"I'm trying not to get hacked:" How Adults with Intellectual and Developmental Disabilities Navigate Security and Privacy Notifications

Elke dag vraagt ons digitale leven om kleine, kritische keuzes te maken. Een website vraagt of we onze locatie willen delen. Een bank stuurt een melding dat iemand probeert in te loggen. Een telefoon vraagt toestemming om een melding te sturen. Dit zijn beveiligings- en privacy-meldingen, het digitale equivalent van een bewaker bij een poort of een bord op een deur. Voor de meeste mensen zijn deze prompts een routinedeel van het gebruik van technologie, zelfs als ze vaak worden genegeerd of zonder veel gedachten worden weggeklikt. Maar voor volwassenen met een intellectuele en ontwikkelingsstoornis kunnen dezezelfde momenten verwarrend, intimiderend of onmogelijk te navigeren zijn. Intellectuele en ontwikkelingsstoornissen beschrijven een breed scala aan condities waarbij een persoon uitdagingen kan hebben met redeneren, leren of het afhandelen van dagelijkse taken. Deze uitdagingen betekenen niet dat een persoon geen technologie kan gebruiken; veel volwassenen met deze condities gebruiken smartphones, computers en het internet om te werken, te socialiseren en hun leven te beheren. De standaardmanier waarop computers om toestemming vragen of gevaar waarschuwen, is echter vaak gebouwd voor een geest die informatie anders verwerkt dan de hunne. Wanneer een systeem niet duidelijk communiceert, creëert dat niet alleen frustratie; het kan een persoon kwetsbaar maken voor oplichting, identiteitsdiefstal of het verlies van hun persoonlijke gegevens.

Onderzoekers aan de University of Wisconsin–Madison wilden precies begrijpen hoe volwassenen met een intellectuele en ontwikkelingsstoornis deze digitale waarschuwingen ervaren. Ze vroegen mensen niet simpelweg wat ze vonden; ze keken hoe ze interactie hadden met realistische scenario's. Het team rekruteerde zeven volwassenen, tussen de 19 en 42 jaar oud, die verschillende diagnoses hadden, waaronder het syndroom van Down en autisme spectrum stoornis. Sommige deelnemers werkten met een ondersteunend persoon, zoals een ouder of verzorger, terwijl anderen alleen werkten. De onderzoekers creëerden een veilige, gecontroleerde omgeving waarin de deelnemers een computer en een smartphone gebruikten om alledaagse taken uit te voeren, zoals het controleren van e-mail of het opzoeken van het weer. Verweven binnen deze taken waren realistische beveiligingsprompts: een waarschuwing dat een website gevaarlijk was, een verzoek om cookies toe te staan, een tweestapsverificatiecode en een nep-e-mail van een hacker. Het doel was om te zien hoe deze individuen de berichten interpreteerden, wat hen verwarde en hoe zij besloten wat te doen.

De studie onthulde dat de grootste hindernissen niet altijd de technische woorden zelf waren, maar hoe de berichten pasten in de flow van waar de persoon op dat moment mee bezig was. Wanneer een melding verscheen, probeerden deelnemers deze vaak te begrijpen op basis van de taak waar ze mee bezig waren, in plaats van de werkelijke inhoud van de boodschap. Bijvoorbeeld, wanneer een cookie-toestemmingsbanner verscheen terwijl iemand probeerde in te loggen, gingen ze er vaak van uit dat ze op "Toestaan" moesten klikken om verder te gaan, waarbij ze het behandelden als een poort die ze moesten openen in plaats van een keuze over hun gegevens. Op dezelfde manier, wanneer een waarschuwing over een gevaarlijke download verscheen, dachten sommige deelnemers dat de waarschuwing zelf het ding was dat hen blokkeerde, in plaats van het bestand dat ze hadden geprobeerd te downloaden. De context van het scherm en de taak die ze wilden voltooien, vormden hun begrip meer dan de woorden op het scherm.

Deelnemers vertrouwden ook zwaar op hun alledaagse ervaringen om onbekende termen te begrijpen. Wanneer ze het woord "cookies" zagen in een privacybanner, dachten velen aan het zoete voedsel dat ze konden eten, en niet aan de kleine stukjes data die websites gebruiken om hen te volgen. Wanneer ze een rood waarschuwingsbord zagen, begrepen ze dit als "gevaarlijk" omdat rood de kleur is van stopborden en gevaar in de echte wereld. Deze strategie van het gebruik van bekende ankers hielp hen bij het navigeren door het onbekende, maar leidde soms tot fouten. Een deelnemer kon denken dat een toestemmingsverzoek over het delen van een locatie met een vriend ging, in plaats van over een bedrijf dat hun bewegingen bijhoudt, omdat de taal hen deed denken aan een sociale interactie die zij kenden. De onderzoekers ontdekten dat het simpelweg vereenvoudigen van de taal niet genoeg was; de betekenis van een woord veranderde afhankelijk van waar het verscheen en wat de persoon op dat moment aan het doen was.

Onzekerheid was een krachtige factor in hoe deze deelnemers reageerden. Wanneer ze niet wisten wat er zou gebeuren als ze op een knop klikten, aarzelden ze vaak, vermeden ze het scherm of zochten ze hulp bij iemand anders. Eén deelnemer pauzeerde zeven seconden voordat hij nerveus vroeg of hij mocht doorgaan met een beveiligingscontrole. Een ander liet een waarschuwing voor een gevaarlijke download verdwijnen zonder erop te klikken omdat hij bang was dat het klikken op de waarschuwing zelf gevaarlijk zou zijn. Deze aarzeling was niet alleen een gebrek aan zelfvertrouwen; het was een rationele reactie op een systeem dat de gevolgen van een actie niet duidelijk uitlegt. Wanneer de uitkomst onduidelijk was, was de veiligste keuze voor velen om niets te doen of om een vertrouwd persoon om hulp te vragen. Dit gedrag onderstreepte een belangrijke bevinding: deze volwassenen nemen beveiligingsbeslissingen vaak interafhankelijk, waarbij ze vertrouwen op familieleden of verzorgers om hun keuzes te bevestigen. Ze streven niet altijd naar onafhankelijkheid in de traditionele zin; ze zoeken naar ondersteuning.

Op basis van deze observaties stelden de onderzoekers drie manieren voor om beveiligingsmeldingen beter te maken voor iedereen, maar vooral voor degenen met cognitieve verschillen. Ten eerste moeten ontwerpers verder gaan dan alleen het gebruik van eenvoudige woorden. Ze moeten ervoor zorgen dat de betekenis van een bericht duidelijk blijft, ongeacht de taak die de gebruiker aan het uitvoeren is. Als een melding om toestemming vraagt, moet deze duidelijk vermelden wat er wordt gedeeld en met wie, zonder dat de gebruiker moet gissen op basis van de omliggende schermen. Ten tweede moet de verbinding tussen een actie en het resultaat transparant zijn. In plaats van alleen te zeggen "Beveilig uw account", zou een melding kort kunnen laten zien wat er daarna zal gebeuren, zoals "Klikken op dit onderdeel zal een code naar uw telefoon sturen." Dit helpt de gebruiker te weten wat hij kan verwachten voordat hij een keuze maakt. Ten slotte moeten systemen zo worden ontworpen dat ze interafhankelijke besluitvorming mogelijk maken. Dit betekent het creëren van interfaces die het gemakkelijk en veilig maken voor een gebruiker om te pauzeren, om hulp te vragen of een vertrouwd persoon erbij te halen zonder het gevoel te hebben dat hij gefaald heeft. Een melding zou expliciet kunnen vermelden dat het oké is om even afstand te nemen en iemand om advies te vragen, wat de druk wegneemt om direct te beslissen.

De studie omvatte een kleine groep van zeven mensen, dus de bevindingen suggereren patronen in plaats van regels te bewijzen voor elke persoon met een beperking. De diepgang van de interactie bood echter een duidelijk beeld van waar de huidige systemen tekortschieten. De onderzoekers vonden dat wanneer beveiligingsprompts worden ontworpen zonder rekening te houden met hoe mensen op dat moment echt denken en handelen, ze barrières creëren die gevaarlijk kunnen zijn. Door deze digitale poorten duidelijker, transparanter en opener voor ondersteuning te maken, kan technologie veiliger en inclusiever worden voor de miljoenen volwassenen met een intellectuele en ontwikkelingsstoornis die er elke dag op vertrouwen. Het doel is niet om de noodzaak van beveiliging weg te nemen, maar om ervoor te zorgen dat de mensen die de meeste bescherming nodig hebben, niet worden achtergelaten door de systemen die juist bedoeld zijn om hen te beschermen.