Bruce Schneier: A segurança como miragem

A sensação de segurança nem sempre corresponde à realidade, é o que afirma o especialista em segurança da computação Bruce Schneier. Na TEDxPSU ele explica porque gastamos bilhões por conta de riscos provenientes de noticiários, como o "teatro de segurança" operando agora no seu aeroporto local, enquanto desprezamos riscos mais palpáveis - e como podemos reverter essa situação.

Segurança são duas coisas diferentes:

sensação, e realidade.

E elas são de fato diferentes.

Vocês podem se sentir seguros

mesmo que não estejam.

E podem estar seguros

mesmo que não sintam essa segurança.

Temos então dois conceitos distintos

representados por uma só palavra.

E o que quero fazer nesta palestra

é separar um do outro --

compreendendo quando eles divergem

e como convergem.

E a linguagem aqui torna-se um problema.

Não existem muitas palavras adequadas

para os conceitos sobre os quais falaremos.

Assim, se olharem para a segurança

do ponto de vista econômico,

ela é uma negociação.

Toda vez que vocês obtêm alguma segurança,

estão sempre negociando alguma coisa.

Seja por uma decisão pessoal --

ao instalarem um alarme contra roubo em suas casas --

ou por uma decisão nacional -- ao invadirem um país estrangeiro --

vocês vão trocar uma coisa por outra,

seja dinheiro, tempo, comodidade, potencialidades,

talvez liberdades essenciais.

E a pergunta a fazer quando consideramos a segurança de qualquer coisa

não é se isto nos tornará mais seguros,

mas se essa troca valerá a pena.

Nos últimos anos vocês têm ouvido falar

que o mundo está mais seguro porque Saddan Hussein não está no poder.

Talvez seja verdade, mas isto não é extremamente relevante.

A pergunta é: valeu a pena?

Vocês podem tomar uma decisão,

e depois refletirem se a invasão valeu a pena.

É assim que pensam sobre segurança --

do ponto de vista da negociação.

Geralmente, nesse caso, não há certo ou errado.

Alguns de nós temos sistema de alarme contra roubo em casa,

outros não.

Isso depende de onde moramos,

se vivemos sozinhos ou temos família,

da quantidade de bens materiais que possuímos,

ou até que ponto estamos dispostos a aceitar

o risco de sermos roubados.

Na politica também

existem opiniões diferentes.

Muitas vezes, essas negociações

representam muito mais do que segurança apenas.

E acho que isso é muito importante.

As pessoas hoje têm uma intuição natural

sobre essas negociações.

Fazemos isso todos os dias --

a noite passada no quarto do hotel,

quando decidi dar duas voltas na chave do quarto,

ou vocês, quando vieram para cá de carro,

quando vamos almoçar

e decidimos comer porque a comida não é veneno.

Fazemos concessões repetidas vezes,

várias vezes ao dia.

Às vezes nem percebemos.

Isso quer dizer que estamos vivos; todos nós fazemos isso.

Todas as espécies fazem.

Imaginem um coelho num campo, comendo grama,

e esse coelho avista uma raposa.

Ele vai tomar decisões para sua segurança.

"Devo ficar, ou fugir?"

Se vocês pararem para pensar,

os coelhos que são bons em tomar decisões

tenderão a viver e a se reproduzir,

enquanto aqueles que são ruins nisso

serão devorados ou morrerão de fome.

Então vocês hão de pensar

que nós, como a espécie evoluída do planeta --

vocês, eu, todos nós --

seríamos muito bons em sacrificar uma coisa por outra.

No entanto parece, mais uma vez,

que somos irremediavelmente ruins nisso.

E acho que essa é uma questão bastante interessante.

Vou dar-lhes uma resposta em breves palavras.

Na verdade, reagimos à sensação de segurança,

e não àquilo que é real.

O que, na maioria das vezes, funciona.

Muitas vezes,

sensação e realidade são a mesma coisa.

Isso certamente é verdade

para a maior parte da humanidade na pré-história.

Desenvolvemos esta habilidade

porque obedece à lógica evolutiva.

Uma forma de entender isso

é que somos altamente desenvolvidos

para tomar decisões de risco

que são endêmicas à vida em pequenos grupos familiares

nas terras altas do Leste Africano em 100.000 a.C. --

já em Nova York em 2010, nem tanto.

Existem várias distorções na percepção do que é um risco.

Há muitas experiências enriquecedoras neste sentido.

E vocês podem entender certas distorções que aparecem repetidas vezes.

E vou citar quatro delas.

Tendemos a agigantar riscos tremendos e raros

e a minimizar riscos comuns --

como andar de avião e andar de carro.

O desconhecido é considerado

mais arriscado do que o que é familiar.

Um exemplo disso seria

o medo que as pessoas têm de serem sequestradas por estranhos,

enquanto os dados apontam que é mais comum o sequestro por parentes.

Isto, em se tratando de crianças.

A terceira distorção seria os riscos personificados

que são considerados maiores do que os anônimos --

desse jeito, Bin Laden é mais medonho porque tem um nome.

E a quarta,

é quando as pessoas subestimam os riscos

em situações que podem ser controladas

e os supervalorizam em situações de difícil controle.

Uma vez que vocês resolvem fazer um salto em queda livre ou fumar,

estão menosprezando os riscos.

E se são submetidos a algum risco -- o terrorismo foi um bom exemplo --

vão supervalorizá-lo, porque acham que está fora de seu controle.

Há uma série de outras distorções, chamadas cognitivas,

que afetam nossas decisões em relação aos riscos.

Como a heurística de disponibilidade,

que basicamente significa

que nós calculamos a probabilidade de alguma coisa

pela sua facilidade em trazer alternativas à nossa mente.

Então vocês podem imaginar como isso funciona.

Se vocês ouvem falar muito sobre ataques de tigres, é porque existem muitos deles ao seu redor.

Se não ouvem falar de ataques de leões, então não existem leões à solta.

Isto funcionava antes da invenção dos jornais.

Porque o que eles fazem

é repetir várias vezes

riscos incomuns.

É o que sempre digo, se está nos noticiários, não se preocupem.

Já que, por definição,

notícias de jornal quase sempre são falsas.

(Risos)

Quando um fato é muito comum, deixa de estar nos noticiários --

acidentes de carro, violência doméstica --

esses são os riscos com os quais têm que se preocupar.

Somos uma espécie de contadores de histórias.

Respondemos a histórias mais do que aos dados.

E existe a questão da quantidade.

Isso significa que a brincadeira "Um, Dois, Três, um Montão" faz sentido.

Somos muito bons em números pequenos.

1 manga, 2 mangas, 3 mangas,

10.000 mangas, 100.000 mangas --

são ainda mais mangas a comer antes de apodrecer.

Assim 1/2, 1/4, 1/5 - somos bons nisso.

1 em um milhão, 1 em um bilhão --

significam quase nunca.

Da mesma forma temos problemas com os riscos

que não são muito comuns.

E o que essas distorções cognitivas fazem

é agir como filtros entre nós e a realidade.

E o resultado

é que sensação e realidade ficam desequilibradas,

ficam diferentes.

Neste caso, ou vocês têm uma sensação -- se sentem mais seguros do que estão.

Existe uma falsa sensação de segurança.

Ou ao contrário,

ou seja, uma falsa sensação de insegurança.

Escrevo muito sobre "teatro de segurança,"

que são produtos que fazem as pessoas se sentirem seguras,

mas que na verdade não fazem nada disso.

Não existe uma palavra para definir aquilo que nos torna seguros,

mas não nos faça sentir seguros.

Talvez seja isso que a CIA tenha que fazer por nós.

Mas voltemos à economia.

Se a economia, ou o mercado, transmite segurança,

e se as pessoas fazem sacrifícios

baseadas na sensação de segurança,

então a medida mais inteligente a ser tomada pelas companhias

em favor dos incentivos econômicos

é fazer com que as pessoas se sintam seguras.

E existem dois caminhos para chegar a isto.

Primeiro, podemos tornar as pessoas verdadeiramente seguras

e ter a esperança de que elas percebam.

Segundo, podemos fazer com que se sintam seguras

e esperar que não percebam

E o que fará com que elas percebam?

Na verdade, uma série de coisas:

a compreensão da segurança,

dos riscos, das ameaças,

das medidas prévias, e de como elas funcionam.

Mas se vocês têm conhecimento das coisas,

são mais propensos a ter suas sensações condizendo com a realidade.

Um número suficiente de exemplos do mundo real ajuda muito.

Todos nós sabemos do índice de criminalidade na nossa vizinhança,

porque moramos lá, e temos essa sensação

que basicamente corresponde à realidade.

A câmera de segurança fica visível

quando é óbvio que não está funcionando adequadamente.

Tudo bem, então o que faz com que as pessoas não percebam?

Uma noção precária.

Se vocês não entendem os riscos, não entendem os custos.

E provavelmente farão concessões equivocadas,

e sua sensação não corresponderá à realidade.

Não há exemplos suficientes.

Existe um problema inerente

aos eventos de baixa probabilidade.

Se, por exemplo,

o terrorismo quase nunca acontece,

é muito difícil julgar

a eficácia das medidas anti-terroristas.

É por isso que vocês continuam sacrificando as virgens,

e por isso as defesas do unicórnio estão funcionando perfeitamente.

Não existem exemplos suficientes de fracassos.

Além disso, as sensações estão ofuscando as questões --

as distorções cognitivas das quais falei anteriormente,

medos, crenças populares,

basicamente um modelo de realidade inadequado.

Então vamos complicar as coisas.

Eu tenho sensação e realidade.

Quero acrescentar um terceiro elemento. Um modelo.

Sensação e modelo em nossa mente,

realidade no mundo exterior.

Isto não muda; é real.

Logo, a sensação baseia-se em nossa intuição.

O modelo baseia-se na razão.

Essa é basicamente a diferença.

Num mundo simples e primitivo,

não há motivo para um modelo.

Porque a sensação está próxima da realidade.

Vocês não precisam de um modelo.

Mas num mundo complexo e moderno,

vocês precisam de modelos

para entender muitos dos riscos com os quais nos deparamos.

Não há como sentir as bactérias.

Vocês precisam de um modelo para entendê-las.

Então este modelo

é uma representação inteligente da realidade.

E, é claro, limitado pela ciência,

pela tecnologia.

Não poderíamos ter uma teoria bacteriana de uma doença

antes de inventarmos o microscópio e observá-las.

Isto é limitado pelas nossas distorções cognitivas.

Mas tem a habilidade

de anular nossas sensações.

Onde conseguimos estes modelos? Através de outros.

Conseguimos modelos através da religião, da cultura,

de professores, de idosos.

Há alguns anos atrás,

eu estava num safari na África do Sul.

O guia que me acompanhava cresceu no Parque Nacional de Kruger.

Ele tinha modelos bem complexos de sobrevivência.

E tudo dependia de como você fosse atacado

por um leão, um leopardo, um rinoceronte ou um elefante --

e quando você tinha que fugir, ou subir numa árvore --

quando você nunca poderia subir numa árvore.

Eu teria morrido no mesmo dia,

mas ele nasceu lá,

e sabia como sobreviver.

Eu nasci na cidade de Nova York.

Eu poderia tê-lo levado para Nova York, e ele teria morrido no mesmo dia.

(Risos)

Isso porque tínhamos modelos diferentes

baseados em experiências diferentes.

Os modelos podem surgir da mídia,

de nossos candidatos eleitos.

Pensem nos modelos do terrorismo,

sequestros de crianças,

segurança aérea, segurança automobilística.

Os modelos podem surgir da indústria.

Os dois que estou acompanhando são câmeras de vigilância,

e carteiras de identidade.

Muitos dos nossos modelos de segurança da computação vêm daí.

Muitos modelos surgem da ciência.

Modelos da saúde são um grande exemplo.

Pensem no câncer, na gripe aviária, na gripe suína, na SARS.

Todas as nossas sensações de segurança

a respeito dessas doenças

surgem de modelos

que certamente nos são dados pela ciência filtrada pela mídia.

Logo, os modelos podem mudar.

Os modelos não são estáticos.

À medida em que nos tornamos mais confortáveis em nosso ambiente,

nosso modelo pode se aproximar de nossas sensações.

Um exemplo disso seria:

se retrocederem 100 anos,

quando a eletricidade estava apenas começando,

havia muito medo em relação a ela.

Por exemplo, algumas pessoas tinham medo de tocar campainhas,

porque estavam carregadas de eletricidade, e aquilo era perigoso.

Para nós, a eletricidade não tem mistério.

Trocamos lâmpadas

sem o menor problema.

Nosso modelo de segurança em relação à eletricidade

é uma coisa inata.

Ela não mudou durante nosso crescimento.

E somos bons nisso.

Pensem então nos riscos

da Internet através das gerações --

como seus pais lidam com a segurança na Internet,

bem diferente de vocês,

e como será com nossos filhos.

Os modelos acabam desaparecendo.

Intuitivo é apenas mais uma palavra para o que é familiar.

Assim, a medida em que seu modelo se aproxima da realidade,

e converge com as sensações,

na maioria das vezes vocês não sabem que ele está lá.

Logo, um bom exemplo disso

surgiu com a gripe suína no ano passado.

Quando a gripe suína apareceu pela primeira vez,

as primeiras notícias causaram uma reação exagerada.

Agora ela tinha um nome,

que a tornava mais assustadora do que a gripe comum,

embora fosse mais letal.

E as pessoas achavam que os médicos deviam saber como lidar com ela.

Então houve uma sensação de impotência.

E essas duas coisas

fizeram o risco ainda maior do que era.

Quando deixou de ser novidade, os meses se passaram,

houve uma dose de tolerância,

e as pessoas se acostumaram a ela.

Não havia nenhuma informação nova, mas havia menos temor.

Quando chegou o outono,

as pessoas achavam

que os médicos já deveriam ter resolvido este problema.

E há um tipo de divisão --

as pessoas tinham que escolher

entre medo e aceitação --

na verdade, medo e indiferença --

e eles escolheram a desconfiança.

E quando a vacina apareceu no último inverno,

houve muitas pessoas -- um número surpreendente de pessoas --

que se recusaram a tomá-la --

como um bom exemplo

de como mudam as sensações de segurança das pessoas, como mudam seus modelos,

meio que descontroladamente,

sem nenhuma informação nova,

sem nenhum dado novo.

Este tipo de coisa acontece muito.

Vou citar mais um problema.

Temos sensação, modelo, realidade.

Tenho uma visão relativista de segurança.

Acho que isso depende do observador.

E muitas decisões sobre segurança

têm uma variedade de pessoas envolvidas.

E as partes interessadas

em negociações específicas

tentarão influenciar a decisão.

E a isso eu chamo de sua ordem do dia.

E vocês vêm a ordem do dia --

isto é comercialização, isto é política --

tentando convencer vocês a ter um modelo em detrimento de outro,

tentando convencer vocês a ignorar um modelo

e confiar em suas sensações,

marginalizando as pessoas com modelos que vocês não gostam.

Isto não é raro.

Um exemplo, um ótimo exemplo, é o risco de fumar.

Na história dos últimos 50 anos, o risco de fumar

mostra como um modelo muda,

e também mostra como uma indústria luta contra

um modelo que ela não gosta.

Façam uma comparação com a discussão sobre o fumante passivo --

há cerca de 20 anos atrás.

Pensem nos cintos de segurança.

Quando eu era criança, ninguém usava cinto de segurança.

Hoje em dia, nenhuma criança deixa vocês dirigirem

se não estiverem usando um.

Façam uma comparação com a discussão sobre o airbag --

há cerca de 30 anos atrás.

Todos os exemplos de modelos estão mudando.

Aprendemos que é difícil trocar de modelos.

Os modelos são difíceis de serem removidos.

Se eles se igualarem às suas sensações,

vocês nem saberão que têm um modelo.

E há uma outra distorção cognitiva

que chamarei de distorção de confirmação,

onde temos uma tendência a aceitar os dados

que confirmam nossas crenças,

e a rejeitar aqueles que as contrariam.

Assim, costumamos ignorar

uma evidência contra nosso modelo, mesmo que seja convincente.

Ela tem que ser bastante convincente para prestarmos atenção.

É difícil haver novos modelos que se extendam por longos períodos.

O aquecimento global é um ótimo exemplo.

Somos péssimos

para modelos que se extendem por 80 anos.

Podemos colher a próxima safra.

Podemos fazer isso até nossos filhos crescerem.

Mas não somos bons nisso durante 80 anos.

Logo, esse é um modelo muito difícil de aceitar.

Podemos pensar nos dois modelos ao mesmo tempo,

ou naquele tipo de problema

em que sustentamos as duas opiniões,

ou a dissonância cognitiva.

E por fim,

o modelo novo substituirá o antigo.

Fortes sensações podem criar um modelo.

O 11 de setembro criou um modelo de segurança

nas mentes de muitas pessoas.

Experiências pessoais com o crime também podem fazer isso,

ameaças à saúde das pessoas,

uma ameaça nos noticiários.

Vocês verão esses chamados fatos-relâmpagos

pelos psiquiatras.

Eles podem criar um modelo rapidamente,

porque são muito emotivos.

Assim, no mundo tecnológico,

não temos experiência

para julgar modelos.

E confiamos nos outros. Confiamos nos servidores proxy.

Portanto, isto funciona o tempo suficiente para se corrigir os outros.

Confiamos nas agências governamentais

para que nos digam quais medicamentos são seguros.

Cheguei aqui ontem de avião.

Não inspecionei o avião.

Confiei em algum outro grupo

para determinar se meu avião estava seguro para voar.

Estamos aqui, e nenhum de nós tem medo que o telhado caia em nossas cabeças,

mas não é porque nós fizemos alguma inspeção,

mas porque temos certeza

que podemos confiar nos códigos de construção daqui.

É um modelo que simplesmente aceitamos

praticamente pela confiança.

E está tudo bem.

Agora, o que queremos

é que as pessoas se familiarizem o bastante

com modelos melhores --

que os tenha refletidos em suas sensações --

para lhes permitir fazer negociações de segurança.

Mas quando elas entram em desequilíbrio,

vocês têm duas opções.

Primeiro, vocês podem definir as sensações das pessoas,

apelando diretamente aos sentimentos.

Isso é manipulação, mas pode funcionar.

A segunda, e a maneira mais honesta,

é realmente definir o modelo.

A mudança ocorre lentamente.

A discussão sobre o fumo levou 40 anos,

e aquela foi uma das mais fáceis.

Algumas dessas coisas são difíceis.

Difíceis de verdade, embora

a informação pareça ser nossa melhor esperança.

E eu menti.

Lembram-se quando eu falei sensação, modelo, e realidade?

Eu disse que a realidade não se modifica. Isso não é verdade.

Vivemos num mundo tecnológico;

a realidade se modifica o tempo todo.

Logo, teríamos -- pela primeira vez na nossa espécie --

a sensação indo atrás do modelo, o modelo atrás da realidade, e a realidade se deslocando --

talvez eles nunca se alcancem.

Não sabemos.

Mas a longo prazo,

tanto a sensação quanto a realidade são importantes.

E eu gostaria de encerrar com duas rápidas histórias para ilustrar isto.

1982 -- não sei se as pessoas se lembrarão disto --

houve uma rápida epidemia

de envenenamentos por Tylenol nos Estados Unidos.

É uma história horrível. Alguém pegou um vidro de Tylenol,

colocou veneno dentro, fechou o vidro e o colocou de volta na prateleira.

Outra pessoa o comprou e morreu.

Isto aterrorizou as pessoas.

Houve um monte de ataques parecidos.

Na verdade, não havia risco algum, mas as pessoas ficaram com medo.

E foi assim

que a indústria de drogas invioláveis foi inventada.

Daí é que vieram as tampas invioláveis.

É um perfeito teatro de segurança.

Como tarefa de casa, pensem em 10 maneiras de se chegar até esse teatro.

Vou citar apenas uma, a seringa.

Mas isso fez com que as pessoas se sentissem melhor.

Deu-lhes a sensação de segurança

mais de acordo com a realidade.

Última história, alguns anos atrás, uma amiga minha teve um filho.

Vou visitá-la no hospital.

Isso acontece agora quando um bebê nasce,

eles colocam uma etiqueta RFID no bebê,

e outra correspondente na mãe,

de forma que se outra pessoa que não seja a mãe tirar o bebê do berçário,

vai soar um alarme.

Pensei, "Bom, isso parece simples.

Imagino como deve ser violento o sequestro de bebês

dos hospitais."

Vou pra casa, e faço uma pesquisa.

Isso raramente acontece.

Mas se vocês pensarem nisso,

se vocês trabalham num hospital,

e precisam tirar um bebê de sua mãe,

para fazer alguns testes,

é melhor contarem com um bom teatro de segurança,

ou a mãe vai arrancar o seu braço.

(Risos)

Assim, é importante para nós,

que projetamos segurança,

que analisamos a política de segurança,

ou até a política pública

de maneiras que afetam a segurança.

Isso não é apenas realidade, é sensação e realidade.

E o mais importante

é que elas são a mesma coisa.

É importante que, se nossas sensações correspondem à realidade,

façamos melhores negociações de segurança.

Obrigado.

(Aplausos)