Bruce Schneier: The security mirage

Bruce Schneier: El espejismo de la seguridad

Traductor: Carlo Dezerega Revisor: Veronica Vera

La seguridad es dos cosas diferentes:

So, security is two different things:

es una sensación, y es una realidad.

it's a feeling, and it's a reality.

Y son diferentes.

And they're different.

Podrían sentirse seguros

You could feel secure even if you're not.

aun cuando no lo estén.

And you can be secure

Y pueden estar seguros

even if you don't feel it.

aun cuando no se sientan seguros.

Really, we have two separate concepts

En realidad, tenemos dos conceptos distintos

mapped onto the same word.

asignados a la misma palabra.

And what I want to do in this talk is to split them apart --

Y lo que quiero hacer en esta charla

es separar el uno del otro

figuring out when they diverge and how they converge.

y darnos cuenta de cuándo divergen

y de cómo convergen.

And language is actually a problem here.

Y en realidad el lenguaje es un problema para esto.

No hay muchas palabras útiles

There aren't a lot of good words

para los conceptos que vamos a describir.

for the concepts we're going to talk about.

Así que si miran la seguridad

So if you look at security from economic terms,

del punto de vista económico,

se trata de intercambiar una cosa por otra.

it's a trade-off.

Cada vez que obtienen un poco de seguridad,

Every time you get some security, you're always trading off something.

siempre están intercambiándola por otra cosa.

Sea esta es una decisión personal

Whether this is a personal decision --

-si van a instalar una alarma antirrobo en su hogar-

whether you're going to install a burglar alarm in your home --

o una decisión nacional -si van a invadir otro país-

or a national decision,

where you're going to invade a foreign country --

van a sacrificar algo,

you're going to trade off something: money or time, convenience, capabilities,

ya sea dinero o tiempo, comodidad, capacidad,

quizás libertades fundamentales.

maybe fundamental liberties.

And the question to ask when you look at a security anything

Y lo que deben preguntarse cuando miran algo de seguridad

is not whether this makes us safer,

no es si esto nos hace más seguros,

sino que si vale la pena el sacrificio.

but whether it's worth the trade-off.

You've heard in the past several years, the world is safer

Han escuchado durante los últimos años que

el mundo es más seguro porque Saddam Hussein no gobierna Irak.

because Saddam Hussein is not in power.

Eso puede ser cierto, pero no es terriblemente relevante.

That might be true, but it's not terribly relevant.

La pregunta es: ¿Valió la pena?

The question is: Was it worth it?

Y pueden tomar su propia decisión

And you can make your own decision,

and then you'll decide whether the invasion was worth it.

y con eso decidir si la invasión valió la pena.

Así se piensa acerca de la seguridad;

That's how you think about security: in terms of the trade-off.

en términos de decidirse por algo en desmedro de otra cosa.

Now, there's often no right or wrong here.

A menudo no hay buenas o malas decisiones en esto.

Algunos de nosotros tenemos alarmas antirrobo en la casa

Some of us have a burglar alarm system at home and some of us don't.

y otros no lo tenemos.

And it'll depend on where we live,

Y dependerá de donde vivimos,

si es que vivimos solos o tenemos familia,

whether we live alone or have a family,

la cantidad de cosas preciadas que tengamos,

how much cool stuff we have,

how much we're willing to accept the risk of theft.

cuánto riesgo de robo

estemos dispuestos a aceptar.

In politics also, there are different opinions.

En la política también

hay diferentes opiniones.

A lot of times, these trade-offs are about more than just security,

Muchas veces, estos sacrificios

son sobre más que sólo seguridad,

and I think that's really important.

y creo que eso es muy importante.

Now, people have a natural intuition about these trade-offs.

Ahora, la gente tiene una intuición natural

sobre estos sacrificios.

We make them every day.

Los hacemos todos los días;

Last night in my hotel room, when I decided to double-lock the door,

anoche en mi habitación de hotel,

cuando decidí cerrar la puerta con doble llave,

or you in your car when you drove here;

o cuando ustedes conducían para acá en su automóvil,

cuando vamos a almorzar

when we go eat lunch

and decide the food's not poison and we'll eat it.

y decidimos que la comida no tiene veneno y la comemos.

We make these trade-offs again and again,

Tomamos estas decisiones una y otra vez

muchas veces al día.

multiple times a day.

A menudo ni siquiera nos damos cuenta.

We often won't even notice them.

They're just part of being alive; we all do it.

Son parte de estar vivo, todos lo hacemos.

Todas las especies lo hacen.

Every species does it.

Imagine a rabbit in a field, eating grass.

Imaginen un conejo en un campo, comiendo pasto,

y el conejo repentinamente ve un zorro.

And the rabbit sees a fox.

That rabbit will make a security trade-off:

Ese conejo tomará una decisión para su seguridad:

"Should I stay, or should I flee?"

"¿Debo quedarme o debo huir?"

Y si lo piensan,

And if you think about it,

los conejos que toman la decisión apropiada

the rabbits that are good at making that trade-off

will tend to live and reproduce,

tienden a vivir y reproducirse,

and the rabbits that are bad at it

y los conejos que no lo hacen bien

will get eaten or starve.

son comidos o se mueren de hambre.

So you'd think

Así que uno pensaría

que nosotros, como una especie exitosa en el planeta

that us, as a successful species on the planet -- you, me, everybody --

-ustedes, yo, todos nosotros-

would be really good at making these trade-offs.

seríamos muy buenos para elegir una cosa en vez de otra.

Y sin embargo observamos que, una y otra vez,

Yet it seems, again and again, that we're hopelessly bad at it.

somos irremediablemente malos para esto.

And I think that's a fundamentally interesting question.

Y creo que eso es una pregunta fundamentalmente interesante.

I'll give you the short answer.

Les daré la respuesta corta.

The answer is, we respond to the feeling of security

La respuesta es que respondemos a la sensación de seguridad

y no a la realidad.

and not the reality.

Now, most of the time, that works.

Ahora, la mayoría de las veces, eso funciona.

Most of the time,

La mayor parte del tiempo

feeling and reality are the same.

la sensación y la realidad son iguales.

Certainly that's true for most of human prehistory.

Sin duda eso es cierto

para casi toda la prehistoria humana.

We've developed this ability

Hemos desarrollado esta habilidad

because it makes evolutionary sense.

porque obedece la lógica evolutiva.

Una manera de pensarlo

One way to think of it is that we're highly optimized

es que estamos altamente optimizados

para tomar decisiones sobre riesgos endémicos

for risk decisions

a los que viven en pequeños grupos familiares

that are endemic to living in small family groups

in the East African Highlands in 100,000 BC.

en las tierras altas de África oriental 100 mil años a. C.,

2010 New York, not so much.

y no tanto para Nueva York el 2010.

Now, there are several biases in risk perception.

Ahora bien, hay varios sesgos en la percepción del riesgo.

Hay muchos experimentos buenos sobre esto.

A lot of good experiments in this.

And you can see certain biases that come up again and again.

Y pueden ver ciertos sesgos que surgen una y otra vez.

Y les voy a dar cuatro.

I'll give you four.

We tend to exaggerate spectacular and rare risks

Tendemos a exagerar los riesgos espectaculares e inusuales

y minimizar los riesgos comunes;

and downplay common risks --

por eso la diferencia entre volar y manejar.

so, flying versus driving.

The unknown is perceived to be riskier than the familiar.

Lo desconocido es percibido

como más riesgoso que lo familiar.

Un ejemplo sería que

One example would be:

people fear kidnapping by strangers,

la gente teme ser secuestrada por desconocidos

when the data supports that kidnapping by relatives is much more common.

y los datos muestran que ser secuestrado por familiares es mucho más común.

Esto se aplica para niños.

This is for children.

Third, personified risks are perceived to be greater

En tercer lugar, los riesgos personificados

son percibidos como mayores que los riesgos anónimos;

than anonymous risks.

So, Bin Laden is scarier because he has a name.

por eso Bin Laden da más miedo porque tiene nombre.

Y el cuarto es que

And the fourth is:

people underestimate risks in situations they do control

la gente subestima los riesgos

en situaciones donde tienen el control

y los sobreestiman en situaciones que no controlan.

and overestimate them in situations they don't control.

So once you take up skydiving or smoking,

Así que cuando practicas paracaidismo o fumas

you downplay the risks.

minimizas los riesgos de estos.

Si te fuerzan a aceptar un riesgo -el terrorismo es un buen ejemplo-

If a risk is thrust upon you -- terrorism is a good example --

lo exagerarás, porque no sientes como si lo controlaras.

you'll overplay it,

because you don't feel like it's in your control.

There are a bunch of other of these cognitive biases,

Hay un montón de sesgos más, de estos sesgos cognitivos,

that affect our risk decisions.

que afectan nuestras decisiones sobre riesgos.

There's the availability heuristic,

Está la heurística de disponibilidad,

que significa básicamente

which basically means we estimate the probability of something

que estimamos la probabilidad de cualquier cosa

by how easy it is to bring instances of it to mind.

por lo fácil que es pensar en instancias de esto.

So you can imagine how that works.

Y se pueden imaginar cómo funciona eso.

If you hear a lot about tiger attacks, there must be a lot of tigers around.

Si escuchas mucho sobre ataques de tigre deben haber muchos tigres alrededor.

No escuchas hablar de ataques de león así que no hay muchos leones alrededor.

You don't hear about lion attacks, there aren't a lot of lions around.

Esto funciona hasta que inventas los periódicos.

This works, until you invent newspapers,

because what newspapers do is repeat again and again

Porque lo que los periódicos hacen

es repetir una y otra vez

los riesgos inusuales.

rare risks.

I tell people: if it's in the news, don't worry about it,

Le digo a la gente: "si está en las noticias, no te preocupes por eso".

Porque, por definición,

because by definition, news is something that almost never happens.

las noticias son algo que casi nunca sucede.

(Risas)

(Laughter)

When something is so common, it's no longer news.

Cuando algo es tan común que deja de ser noticia

Car crashes, domestic violence --

(accidentes automovilísticos, violencia familiar);

those are the risks you worry about.

esos son los riesgos que hay que tener presentes.

We're also a species of storytellers.

También somos una especie que contamos historias.

We respond to stories more than data.

Respondemos ante las historias más que a los datos.

And there's some basic innumeracy going on.

Y tenemos algo de incapacidad aritmética básica.

I mean, the joke "One, two, three, many" is kind of right.

Es decir, el chiste de "Uno, dos, tres, muchos" no se equivoca mucho.

Somos muy buenos para los números pequeños.

We're really good at small numbers.

One mango, two mangoes, three mangoes,

Un mango, dos mangos, tres mangos;

10,000 mangoes, 100,000 mangoes --

diez mil mangos, cien mil mangos:

it's still more mangoes you can eat before they rot.

son más mangos de los que puedas comer antes que se pudran.

So one half, one quarter, one fifth -- we're good at that.

Así que la mitad, un cuarto, un quinto; somos buenos para eso.

Uno en un millón, uno en un billón;

One in a million, one in a billion --

los dos son casi nunca.

they're both almost never.

So we have trouble with the risks that aren't very common.

Así que tenemos problemas con los riesgos

que no son muy frecuentes.

And what these cognitive biases do

Y lo que estos sesgos cognitivos hacen

is they act as filters between us and reality.

es que actúan como filtros entre nosotros y la realidad.

Y el resultado es que

And the result is that feeling and reality get out of whack,

la sensación y la realidad se desequilibran,

se tornan diferentes.

they get different.

Now, you either have a feeling -- you feel more secure than you are,

Así que puedes tener la sensación; sentirte más seguro de lo que estás.

Hay una sensación irreal de seguridad.

there's a false sense of security.

O al contrario,

Or the other way, and that's a false sense of insecurity.

y esa es una sensación irreal de inseguridad.

Escribo mucho sobre "teatro de seguridad",

I write a lot about "security theater,"

which are products that make people feel secure,

que son productos que hacen que la gente se sienta segura

but don't actually do anything.

pero que en realidad no hacen nada.

There's no real word for stuff that makes us secure,

No hay una palabra apropiada para cosas que nos den seguridad,

pero que no nos hagan sentir seguros.

but doesn't make us feel secure.

Quizás esto es lo que se supone que la CIA debería lograr.

Maybe it's what the CIA is supposed to do for us.

So back to economics.

Y volvamos a la economía.

If economics, if the market, drives security,

Si la economía, si el mercado, son lo que impulsan a la seguridad

and if people make trade-offs based on the feeling of security,

y si la gente hace concesiones

basadas en su sensación de seguridad,

then the smart thing for companies to do for the economic incentives

entonces lo más inteligente que las empresas pueden hacer

por sus propios incentivos económicos

is to make people feel secure.

es lograr la gente se sienta segura.

And there are two ways to do this.

Y hay dos maneras de hacer esto.

One, you can make people actually secure

Uno, pueden hacer que la gente realmente esté segura

y esperar que se den cuenta.

and hope they notice.

Or two, you can make people just feel secure

O dos, pueden hacer que la gente se sienta segura

and hope they don't notice.

y esperar que no se den cuenta.

Right?

So what makes people notice?

Entonces, ¿qué hace que la gente se dé cuenta?

Bueno, un par de cosas:

Well, a couple of things:

understanding of the security,

entender qué es la seguridad,

los riesgos, las amenazas,

of the risks, the threats,

las medidas previas, cómo funcionan.

the countermeasures, how they work.

But if you know stuff, you're more likely

Pero si sabes esas cosas,

es más probable que tus sensaciones calcen con la realidad.

to have your feelings match reality.

Ayuda tener suficientes ejemplos del mundo real.

Enough real-world examples helps.

Ahora todos sabemos la tasa de crímenes en nuestro vecindario,

We all know the crime rate in our neighborhood,

because we live there, and we get a feeling about it

porque vivimos allí y tenemos una sensación al respecto

that basically matches reality.

que esencialmente calza con la realidad.

El teatro de seguridad queda expuesto

Security theater is exposed

when it's obvious that it's not working properly.

cuando es obvio que no está funcionando correctamente.

Y entonces, ¿qué hace que la gente no se dé cuenta?

OK. So what makes people not notice?

Well, a poor understanding.

Bueno, una mala comprensión.

If you don't understand the risks, you don't understand the costs,

Si no entiendes los riesgos, no entiendes los costos,

you're likely to get the trade-off wrong,

es probable que tomes una mala decisión,

and your feeling doesn't match reality.

y que tu sensación no corresponda con la realidad.

Not enough examples.

Ejemplos insuficientes:

There's an inherent problem with low-probability events.

Hay un problema intrínseco

con eventos de baja probabilidad.

If, for example, terrorism almost never happens,

Si, por ejemplo, casi nunca hay

actos terroristas,

it's really hard to judge the efficacy of counter-terrorist measures.

es muy difícil medir cuan eficientes

son las medidas en la lucha contra el terrorismo.

This is why you keep sacrificing virgins,

Por eso sigues sacrificando vírgenes,

y la razón que tus defensas de unicornio estén funcionando de maravilla.

and why your unicorn defenses are working just great.

There aren't enough examples of failures.

No hay suficientes ejemplos de fracasos.

Además, las sensaciones que nublan los temas;

Also, feelings that cloud the issues --

the cognitive biases I talked about earlier: fears, folk beliefs --

los sesgos cognitivos que mencioné antes,

los miedos, las creencias populares,

basically, an inadequate model of reality.

son básicamente un modelo inadecuado de la realidad.

Y déjenme complicar las cosas.

So let me complicate things.

I have feeling and reality.

Está la sensación y la realidad.

I want to add a third element. I want to add "model."

Quiero añadir un tercer elemento. Quiero añadir el modelo.

Feeling and model are in our head,

Sensación y modelo dentro de nuestra cabeza,

la realidad es el mundo exterior.

reality is the outside world; it doesn't change, it's real.

No cambia, es real.

Feeling is based on our intuition,

Y la sensación se basa en la intuición.

El modelamiento se basa en la razón.

model is based on reason.

Eso es básicamente la diferencia.

That's basically the difference.

In a primitive and simple world,

En un mundo primitivo y simple,

there's really no reason for a model,

no hay ninguna razón real para un modelo.

Porque la sensación es muy similar a la realidad.

because feeling is close to reality.

You don't need a model.

No necesitas un modelo.

But in a modern and complex world,

Pero en un mundo moderno y complejo,

necesitas modelos para

you need models to understand a lot of the risks we face.

comprender muchos de los riesgos que enfrentamos.

There's no feeling about germs.

Los gérmenes no nos generan una sensación.

Se necesita un modelo para entenderlos.

You need a model to understand them.

Así que este modelo es una

This model is an intelligent representation of reality.

representación inteligente de la realidad.

It's, of course, limited by science, by technology.

Está, por supuesto, limitado por la ciencia,

por la tecnología.

No podríamos tener una teoría de los gérmenes en enfermedades

We couldn't have a germ theory of disease

before we invented the microscope to see them.

antes de que inventáramos el microscopio para verlos.

It's limited by our cognitive biases.

Está limitado por nuestros prejuicios cognitivos.

Pero tiene la capacidad de

But it has the ability to override our feelings.

imponerse por sobre nuestras sensaciones.

Where do we get these models? We get them from others.

¿De dónde obtenemos estos modelos? De los demás.

We get them from religion, from culture, teachers, elders.

Los obtenemos de la religión, de la cultura,

de los profesores, de los mayores.

Hace un par de años

A couple years ago, I was in South Africa on safari.

estaba de safari en Sudáfrica.

The tracker I was with grew up in Kruger National Park.

El guía con que estaba había crecido en el Parque Nacional Kruger.

He had some very complex models of how to survive.

Tenía unos modelos de supervivencia muy complejos.

And it depended on if you were attacked by a lion, leopard, rhino, or elephant --

Y dependía de si habías sido atacado

por un león o un leopardo o un rinoceronte o un elefante

and when you had to run away, when you couldn't run away,

-y cuando tenías que huir, y cuando tenías que subirte a un árbol,

when you had to climb a tree, when you could never climb a tree.

cuando no podías en ningún caso subirte a un árbol-.

Me habría muerto en un día

I would have died in a day.

pero él nació allí

But he was born there, and he understood how to survive.

y entendía cómo sobrevivir.

Yo nací en Nueva York.

I was born in New York City.

Lo podría haber llevado a Nueva York y él se habría muerto en un día.

I could have taken him to New York, and he would have died in a day.

(Risas)

(Laughter)

Because we had different models based on our different experiences.

Porque teníamos modelos diferentes

basados en nuestras experiencias diferentes.

Models can come from the media,

Los modelos pueden provenir de los medios,

from our elected officials ...

de nuestros políticos electos.

Think of models of terrorism,

Piensen en los modelos de terrorismo,

child kidnapping,

de secuestro infantil,

airline safety, car safety.

de seguridad aérea, seguridad de los vehículos.

Models can come from industry.

Los modelos pueden provenir de la industria.

The two I'm following are surveillance cameras,

Los dos que estoy siguiendo son las cámaras de vigilancia

y las tarjetas de identificación,

ID cards,

muchos de nuestros modelos de seguridad informática vienen de esto.

quite a lot of our computer security models come from there.

Muchos de los modelos provienen de la ciencia.

A lot of models come from science.

Health models are a great example.

Un muy buen ejemplo son los modelos de salud.

Think of cancer, bird flu, swine flu, SARS.

Piensen en cáncer, en gripe aviar, en gripe porcina, en SARS.

All of our feelings of security about those diseases

Todas nuestras sensaciones de seguridad

acerca de esas enfermedades

come from models given to us, really, by science filtered through the media.

provienen, en realidad, de los modelos

entregados a nosotros por la ciencia filtrada a través de los medios.

Y los modelos pueden cambiar.

So models can change.

Models are not static.

Los modelos no son estáticos.

As we become more comfortable in our environments,

A medida que nos sentimos más cómodos en nuestros ambientes,

our model can move closer to our feelings.

nuestro modelo se va acercando a nuestra sensación.

So an example might be,

Así que un ejemplo podría ser,

si nos remontamos 100 años atrás

if you go back 100 years ago,

when electricity was first becoming common,

cuando la electricidad se tornaba cada vez más común,

había un montón de temores con respecto a esta.

there were a lot of fears about it.

Quiero decir, había personas que tenían miedo de presionar un timbre

There were people who were afraid to push doorbells,

ya que había electricidad dentro de él y eso era peligroso.

because there was electricity in there, and that was dangerous.

Para nosotros no hay problemas cerca de la electricidad.

For us, we're very facile around electricity.

Cambiamos las ampolletas

We change light bulbs without even thinking about it.

sin siquiera pensar en ello.

Our model of security around electricity is something we were born into.

Nuestro modelo de seguridad con respecto a la electricidad

es algo con lo cual nacemos.

It hasn't changed as we were growing up.

No ha cambiado mientras hemos ido creciendo.

And we're good at it.

Y somos buenos para manejarlo.

Or think of the risks on the Internet across generations --

O piensen en los riesgos

con respecto a Internet entre generaciones;

how your parents approach Internet security,

cómo sus padres determinan la seguridad en Internet

frente a cómo lo hacen ustedes

versus how you do,

versus how our kids will.

frente a cómo lo harán nuestros hijos.

Models eventually fade into the background.

Con el tiempo los modelos se van al inconsciente.

"Intuitive" is just another word for familiar.

Intuitivo es sólo otra palabra para familiar.

So as your model is close to reality and it converges with feelings,

Así que cuando el modelo se acerca a la realidad

y converge con las sensaciones,

you often don't even know it's there.

a menudo no te das cuenta que está ahí.

Y un buen ejemplo de esto

A nice example of this came from last year and swine flu.

apareció el año pasado con la gripe porcina.

Cuando la gripe porcina apareció por primera vez

When swine flu first appeared,

la noticia inicial causó una reacción muy exagerada.

the initial news caused a lot of overreaction.

Now, it had a name,

Ahora tenía un nombre,

which made it scarier than the regular flu,

lo que la hacía más atemorizante que la gripe común,

even though it was more deadly.

a pesar de que era más letal.

And people thought doctors should be able to deal with it.

Y la gente pensó que los médicos debían ser capaces de manejarla.

So there was that feeling of lack of control.

Así que estaba esa sensación de falta de control.

Y esas dos cosas

And those two things made the risk more than it was.

hacían que el riesgo pareciera más de lo que era.

As the novelty wore off and the months went by,

Mientras fue desapareciendo la novedad y pasando los meses,

there was some amount of tolerance; people got used to it.

hubo una cantidad de tolerancia,

la gente se acostumbró.

There was no new data, but there was less fear.

No hubo datos nuevos, pero había menos temor.

By autumn,

Para la llegada del otoño,

people thought the doctors should have solved this already.

la gente pensaba

que los médicos ya deberían haberlo resuelto.

And there's kind of a bifurcation:

Y hay una especie de bifurcación;

people had to choose between fear and acceptance --

la gente tuvo que elegir

entre el miedo y la aceptación

-en realidad entre el miedo y la indiferencia-

actually, fear and indifference --

y como que en realidad quedaron sospechosos.

and they kind of chose suspicion.

Y cuando el invierno pasado apareció la vacuna

And when the vaccine appeared last winter,

hubo una gran cantidad de personas -un número sorprendente-

there were a lot of people -- a surprising number --

who refused to get it.

que se negó a ponérsela;

And it's a nice example of how people's feelings of security change,

un buen ejemplo de

cómo cambian las sensaciones de seguridad, cómo cambian sus modelos,

how their model changes,

un poco descontrolados

sort of wildly,

with no new information, with no new input.

sin nueva información,

sin nuevos inputs.

Este tipo de cosas sucede frecuentemente.

This kind of thing happens a lot.

Les voy a dar una complicación más.

I'm going to give one more complication.

We have feeling, model, reality.

Tenemos la sensación, el modelo, la realidad.

I have a very relativistic view of security.

Tengo una visión muy relativista de la seguridad.

Creo que depende del observador.

I think it depends on the observer.

And most security decisions have a variety of people involved.

Y la mayoría de las decisiones sobre seguridad

involucran a varias personas.

And stakeholders with specific trade-offs will try to influence the decision.

Y las partes interesadas,

cada una con beneficios y perdidas propias,

tratarán de influenciar la decisión.

And I call that their agenda.

Yo llamo a eso su agenda.

Y se pueden ver las agendas

And you see agenda -- this is marketing, this is politics --

-en el marketing, en la política-

trying to convince you to have one model versus another,

tratando de convencerlos de elegir un modelo en vez de otro,

trying to convince you to ignore a model

tratando de convencerlos de ignorar un modelo

and trust your feelings,

y de confiar en sus sensaciones,

marginalizing people with models you don't like.

dejando de lado a las personas con modelos que no les gustan.

This is not uncommon.

Esto es bastante frecuente.

An example, a great example, is the risk of smoking.

Un ejemplo, un gran ejemplo, es el riesgo de fumar.

Durante los últimos 50 años, el riesgo de fumar

In the history of the past 50 years,

the smoking risk shows how a model changes,

muestra cómo va cambiando un modelo

and it also shows how an industry fights against a model it doesn't like.

y también muestra cómo una industria pelea contra

un modelo que no le gusta.

Compare that to the secondhand smoke debate --

Comparen esto con el debate del humo de segunda mano;

el mismo caso probablemente 20 años antes.

probably about 20 years behind.

Think about seat belts.

Piensen acerca de los cinturones de seguridad.

When I was a kid, no one wore a seat belt.

Cuando yo era niño, nadie se ponía el cinturón de seguridad.

Nowadays, no kid will let you drive if you're not wearing a seat belt.

Hoy en día, ningún niño te permite manejar

si no lo llevas puesto.

Compare that to the airbag debate,

Comparen esto con el debate del airbag;

probablemente como 30 años atrasado.

probably about 30 years behind.

Todos son ejemplos de modelos que van cambiando.

All examples of models changing.

What we learn is that changing models is hard.

Lo que aprendemos es que cambiar los modelos es difícil.

Los modelos son difíciles de desalojar.

Models are hard to dislodge.

Si estos son iguales a sus sensaciones,

If they equal your feelings,

ni siquiera se darán cuenta que tienen un modelo.

you don't even know you have a model.

Y hay otro sesgo cognitivo que

And there's another cognitive bias

llamaré sesgo de confirmación,

I'll call confirmation bias,

donde tendemos a aceptar los datos

where we tend to accept data that confirms our beliefs

que confirman nuestras creencias

and reject data that contradicts our beliefs.

y rechazar los datos que las contradicen.

So evidence against our model, we're likely to ignore,

Y es probable que ignoremos

la evidencia en contra de nuestro modelo, incluso si es convincente.

even if it's compelling.

It has to get very compelling before we'll pay attention.

Debe ser súper convincente antes de que le prestemos atención.

New models that extend long periods of time are hard.

Aún más complejos son los nuevos modelos que se extenderán por mucho tiempo.

El calentamiento global es un gran ejemplo.

Global warming is a great example.

Somos terribles

We're terrible at models that span 80 years.

para modelos que abarcan 80 años.

We can do "to the next harvest."

Podemos modelar la próxima cosecha.

We can often do "until our kids grow up."

De repente podemos modelar hasta que nuestros hijos crezcan.

But "80 years," we're just not good at.

Pero simplemente no somos buenos para 80 años.

So it's a very hard model to accept.

Y entonces es un modelo muy difícil de aceptar.

We can have both models in our head simultaneously --

Podemos tener ambos modelos en nuestra cabeza al mismo tiempo,

that kind of problem where we're holding both beliefs together,

ese tipo de problema

donde tenemos ambas creencias al mismo tiempo;

la disonancia cognitiva.

the cognitive dissonance.

Con el tiempo,

Eventually, the new model will replace the old model.

el nuevo modelo reemplazará al antiguo.

Strong feelings can create a model.

Las sensaciones fuertes pueden crear un modelo.

September 11 created a security model in a lot of people's heads.

El 11 de septiembre creó un modelo de seguridad

en las mentes de mucha gente.

Also, personal experiences with crime can do it,

También se pueden crear a través de experiencias personales con crímenes,

a través de sustos de salud personales,

personal health scare,

a health scare in the news.

de problemas de salud en las noticias.

Verán estos eventos llamados "flash de luz"

You'll see these called "flashbulb events" by psychiatrists.

por los psiquiatras.

Pueden crear un modelo de forma instantánea,

They can create a model instantaneously,

because they're very emotive.

porque son muy emotivos.

So in the technological world,

Y en el mundo tecnológico

we don't have experience to judge models.

no tenemos experiencia

para elegir los modelos.

And we rely on others. We rely on proxies.

Y dependemos de otros. Dependemos de representantes.

Quiero decir, esto funciona mientras sea para corregir a otros.

And this works, as long as it's the correct others.

We rely on government agencies

Dependemos de los organismos gubernamentales para

to tell us what pharmaceuticals are safe.

que nos digan qué medicamentos son seguros.

I flew here yesterday.

Volé ayer para acá.

I didn't check the airplane.

No revisé el avión.

I relied on some other group

Confié en algún otro grupo

para determinar si mi avión era seguro para volar.

to determine whether my plane was safe to fly.

We're here, none of us fear the roof is going to collapse on us,

Estamos aquí, nadie teme que el techo se vaya a caer sobre nosotros,

no porque lo comprobamos,

not because we checked,

but because we're pretty sure the building codes here are good.

sino porque tenemos bastante confianza que

los códigos de construcción son buenos.

It's a model we just accept

Es un modelo que simplemente aceptamos

sólo por fe.

pretty much by faith.

Y eso está bien.

And that's OK.

Now, what we want is people to get familiar enough with better models,

Ahora, lo que queremos

es que la gente se familiarice lo suficiente

con modelos buenos

have it reflected in their feelings,

-y que se reflejen en lo que sienten-

para que puedan tomar buenas decisiones de seguridad.

to allow them to make security trade-offs.

Y entonces cuando estos se desalinean

When these go out of whack, you have two options.

se tienen dos opciones.

One, you can fix people's feelings, directly appeal to feelings.

Una es arreglar las sensaciones de la gente,

apelar directamente a las sensaciones y sentimientos.

Es manipulativo, pero puede funcionar.

It's manipulation, but it can work.

La segunda manera, que es más honesta,

The second, more honest way

es realmente solucionar el modelo.

is to actually fix the model.

Change happens slowly.

El cambio se produce lentamente.

The smoking debate took 40 years -- and that was an easy one.

El debate del cigarrillo tomó 40 años,

y ese era uno simple.

Algunos de estos son difíciles.

Some of this stuff is hard.

Quiero decir, sin embargo,

Really, though, information seems like our best hope.

que la información parece ser nuestra mejor esperanza.

Y les mentí.

And I lied.

Remember I said feeling, model, reality; reality doesn't change?

Recuerdan cuando dije lo de la sensación, el modelo, la realidad.

Dije que la realidad no cambia. Pero en verdad sí cambia.

It actually does.

Vivimos en un mundo tecnológico;

We live in a technological world;

reality changes all the time.

la realidad cambia todo el tiempo.

So we might have, for the first time in our species:

Así que podríamos tener -por primera vez para nuestra especie-

feeling chases model, model chases reality, reality's moving --

la sensación persiguiendo al modelo, el modelo persiguiendo la realidad,

la realidad va cambiando; y puede que jamás se vayan a alcanzar.

they might never catch up.

We don't know.

No lo sabemos.

Pero en el largo plazo,

But in the long term,

tanto la sensación como la realidad son importantes.

both feeling and reality are important.

And I want to close with two quick stories to illustrate this.

Y quiero cerrar con dos historias rápidas para ilustrar esto.

1982 -- I don't know if people will remember this --

En 1982 -no sé si la gente recordará esto-

hubo una epidemia de corta duración

there was a short epidemic of Tylenol poisonings

de envenenamientos con Tylenol en los Estados Unidos.

in the United States.

It's a horrific story.

Es una historia horrible. Alguien tomó una botella de Tylenol,

Someone took a bottle of Tylenol,

puso veneno en ella, la cerró y volvió a ponerla en el estante.

put poison in it, closed it up, put it back on the shelf,

Otra persona la compró y murió.

someone else bought it and died.

This terrified people.

Esto aterrorizó a todo el mundo.

There were a couple of copycat attacks.

Hubo un par de ataques que imitaron esto.

There wasn't any real risk, but people were scared.

No había riesgo real, pero la gente estaba asustada.

And this is how the tamper-proof drug industry was invented.

Y así es como

se inventó la industria farmacéutica a prueba de manipulaciones.

Those tamper-proof caps? That came from this.

Esas tapas difíciles de abrir surgieron de esto.

It's complete security theater.

Es totalmente teatro de seguridad.

As a homework assignment, think of 10 ways to get around it.

Como tarea para la casa piensen en 10 maneras de vulnerarlas.

Les daré una; una jeringa.

I'll give you one: a syringe.

But it made people feel better.

Sin embargo hizo que la gente se sintiera mejor.

It made their feeling of security more match the reality.

Hizo que su sensación de seguridad

se pareciera más a la realidad.

Última historia; hace unos años una amiga mía dio a luz.

Last story: a few years ago, a friend of mine gave birth.

La visité en el hospital.

I visit her in the hospital.

It turns out, when a baby's born now,

Resulta que ahora cuando un bebé nace

they put an RFID bracelet on the baby, a corresponding one on the mother,

le ponen al bebé una pulsera RFID,

le ponen una pulsera relacionada a la madre

so if anyone other than the mother takes the baby out of the maternity ward,

y si otra persona retira al bebé de la sala de maternidad

suena una alarma.

an alarm goes off.

Me dije: "Bueno, eso está bien bueno.

I said, "Well, that's kind of neat.

I wonder how rampant baby snatching is out of hospitals."

Me pregunto cuán comunes son los robos de bebé

desde los hospitales."

I go home, I look it up.

Me voy a casa y lo busco.

It basically never happens.

Básicamente no sucede jamás.

(Laughter)

Pero si lo piensas,

But if you think about it, if you are a hospital,

si eres un hospital

and you need to take a baby away from its mother,

y tienes que alejar al bebé de su madre,

out of the room to run some tests,

fuera de la pieza para tomar algunos exámenes,

you better have some good security theater,

mejor que tengas un buen teatro de seguridad

or she's going to rip your arm off.

o te va a arrancar el brazo entero.

(Laughter)

(Risas)

Así que es importante para nosotros,

So it's important for us,

those of us who design security,

aquellos de nosotros que diseñamos seguridad,

que observamos las políticas de seguridad,

who look at security policy --

or even look at public policy in ways that affect security.

o incluso miramos a las políticas públicas

y las maneras que estas afectan a la seguridad.

No es sólo la realidad, es sensación y la realidad.

It's not just reality; it's feeling and reality.

Lo que es importante

What's important

es que sean más o menos iguales.

is that they be about the same.

It's important that, if our feelings match reality,

Es importante que -si nuestras sensaciones calzan con la realidad-

tomemos mejores decisiones de seguridad.

we make better security trade-offs.

Gracias.

Thank you.

(Applause)

(Aplausos)