Incoraggiare l'apprendimento continuo e l'impegno

PROCESSO CONTINUO

È un sottile equilibrio da centrare. Non si vuole dare ai partecipanti un falso senso di sicurezza dopo aver fatto un passo, ma non si vuole lasciare che si sentano irrimediabilmente sopraffatti. Un partecipante potrebbe lasciare una sessione credendo che ora che ha imparato a usare Signal e non dovrà mai più preoccuparsi della sicurezza delle sue comunicazioni. Oppure, al contrario, la prima volta che un partecipante viene frustrato cercando di aprire un'e-mail crittografata, può decidere che non c'è speranza e che semplicemente non è abbastanza intelligente da proteggersi online.

Per ogni argomento della educazione sulla sicurezza, abbiamo creato obiettivi di apprendimento che vanno dal principiante all'avanzato. È possibile utilizzare questi risultati per aiutare i partecipanti a capire dove si trovano all'interno di un processo di sviluppo più lungo. Usiamo l'esempio delle password ed evitiamo il phishing. Ecco una serie di traguardi raggiunti da qualcuno che potrebbe raggiungere la sicurezza delle password:

1. Utilizzo di una password che non è "password";

2. Utilizzo di una passphrase forte;

3. Abilitazione dell'autenticazione a due fattori su qualsiasi servizio che lo offre;

4. Passaggio ad un App di autenticazione a due fattori basata su messaggi SMS per l'autenticazione a due fattori;

5. Usare una password diversa per ogni servizio che ne richiede una;

6. Usare un gestore di password sostituendo ogni password che si ha con una generato casualmente;

7. Usare una passphrase forte per proteggere il database delle password;

8. Uso di più fattori per proteggere la password database.

In una breve sessione di due ore, i partecipanti semplicemente non saranno in grado di completare tutti e otto questi elementi (e provare a farlo senza capire cosa stanno facendo potrebbe causare un gran casino). Ma possono probabilmente farne due o tre. Nel frattempo, un partecipante che completa con successo tre o quattro di questi elementi non dovrebbe ottenere un falso senso di sicurezza semplicemente perché è in vantaggio rispetto ai partecipanti meno esperti. Dovrebbe essere incoraggiata a spingersi anche al livello successivo.

È anche utile tenere presente questo equilibrio quando si discutono le attuali strategie di sicurezza dei partecipanti. Diciamo che un partecipante dice di tenere il suo indirizzo e-mail e la password nel suo portafoglio perché la sua password è troppo lunga per essere ricordata. Piuttosto che dirgli che questo è il modo sbagliato di proteggere il suo account, potresti dire qualcosa del tipo: "Questo è un grande punto. Una lunga password che è più difficile da ricordare è più difficile da indovinare anche per un hacker. Il prossimo passo è quello di nascondere quella password un po 'più efficacemente. Hai mai sentito parlare di gestori di password?"