Tutti i 100 indicatori / Categoria 5.x: Sovraccarico cognitivo
Indicatore 5.7
Misura la vulnerabilità quando i compiti di sicurezza richiedono di tenere simultane amente più informazioni in memoria di lavoro di quanto la capacità cognitiva permetta
L'overflow della memoria di lavoro si verifica quando i compiti di sicurezza richiedono di tenere simultaneamente più elementi informativi in memoria attiva di quanto la capacità cognitiva umana permetta (tipicamente 7±2 chunk). Gli analisti che devono tracciare múltiple IOC, correlare eventi attraverso múltiple sistemi, e mantenere dettagli complessi di timeline di attacco mentre investigano superano regolarmente la capacità della memoria di lavoro. Quando si verifica l'overflow, le informazioni critiche vengono perdute, i dettagli vengono confusi tra incidenti, e la qualità dell'analisi si deteriora significativamente.
Il principio del Numero Magico di Miller (1956) stabilisce i limiti fondamentali della memoria di lavoro a 7±2 chunk informativi. Il modello della Memoria di Lavoro di Baddeley (1992) descrive come il loop fonologico e lo sketchpad visuospaziale abbiano capacità strettamente limitate. La ricerca di Cowan (2001) suggerisce che sotto carico cognitivo, la capacità effettiva della memoria di lavoro può ridursi a soli 4 elementi. Gli studi neuroscientifici mostrano che il sovraccarico della memoria di lavoro porta a errori aumentati, tempi di risposta più lenti, e ripiego su euristiche di Sistema 1 meno accurate. La ricerca di Sweller sulla Teoria del Carico Cognitivo dimostra che compiti che superano la capacità della memoria di lavoro portano a degrado sostanziale delle prestazioni.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
Gli analisti gestiscono massimo 3-4 elementi concorrenti durante periodi di picco. Strumenti a pannello unico minimizzano il cambio. Protocolli di interruzione chiari con personale di triage designato. Documentazione automatizzata riduce requisiti manuali. Procedure strutturate di passaggio consegne turno limitano la complessità del trasferimento informazioni.
Gli analisti gestiscono regolarmente 5-7 elementi concorrenti durante periodi intensi. Qualche integrazione strumenti ma richiede ancora 4-6 interfacce diverse per incidente. Gestione interruzioni informale con qualche protezione per analisi complesse. Documentazione mista manuale/automatizzata con complessità moderata. Procedure base di passaggio consegne ma la complessità varia.
Gli analisti gestiscono routinariamente 8+ elementi concorrenti durante operazioni normali. Richiede 7+ strumenti/interfacce diverse per indagine incidente tipica. Nessuna gestione formale interruzioni - tutti gli allarmi trattati come ugualmente urgenti. Documentazione manuale estesa richiesta durante risposta incidente attiva. Procedure di passaggio consegne ad-hoc senza limite sulla complessità delle informazioni.
Implementare monitoraggio tempo reale del carico lavoro analista con escalation automatica quando compiti concorrenti superano soglie sicure (4+ elementi)
Distribuire sistema monitoraggio che traccia assegnazioni compiti concorrenti per analista. Includere indicatori visivi che mostrano carico cognitivo per analista e stato capacità team. Configurare allarmi automatici quando soglie superate. Creare dashboard supervisore per decisioni distribuzione carico lavoro.
Distribuire soluzione SIEM/SOAR single-pane-of-glass che consolida strumenti sicurezza multipli in interfaccia unificata
Valutare e implementare piattaforma sicurezza unificata (Splunk SOAR, Microsoft Sentinel, Chronicle). Migrare workflow da 7+ strumenti disparati a 2-3 viste integrate. Implementare single sign-on attraverso strumenti sicurezza. Creare workspace indagine unificati riducendo cambio contesto.
Stabilire sistema allarmi a livelli con ruolo triage dedicato durante analisi alta complessità
Creare classificazione severità allarmi richiedendo approvazione triage per interruzione analista. Implementare protocolli 'non disturbare' per indagini complesse >30 minuti. Definire criteri escalation chiari per emergenze vere. Ruotare duty triage tra membri team. Documentare efficacia tempo analisi protetto.
Implementare workflow SOAR che generano automaticamente documentazione incidenti da azioni analista
Configurare piattaforma SOAR per catturare azioni analista, comandi e risultati automaticamente. Generare timeline incidenti, sommari indagine e report compliance da dati catturati. Ridurre requisiti documentazione manuale del 70% durante periodi risposta attiva. Creare template pattern indagine comuni.
Sviluppare modello staffing predittivo basato su pattern carico cognitivo storico
Analizzare volume allarmi storico e pattern incidenti per identificare periodi picco prevedibili (lunedì 8-11am, primo giorno dopo festività, aggiornamenti sistemi maggiori). Creare programmi staffing con copertura aggiuntiva durante picchi identificati. Stabilire rotazione supporto cognitivo on-call. Implementare dashboard pianificazione capacità che mostra carico previsto vs effettivo.
Distribuire template indagine standardizzati e checklist digitali che trasferiscono tracciamento cognitivo a sistemi esterni
Creare template indagine per scenari minaccia comuni. Implementare checklist digitali che mostrano progresso e azioni pendenti. Distribuire strumenti workflow visivi che mostrano stato indagine. Fornire offload cognitivo attraverso rappresentazioni memoria esterne. Formare analisti su uso efficace aiuti cognitivi.