Human Vulnerability Assessment in Cybersecurity: A Systematic Literature Review of Methods, Models, and Instruments

Resumo Técnico: Avaliação de Vulnerabilidade Humana em Cibersegurança: Uma Revisão Sistemática da Literatura sobre Métodos, Modelos e Instrumentos

Declaração do Problema
As avaliações tradicionais de vulnerabilidade em cibersegurança focaram predominantemente em ativos digitais e infraestruturas técnicas, negligenciando frequentemente o fator humano. No entanto, operadores humanos são cada vez mais visados por adversários cibernéticos tanto por meio de erros não intencionais quanto de atividades maliciosas intencionais (ameaças internas). As abordagens atuais para avaliar a vulnerabilidade humana estão fragmentadas, confiando frequentemente em avaliações estáticas e pontuais de construtos específicos (por exemplo, conscientização ou comportamentos específicos) em vez de exames dinâmicos e holísticos. Além disso, a literatura existente carece de um quadro unificado para avaliar o espectro completo de vulnerabilidades humanas — abrangendo dimensões psicológicas, cognitivas, comportamentais e contextuais — e não aborda adequadamente como essas vulnerabilidades se propagam entre indivíduos e sistemas.

Metodologia
Este estudo emprega uma Revisão Sistemática da Literatura (RSL) seguindo o quadro PRISMA para analisar abordagens de Avaliação de Vulnerabilidade Humana (AVH) publicadas entre 2017 e 2025.

• Fontes de Dados: Uma busca cruzada foi realizada no IEEE Xplore, ACM Digital Library, ScienceDirect, SpringerLink, Scopus e Google Scholar.
• Estratégia de Busca: A consulta combinou termos relacionados a cibersegurança, vulnerabilidades/fatores humanos e métodos/modelos/instrumentos de avaliação, excluindo treinamentos gerais ou estudos de caso.
• Critérios de Seleção: De um conjunto inicial de 4.036 estudos, 52 artigos foram selecionados para inclusão com base em critérios rigorosos de elegibilidade (revisão por pares, texto completo disponível, idioma inglês e proposição de um método, modelo ou instrumento específico para AVH). Dois estudos seminais adicionais de 2014 e 2015 foram incluídos como "menções honrosas" devido ao seu alto impacto de citações.
• Quadro Analítico: Para estruturar a análise, os autores desenvolveram uma Taxonomia de Fator Humano em Cibersegurança. Esta taxonomia categoriza fatores humanos em:
  • Quatro Domínios de Vulnerabilidade: Fatores Psicológicos (por exemplo, personalidade, emoções), Fatores Cognitivos (por exemplo, vieses, interação com IA), Fatores Comportamentais (por exemplo, busca de risco, hábitos online) e Fatores de Estado de Desempenho Humano (por exemplo, alerta, multitarefa).
  • Quatro Grupos Moderadores: Demografia, Treinamento em Cibersegurança, Experiência com Incidentes Cibernéticos e Contexto Sociocultural e Ambiental.
  • Relevância da Ameaça: Classificação dos estudos com base em se abordam ameaças Não Intencionais (U), Intencionais (I) ou ambas (U/I).
  • Dimensões Adicionais: Abordagens de avaliação (por exemplo, autorrelato, monitoramento comportamental, híbrido), propagação de vulnerabilidade (intra-individual, inter-individual, sistêmica) e tipo de modelagem (estática, semi-dinâmica, dinâmica).

Principais Contribuições

1. Taxonomia Estruturada: O artigo introduz uma taxonomia nova e fundamentada na literatura, especificamente projetada para mapear e classificar métodos, modelos e instrumentos de AVH em todo o espectro de fatores humanos e moderadores contextuais.
2. Síntese Abrangente: Oferece uma visão holística de 54 estudos, sintetizando métodos, modelos e instrumentos para avaliar o estado atual da AVH em cibersegurança.
3. Identificação de Lacunas: A revisão identifica sistematicamente lacunas conceituais e metodológicas, particularmente regarding a integração de modelagem dinâmica, propagação de vulnerabilidade e a avaliação simultânea de ameaças não intencionais e intencionais.
4. Interação Humano-IA: A taxonomia incorpora explicitamente a "Interação Cognitiva Humano-IA" (por exemplo, viés de automação, excesso de confiança na IA) como um fator de vulnerabilidade crítico e emergente, frequentemente ausente em classificações anteriores.

Resultados

• Dominância de Fatores Comportamentais e Cognitivos: As abordagens atuais de AVH priorizam fortemente fatores comportamentais observáveis (especificamente "Comportamento de Risco de Segurança") e fatores cognitivos (por exemplo, "Conscientização em Cibersegurança"). Fatores psicológicos (por exemplo, ética, estabilidade mental) e fatores de estado de desempenho (por exemplo, interrupções, multitarefa) estão significativamente sub-representados.
• Modelagem Estática vs. Dinâmica: Embora haja uma tendência em direção à modelagem dinâmica (usando aprendizado de máquina e monitoramento contínuo), muitos estudos ainda dependem de avaliações estáticas baseadas em instantâneos. Abordagens dinâmicas raramente são combinadas com mecanismos de propagação de vulnerabilidade.
• Desequilíbrio na Relevância da Ameaça: A maioria dos estudos (62%) foca exclusivamente em ameaças não intencionais. Apenas 8% das soluções revisadas abordam simultaneamente ameaças não intencionais e intencionais, indicando uma fragmentação na forma como erros acidentais e atos maliciosos deliberados são avaliados.
• Abordagens de Avaliação: Métodos híbridos (combinando monitoramento comportamental com pesquisas ou experimentos) são a abordagem mais comum (11 estudos), seguidos por pesquisas de autorrelato (10 estudos). Abordagens puramente experimentais ou gamificadas permanecem raras.
• Razão de Holismo: Mesmo o estudo mais abrangente revisado alcançou uma "razão de holismo" de apenas ~56,5%, cobrindo ligeiramente mais da metade das variáveis potenciais definidas na taxonomia proposta. A maioria das abordagens é estruturalmente multidomínio, mas funcionalmente centrada no comportamento.
• Variáveis Moderadoras: Embora indicadores demográficos (idade, gênero, ocupação) e treinamento de conscientização sejam frequentemente considerados, indicadores complexos de contexto sociocultural e ambiental (por exemplo, estabilidade econômica, status legal, dinâmicas intergrupais) permanecem amplamente pouco explorados.

Significado e Alegações
Os autores afirmam que esta revisão destaca a necessidade crítica de migrar de avaliações isoladas, estáticas e focadas no comportamento para quadros holísticos, dinâmicos e conscientes da propagação. O estudo argumenta que as metodologias atuais falham em capturar a natureza evolutiva da vulnerabilidade humana, particularmente a interação entre traços individuais, condições contextuais e a disseminação da vulnerabilidade dentro de sistemas sociotécnicos.

O artigo posiciona modestamente sua taxonomia proposta como um quadro analítico preliminar projetado para apoiar a RSL e orientar pesquisas futuras, em vez de um instrumento de medição finalizado e validado. Enfatiza que trabalhos futuros devem abordar a integração de fundamentação psicológica, raciocínio contextual e monitoramento contínuo, ao mesmo tempo em que navegam pelos desafios éticos e de privacidade associados à avaliação da vulnerabilidade humana. O objetivo final identificado é o desenvolvimento de um ecossistema de AVH que modele a vulnerabilidade não apenas como um resultado observável, mas como um processo humano e sociotécnico em evolução.