Как оценить риски в кибербезопасности. Лучшие инструменты и практики

Обратите внимание, что показатель «равно медианному или ниже» в плане отношения к количественным методам не обязательно означает, что участники опроса были в целом против количественных методов. Большинство весьма благосклонно восприняли количественные методы, и поэтому среднее число положительных ответов все еще можно относить к поддержке методов, а не их отрицанию, просто у людей из категории «равно медианному или ниже» было больше сомнений по поводу количественных методов, чем у тех, кто ответил положительно на более чем половину вопросов про отношение к ним. Для статистической грамотности, однако, медианный балл (3 из 10) показывал, насколько хорошо человек ответил, если бы просто угадывал ответы (учитывая число вариантов ответов на вопрос, при случайном выборе любого ответа, кроме «Я не знаю», в среднем получится 2,3 правильного ответа из 10). Те, кто дал меньше правильных ответов, не только хуже угадывали, но и верили в распространенные заблуждения. А те, у кого результаты по статистической грамотности были выше медианных, справились лучше, чем могли бы при простом угадывании.

Рис. 5.3. Сравнение уровня статистической грамотности и отношения к количественным методам

Теперь, когда мы прояснили этот момент, видно, что у участников, набравших выше медианного значения по статистической грамотности, в большинстве случаев и в ответах на вопросы об отношении к количественным методам значения были больше медианных. Аналогичным образом участники, у которых количество положительных ответов на вопросы про отношение к количественным методам превысило медианное значение, с большей вероятностью обладали и хорошим уровнем статистической грамотности. Выводы справедливы даже с учетом малого количества вопросов в опроснике. Зная количество вопросов и число вариантов ответа на вопрос, можно провести статистическую проверку. Проведенные нами вычисления показывают, что взаимосвязь между статистической грамотностью и отношением к статистике является статистически значимой даже при небольшом количестве вопросов на одного респондента (для хорошо разбирающихся в статистике читателей отметим, что P-значение этих результатов менее 0,01). Благодаря опросу также удалось сделать еще рад интересных наблюдений.

Прочие наблюдения, связанные со статистической грамотностью и принятием количественных методов

• Четверть испытуемых, хуже других настроенных в отношении количественных методов (нижние 25 %), в два раза чаще просто пропускали вопросы на статистическую грамотность, чем те, кто попал в четверть наиболее поддерживающих количественные методы.

• Больший опыт в сфере кибербезопасности соотносится с позитивным отношением к количественным методам. Также выяснилось, что те, кто хотя бы пытался применять количественные методы вроде симуляций по методу Монте-Карло, более склонны к их поддержке. Согласно полученным данным, 23 % из тех, кто положительно относился к количественным методам, пробовали симуляции Монте-Карло, в то время как из противников количественных методов ими пользовались только 4 % испытуемых. Не станем утверждать, что положительное отношение к количественным методам вызвало желание попробовать метод Монте-Карло или что его применение сделало их сторонниками количественных показателей. Но связь налицо.

• Те, кто хуже всех справился с тестом на статистическую грамотность, чаще переоценивали свои навыки в области статистики. Это согласуется с феноменом, известным как эффект Даннинга – Крюгера¹³. Существует тенденция, что люди, плохо справляющиеся с каким-либо тестом (на вождение, базовую логику и т. д.), склонны верить, что справляются с задачей лучше, чем есть на самом деле. В ходе исследования выяснилось, что 63 % участников с уровнем статистической грамотности ниже среднего ошибочно определяли уровень своих знаний в области статистики как средний или выше среднего. Поэтому те, кто плохо справляется с тестами на статистическую грамотность, обычно не осознают, что их представления неверные.

На самом деле все это лишь эмпирически подтверждает подозрения, которые у нас возникли после многочисленных отдельных наблюдений. Люди, считающие непрактичным применение количественных методов в сфере кибербезопасности, думают так не потому, что знают больше о кибербезопасности, а потому, что недостаточно много знают о количественных методах. Если вы полагаете, что разбираетесь в количественных вероятностных методах, но не согласны с тем, что они применимы в кибербезопасности, не вините гонца. Мы всего лишь сообщаем результаты наблюдений.

Тех же, кто в большинстве своем считает, что можно применять более эффективные методы, и поддерживает их изучение, не требуется убеждать лишний раз. Но, возможно, вы сможете использовать эту информацию для выявления причин внутрифирменного неприятия, и даже сумеете повлиять на будущие решения по обучению и найму персонала, чтобы повысить осведомленность о количественных методах в кибербезопасности.