Tutti i 100 indicatori / Categoria 5.x: Sovraccarico cognitivo
Indicatore 5.8
Misura la vulnerabilità all'interferenza cognitiva persistente da compiti precedenti che influenza i giudizi di sicurezza correnti e crea punti ciechi sistematici nel rilevamento delle minacce
Gli effetti di residuo attentivo si verificano quando gli analisti di sicurezza passano tra compiti senza completare la loro elaborazione mentale, lasciando risorse cognitive "bloccate" sul compito precedente. Questo crea punti ciechi sistematici dove gli analisti perdono minacce genuine immediatamente dopo aver gestito indagini complesse, cambi di strumento o interruzioni. Le organizzazioni con frequenti cambi di compito, múltiple strumenti di sicurezza o flussi di lavoro ricchi di interruzioni affrontano rischio elevato di perdere incidenti di sicurezza critici a causa di prestazioni cognitive degradate degli analisti.
La ricerca seminale di Sophie Leroy (2009) sul residuo attentivo ha dimostrato degrado misurabile delle prestazioni quando i compiti vengono cambiati senza completamento. I limiti della memoria di lavoro di Miller (1956) forniscono la base teorica - la capacità cognitiva è strettamente limitata. Gli studi fMRI dimostrano che i compiti incompleti mantengono l'attivazione nella corteccia prefrontale anche durante attività successive (Monk et al., 2008), creando interferenza persistente con l'elaborazione di nuovi compiti.
La valutazione rapida pone queste domande; ogni risposta va da resiliente a esposto.
L'organizzazione ha procedure documentate che limitano i cambi di compito degli analisti a <5 per ora, protocolli di transizione obbligatori di 3 minuti tra domini di sicurezza diversi, blocchi di focus protetti per analisi complesse e tassi di completamento >80% per indagini iniziate.
Alcuni controlli di cambio compito esistono ma gli analisti passano regolarmente tra 5-10 attività diverse per ora, procedure base di passaggio consegne documentate, ma tassi di completamento indagine 60-79% con abbandoni frequenti basati su interruzioni.
Nessun controllo di cambio compito, gli analisti passano tra >10 attività diverse per ora, nessun protocollo di transizione tra domini di sicurezza, tassi di completamento indagine <60% e nessuna protezione da interruzioni durante analisi complesse.
Implementare procedure obbligatorie 'reset mentale' 2-3 minuti tra domini analisi sicurezza diversi
Gli analisti usano checklist strutturate per documentare stato compito corrente, eseguono brevi esercizi focus attenzione e transitano consapevolmente contesto mentale prima di iniziare nuove indagini. Sistemi workflow automatizzati applicano tempi transizione minimi tra cambi strumento.
Ristrutturare operazioni SOC per raggruppare attività sicurezza simili in blocchi tempo dedicati
Gli analisti gestiscono allarmi sicurezza rete per sessioni focalizzate 2 ore, seguite da blocchi sicurezza endpoint, invece di cambiare costantemente tra domini. Procedure escalation emergenza superano raggruppamento solo per incidenti critici genuini.
Stabilire periodi 'focus profondo' dove analisti che investigano incidenti complessi sono protetti da interruzioni non critiche
Implementare escalation a livelli dove solo incidenti Severità 1 possono interrompere analisi complessa in corso, con requisiti documentazione chiari per disturbare tempo focus protetto.
Distribuire piattaforme orchestrazione sicurezza unificate che minimizzano cambio contesto tra strumenti vendor diversi
Implementare dashboard single-pane-of-glass con convenzioni interfaccia consistenti attraverso tutti i domini sicurezza per ridurre costi cambio modello mentale.
Sviluppare protocolli passaggio consegne dettagliati richiedendo documentazione esplicita di contesto mentale, risultati chiave e prossimi passi analisi
Includere briefing verbale obbligatorio 5 minuti dove analisti uscenti spiegano il loro modello mentale ad analisti in arrivo, riducendo trasferimento residuo attentivo. Documentare pensiero analitico corrente, non solo risultati fattuali.
Implementare tracciamento tempo reale di frequenza cambio compito analista, tassi completamento indagine e metriche durata attenzione
Allarmi automatizzati notificano supervisori quando analisti superano soglie cambio compito sane, attivando interventi riequilibrio carico lavoro.