Tutti i 100 indicatori / Categoria 5.x: Sovraccarico cognitivo
Indicatore 5.6
Misura la vulnerabilità derivante dalla focalizzazione attentiva ristretta che esclude informazioni periferiche importanti durante le indagini di sicurezza
Il tunneling cognitivo si verifica quando i professionisti della sicurezza diventano così focalizzati su un aspetto specifico di un incidente o indagine che inconsciamente escludono indicatori periferici importanti. Questo stato cognitivo ristretto crea vulnerabilità sistematiche dove gli analisti "mancano la foresta per gli alberi", concentrandosi intensamente su un singolo indicatore di compromissione mentre perdono attività di attacco correlate. Il tunneling cognitivo è particolarmente pericoloso durante le indagini ad alta pressione dove il focus intenso sembra produttivo ma crea effettivamente punti ciechi.
La ricerca di Wickens e Alexander (2009) sull'attenzione cognitiva mostra come lo stress e l'alto carico di lavoro inducano tunneling attentivo, dove il campo percettivo si restringe. Gli studi di Dirkin e Hancock (1985) dimostrano che sotto stress, le persone si focalizzano sempre più su indicatori centrali mentre perdono informazioni periferiche. La ricerca neuroscientifica mostra che l'alta attivazione dell'amigdala (risposta allo stress) riduce il campo attentivo mediato dalla corteccia prefrontale. La Teoria del Carico Cognitivo di Kahneman dimostra che risorse attentive limitate sotto pressione portano a strategie di campionamento selettivo che possono perdere minacce critiche.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
L'organizzazione ha procedure documentate per mantenere ampia consapevolezza della sicurezza durante gli incidenti, con evidenza di rilevamento di attacchi multi-vettore riuscito. I team dimostrano correlazione incrociata consistente degli allarmi, mantengono controlli di sicurezza durante operazioni urgenti e mostrano efficacia della formazione in scenari reali.
L'organizzazione ha alcune procedure per la gestione degli incidenti ma manca monitoraggio incrociato consistente durante periodi di alta focalizzazione. Evidenza occasionale di attacchi multi-vettore mancati o bypass di controlli di sicurezza durante operazioni urgenti. La formazione esiste ma l'efficacia non è chiara.
Nessun approccio sistematico per mantenere consapevolezza ampia durante periodi di focus intenso. Scoperta regolare di vettori di attacco mancati, bypass frequenti di controlli di sicurezza durante operazioni urgenti, o nessun processo per correlazione incrociata di eventi di sicurezza simultanei. La formazione è generica o non esistente.
Implementare rotazioni focus obbligatorie di 90 minuti dove i membri del team passano tra analisi incidente profonda e scansione ambientale ampia
Creare passaggi consegne guidati da checklist che forzano reset attenzione e controllo consapevolezza periferica. Distribuire dashboard monitoraggio che allertano quando qualsiasi membro del team supera limiti tempo focus senza scansione ambientale. Documentare programma rotazione e far rispettare tramite team lead.
Distribuire regole correlazione SIEM che segnalano automaticamente quando vettori attacco multipli si attivano entro finestre temporali specificate
Creare dashboard visive che mostrano attività attacco attraverso tutti i domini sicurezza simultaneamente (rete, endpoint, email, cloud, identità). Stabilire revisioni 'big picture' obbligatorie di 15 minuti durante qualsiasi incidente che dura più di 2 ore. Configurare regole correlazione per pattern multi-vettore comuni.
Implementare autorizzazione a due persone per qualsiasi bypass controllo sicurezza durante urgenze operative
Creare eccezioni sicurezza a tempo limitato con ripristino automatico. Distribuire monitoraggio che allerta team sicurezza quando procedure operative creano vulnerabilità potenziali, richiedendo riconoscimento esplicito team sicurezza. Documentare tutti gli override con giustificazione business.
Accoppiare responder incidenti dove una persona mantiene focus profondo mentre il partner mantiene consapevolezza ambientale ampia
Ruotare ruoli ogni ora durante incidenti estesi. Creare checkpoint obbligatori 'cos'altro potrebbe succedere?' ogni 30 minuti durante risposta incidente critico. Documentare assegnazioni buddy nelle procedure risposta incidenti.
Condurre esercizi tabletop trimestrali con attacchi multi-vettore simultanei progettati specificamente per testare allocazione attenzione
Formare team a riconoscere sintomi tunneling cognitivo in se stessi e colleghi. Implementare protocolli 'controllo attenzione' dove membri team verificano regolarmente consapevolezza situazionale reciproca durante periodi alto stress. Usare risultati simulazione per identificare pattern tunneling individuali.
Distribuire sistemi AI-powered che mantengono rilevamento minacce ampio mentre team umani si concentrano su incidenti specifici
Creare procedure escalation che interrompono focus profondo quando sistemi background rilevano attività attacco correlata o coordinata. Implementare allarmi 'guardiano attenzione' che notificano analisti tunnel-focused di minacce in sviluppo fuori dal loro scope corrente. Configurare analisi comportamentale per rilevamento anomalie attraverso tutti i domini sicurezza.
Progettare operazioni sicurezza per rispettare limitazioni carico cognitivo attraverso rotazione compiti, design ambientale e strategie distribuzione carico lavoro
Monitorare conteggi compiti concorrenti e implementare limiti massimi. Creare indicatori visivi carico lavoro per team lead. Stabilire protocolli escalation quando carico cognitivo supera soglie capacità. Implementare accodamento compiti automatizzato e bilanciamento carico.
Implementare triage sistematico con criteri decisionali documentati e monitoraggio background per allarmi respinti
Creare rilevamento pattern attraverso allarmi bassa priorità respinti. Stabilire trigger escalation se allarmi respinti mostrano pattern correlazione. Implementare revisione settimanale di allarmi auto-chiusi per indicatori minaccia mancati.