100 indicatori / Categoria 4.x: Affettività
Indicatore 4.2
Misura la vulnerabilità a comportamenti di assunzione di rischi aumentati guidati da rabbia e frustrazione con strumenti, politiche o procedure di sicurezza
L'assunzione di rischi indotta dalla rabbia si verifica quando la frustrazione sul posto di lavoro verso strumenti, politiche o procedure di sicurezza porta i dipendenti a bypassare i controlli di sicurezza o a prendere decisioni rischiose. Quando le persone sono arrabbiate o frustrate, danno priorità al raggiungimento immediato degli obiettivi rispetto alle considerazioni di sicurezza, creando vulnerabilità che gli aggressori possono sfruttare. Questo si manifesta come condivisione di password durante interruzioni di sistema, clic su link sospetti quando si è disperati per trovare soluzioni, o adozione di strumenti non autorizzati per aggirare ostacoli percepiti.
L'assunzione di rischi indotta dalla rabbia rappresenta una vulnerabilità fondamentale in cui l'eccitazione emotiva compromette sistematicamente la valutazione cognitiva del rischio. Il sistema limbico (in particolare l'amigdala) si iperattiva mentre il controllo esecutivo della corteccia prefrontale viene soppresso. Questa risposta neurobiologica crea uno stato in cui lo scarico emotivo immediato ha la precedenza sulla valutazione attenta delle conseguenze. La rabbia innesca il rilascio di norepinefrina e dopamina, creando un'eccitazione elevata che restringe l'attenzione e riduce la flessibilità cognitiva. La corteccia cingolata anteriore mostra una diminuita attivazione durante gli stati di rabbia, compromettendo la capacità di riconoscere i rischi per la sicurezza. La teoria del doppio processo di Kahneman spiega come l'eccitazione emotiva sposti il processo decisionale dall'attenta analisi del Sistema 2 alle risposte impulsive del Sistema 1. La teoria del prospetto dimostra che la rabbia aumenta la preferenza per guadagni rischiosi e riduce l'avversione alle perdite. Il concetto di scissione (splitting) di Klein spiega come la rabbia crei attribuzioni 'tutto negativo' verso le misure di sicurezza, percepite come puramente ostacolanti piuttosto che protettive.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Meno del 5% dei ticket dell'help desk mostra linguaggio di frustrazione; eccezioni di sicurezza rare (<1/mese); i dipendenti hanno alternative autorizzate chiare durante le interruzioni; nessuno schema osservabile tra periodi di stress e violazioni della sicurezza.
Il 5-15% dei ticket dell'help desk mostra frustrazione; richieste di eccezione di sicurezza mensili; scoperti alcuni workaround non autorizzati; correlazione occasionale tra stress organizzativo e violazioni delle politiche.
Più del 15% dei ticket dell'help desk mostra rabbia/frustrazione; richieste di eccezione di sicurezza settimanali o giornaliere; uso diffuso di Shadow IT; chiari schemi di violazioni aumentate durante i periodi di stress; i dipendenti si lamentano apertamente della sicurezza durante le riunioni.
Implementare un'analisi dei ticket di help desk che segnali il linguaggio di frustrazione e dia priorità a queste richieste per una risposta immediata
Implementare l'analisi del sentiment sui ticket di help desk relativi alla sicurezza per identificare automaticamente gli indicatori di frustrazione. Formare il personale dell'help desk a riconoscere la frustrazione dell'utente con empatia, spiegare la logica di sicurezza in termini aziendali e fornire tempistiche specifiche per la risoluzione. Creare percorsi di escalation per le lamentele relative alla sicurezza che raggiungano la risoluzione entro 24 ore. Tracciare l'efficacia della risoluzione della frustrazione e adeguare i processi in base al feedback.
Sviluppare spiegazioni chiare, senza gergo, del motivo per cui esiste ogni misura di sicurezza, inclusi esempi reali di minacce che previene
Creare una knowledge base di 'logica di sicurezza' che il personale dell'help desk possa consultare quando spiega le restrizioni. Inviare comunicazioni proactive prima di implementare nuove misure di sicurezza, spiegando la giustificazione aziendale e il panorama delle minacce. Fornire esempi concreti di attacchi prevenuti da ogni controllo di sicurezza. Evitare il gergo tecnico a favore di spiegazioni focalizzate sul business che dimostrino il valore della sicurezza piuttosto che solo il costo.
Stabilire procedure di emergenza pre-approvate per i guasti comuni degli strumenti di sicurezza
Documentare metodi alternativi autorizzati per interruzioni VPN (connessioni di backup sicure), problemi di autenticazione (procedure di accesso temporaneo) e problemi di sicurezza email (workaround approvati). Comunicare chiaramente queste alternative prima che siano necessarie. Garantire che le alternative mantengano la sicurezza mentre consentono alla produttività di continuare. Testare regolarmente le procedure di emergenza e aggiornarle in base alle esperienze effettive di interruzione.
Condurre valutazioni regolari dell'usabilità degli strumenti di sicurezza, misurando tempi di accesso, tassi di errore e soddisfazione dell'utente
Misurare l'esperienza utente effettiva con gli strumenti di sicurezza inclusi ritardi di autenticazione, tempi di connessione VPN e frequenza di reimpostazione password. Dare priorità ai miglioramenti di usabilità per i processi di sicurezza più frustranti in base ai dati dell'help desk e al feedback degli utenti. Implementare l'accesso single sign-on (SSO) dove possibile per ridurre l'attrito di autenticazione. Distribuire password manager per ridurre la frustrazione correlata alle password. Monitorare e ottimizzare continuamente le prestazioni degli strumenti di sicurezza.
Aumentare il monitoraggio della sicurezza e il supporto durante periodi prevedibili di alto stress organizzativo
Identificare periodi prevedibili di stress organizzativo (fine trimestre, lanci importanti, cambiamenti di sistema). Aumentare il monitoraggio della sicurezza e il supporto proattivo durante questi periodi. Contattare i dipartimenti sotto pressione per offrire supporto alla sicurezza e prevenire violazioni delle politiche. Considerare di rilassare temporaneamente le restrizioni di sicurezza non critiche durante i periodi di crisi mantenendo le protezioni essenziali. Documentare i protocolli di risposta ai periodi di stress e perfezionarli in base all'efficacia.
Scansionare regolarmente servizi cloud e applicazioni non autorizzati, quindi coinvolgere gli utenti per comprenderne le esigenze
Implementare un cloud access security broker (CASB) o il monitoraggio della rete per scoprire l'uso di Shadow IT. Quando vengono scoperti strumenti non autorizzati, coinvolgere gli utenti in modo non punitivo per comprendere l'esigenza aziendale che guida l'adozione. Fornire alternative approvate con funzionalità simili o lavorare per integrare in modo sicuro lo strumento non autorizzato piuttosto che semplicemente bloccarlo. Creare un ciclo di feedback in cui le richieste di strumenti degli utenti informino il portafoglio applicativo approvato.