Bruce Schneier: The security mirage

מתרגם: Moshe Sayag מבקר: Sigal Tifferet

בטחון הוא שני דברים שונים:

So, security is two different things:

הוא תחושה, והוא מציאות.

it's a feeling, and it's a reality.

ואלו דברים שונים.

And they're different.

אתה יכול לחוש בטוח

You could feel secure even if you're not.

אפילו כשאתה לא.

And you can be secure

ואתה יכול להיות בטוח

even if you don't feel it.

אפילו בלי לחוש כך.

Really, we have two separate concepts

באמת, יש לנו שני מושגים שונים

mapped onto the same word.

שמתייחסים לאותה המילה.

And what I want to do in this talk is to split them apart --

ומה שאני רוצה לעשות בהרצאה זו

הוא להפריד ביניהם --

figuring out when they diverge and how they converge.

למצוא מתי הם נפרדים

ומתי הם מתלכדים.

And language is actually a problem here.

והשפה היא למעשה בעיה כאן.

אין הרבה מילים טובות

There aren't a lot of good words

עבור המושגים עליהם נדבר.

for the concepts we're going to talk about.

אז כשמסתכלים על בטחון

So if you look at security from economic terms,

מבחינה כלכלית,

יש פה פשרה.

it's a trade-off.

בכל פעם שמשיגים קצת בטחון,

Every time you get some security, you're always trading off something.

מתפשרים על משהו.

בין אם זו החלטה אישית --

Whether this is a personal decision --

אם מחליטים להתקין בבית אזעקה נגד פורצים --

whether you're going to install a burglar alarm in your home --

או החלטה לאומית -- כשמחליטים לפלוש לאיזו מדינה --

or a national decision,

where you're going to invade a foreign country --

צריך להתפשר על משהו,

you're going to trade off something: money or time, convenience, capabilities,

כסף או זמן, נוחות, יכולות,

ואולי חירויות יסוד.

maybe fundamental liberties.

And the question to ask when you look at a security anything

והשאלה שיש לשאול כשבוחנים אבטחה כלשהי

is not whether this makes us safer,

היא לא אם היא משפרת את הבטחון שלנו,

אלא אם היא שווה את הפשרה.

but whether it's worth the trade-off.

You've heard in the past several years, the world is safer

שמעתם במהלך השנים האחרונות,

שהעולם בטוח יותר כי סדאם חוסיין כבר לא בשלטון.

because Saddam Hussein is not in power.

זה עשוי להיות נכון, אבל זה לא ממש רלבנטי.

That might be true, but it's not terribly relevant.

השאלה היא, האם זה השתלם?

The question is: Was it worth it?

ואתם יכולים להחליט בעצמכם,

And you can make your own decision,

and then you'll decide whether the invasion was worth it.

אתם תחליטו האם הפלישה השתלמה.

כך אתם צריכים לחשוב על בטחון --

That's how you think about security: in terms of the trade-off.

במונחים של פשרה.

Now, there's often no right or wrong here.

לעתים אין "נכון" או "לא נכון".

לחלקנו יש בבית מערכת אזעקה,

Some of us have a burglar alarm system at home and some of us don't.

ולחלקנו לא.

And it'll depend on where we live,

וזה תלוי במקום בו אנו גרים,

האם אנחנו גרים לבד או שיש לנו משפחה,

whether we live alone or have a family,

בכמות הדברים היקרים שיש לנו,

how much cool stuff we have,

how much we're willing to accept the risk of theft.

עד כמה אנחנו מוכנים לקבל

את הסיכון שתהיה גניבה.

In politics also, there are different opinions.

גם בפוליטיקה,

יש דיעות שונות.

A lot of times, these trade-offs are about more than just security,

במקרים רבים, פשרות אלו

קשורות ביותר מאשר בטחון,

and I think that's really important.

ואני חושב שזה מאוד חשוב.

Now, people have a natural intuition about these trade-offs.

לאנשים יש אינטואיציה טבעית

לגבי פשרות אלו.

We make them every day.

אנו עושים אותן כל יום --

Last night in my hotel room, when I decided to double-lock the door,

אתמול בלילה, בחדרי במלון,

כשהחלטתי לנעול את הדלת נעילה כפולה,

or you in your car when you drove here;

או אתם במכונית, כשנהגתם הנה,

כשאנחנו הולכים לאכול ארוחת צהריים

when we go eat lunch

and decide the food's not poison and we'll eat it.

ומחליטים שהמזון אינו רעיל ואוכלים אותו.

We make these trade-offs again and again,

אנו מתפשרים כך שוב ושוב

פעמים רבות ביום.

multiple times a day.

לרוב אנו בכלל לא מבחינים בזאת.

We often won't even notice them.

They're just part of being alive; we all do it.

הן פשוט חלק מהחיים. כולנו עושים את זה.

כל המינים עושים את זה.

Every species does it.

Imagine a rabbit in a field, eating grass.

דמיינו ארנב שאוכל עשב בשדה,

והארנב רואה שועל.

And the rabbit sees a fox.

That rabbit will make a security trade-off:

הארנב יעשה פשרת-אבטחה:

"Should I stay, or should I flee?"

"האם עלי להישאר או לברוח?"

ואם חושבים על זה,

And if you think about it,

הארנבים שטובים בעשיית הפשרה הזו

the rabbits that are good at making that trade-off

will tend to live and reproduce,

יזכו לחיות ולהתרבות,

and the rabbits that are bad at it

והארנבים שישגו בבחירתם

will get eaten or starve.

ייטרפו או יגוועו ברעב.

So you'd think

הייתם חושבים

שאנחנו, כמין מצליח בכדור הארץ --

that us, as a successful species on the planet -- you, me, everybody --

אתם, אני, כולם --

would be really good at making these trade-offs.

נהיה ממש טובים בהתפשרויות האלה.

ובכל זאת נראה, פעם אחר פעם,

Yet it seems, again and again, that we're hopelessly bad at it.

שאנחנו גרועים בזה ללא תקנה.

And I think that's a fundamentally interesting question.

ואני חושב שזוהי שאלה מעניינת מיסודה.

I'll give you the short answer.

אתן לכם תשובה קצרה.

The answer is, we respond to the feeling of security

התשובה היא, שאנחנו מגיבים לתחושת הבטחון

ולא למציאות.

and not the reality.

Now, most of the time, that works.

לרוב, זה עובד.

Most of the time,

ברוב המקרים,

feeling and reality are the same.

התחושה והמציאות שווים.

Certainly that's true for most of human prehistory.

זה ללא ספק נכון

במשך רוב הפרהיסטוריה האנושית.

We've developed this ability

פיתחנו את היכולת הזו

because it makes evolutionary sense.

כי היא היתה הגיונית מבחינה אבולוציונית.

דרך אחת להסתכל על זה

One way to think of it is that we're highly optimized

היא שהגענו למיטוב גבוה מאוד

בהחלטות הנוגעות לסיכונים

for risk decisions

ששייכים לחיים בקבוצות משפחתיות קטנות

that are endemic to living in small family groups

in the East African Highlands in 100,000 BC.

ברמות של מזרח אפריקה, כ-100,000 שנה לפני הספירה --

2010 New York, not so much.

ולא כל כך בניו-יורק של 2010.

Now, there are several biases in risk perception.

קיימות הטיות מסויימות בקשר לתפישת סיכון.

נעשו מחקרים טובים רבים על כך,

A lot of good experiments in this.

And you can see certain biases that come up again and again.

וניתן לראות שהטיות מסויימות עולות שוב ושוב.

אתן לכם ארבע.

I'll give you four.

We tend to exaggerate spectacular and rare risks

אנו נוטים להגזים בנוגע לסיכונים מרשימים ונדירים

ולהמעיט בסיכונים נפוצים --

and downplay common risks --

כמו טיסה לעומת נהיגה.

so, flying versus driving.

The unknown is perceived to be riskier than the familiar.

הבלתי ידוע נתפש

כמסוכן יותר מאשר המוכּר.

דוגמה אחת תהיה:

One example would be:

people fear kidnapping by strangers,

אנשים חוששים מחטיפה ע"י זרים,

when the data supports that kidnapping by relatives is much more common.

כשהנתונים מראים שחטיפה ע"י קרובים נפוצה הרבה יותר.

זה בנוגע לילדים.

This is for children.

Third, personified risks are perceived to be greater

שלישית, סיכונים מזוהים

נתפשים כגדולים יותר מסיכונים אנונימיים --

than anonymous risks.

So, Bin Laden is scarier because he has a name.

אז בן-לאדן מפחיד יותר כי יש לו שם.

ורביעית,

And the fourth is:

people underestimate risks in situations they do control

אנשים מפחיתים בהערכת עוצמת הסיכונים

במצבים שבהם הם שולטים

ומפריזים בהערכתם במצבים בהם אינם שולטים.

and overestimate them in situations they don't control.

So once you take up skydiving or smoking,

אז כשמתחילים בצניחה חופשית ובעישון,

you downplay the risks.

ממעיטים בערך הסיכונים.

אם הסיכון נכפה עליכם -- טרור הוא דוגמה טובה --

If a risk is thrust upon you -- terrorism is a good example --

אתם תפריזו בהערכתו, כי אינכם חשים שזה בשליטתכם.

you'll overplay it,

because you don't feel like it's in your control.

There are a bunch of other of these cognitive biases,

יש המון הטיות כאלה, הטיות קוגניטיביות,

that affect our risk decisions.

שמשפיעות על החלטותינו בנוגע לסיכונים.

There's the availability heuristic,

ישנה יוריסטיקת הנגישות,

שאומרת, בעיקרון,

which basically means we estimate the probability of something

שאנחנו מעריכים את ההסתברות של משהו

by how easy it is to bring instances of it to mind.

לפי המידה בה קל לחשוב על מקרים דומים.

So you can imagine how that works.

אז אתם יכולים לדמיין איך זה עובד.

If you hear a lot about tiger attacks, there must be a lot of tigers around.

אם שומעים הרבה על תקיפות נמרים, יש ודאי הרבה נמרים באיזור.

לא שומעים על תקיפות אריות, אז אין הרבה אריות באיזור.

You don't hear about lion attacks, there aren't a lot of lions around.

זה עובד עד שממציאים את העיתונים.

This works, until you invent newspapers,

because what newspapers do is repeat again and again

כי מה שהעיתונים עושים

הוא לחזור שוב ושוב

על סיכונים נדירים

rare risks.

I tell people: if it's in the news, don't worry about it,

אני אומר לאנשים, אם זה בחדשות, אין לכם מה לדאוג.

כי בהגדרה,

because by definition, news is something that almost never happens.

חדשות הן משהו שכמעט אף פעם לא קורה.

(צחוק)

(Laughter)

When something is so common, it's no longer news.

כשמשהו נפוץ, הוא כבר לא חדשות --

Car crashes, domestic violence --

התנגשויות של מכוניות, אלימות במשפחה --

those are the risks you worry about.

מהדברים האלה צריך לחשוש.

We're also a species of storytellers.

אנו גם מין של מספרי סיפורים.

We respond to stories more than data.

אנו מגיבים לסיפורים יותר מאשר לנתונים.

And there's some basic innumeracy going on.

וקיימת כאן גם בעיה של כישורי-יסוד מתמטיים.

I mean, the joke "One, two, three, many" is kind of right.

הבדיחה "אחת, שתיים, שלוש, הרבה" היא די נכונה.

אנחנו ממש טובים במספרים קטנים.

We're really good at small numbers.

One mango, two mangoes, three mangoes,

מנגו אחד, שני מנגואים, שלושה מנגואים,

10,000 mangoes, 100,000 mangoes --

10,000 מנגואים, 100,000 מנגואים --

it's still more mangoes you can eat before they rot.

זה עדיין יותר מנגואים ממה שתוכלו לאכול לפני שיירקבו.

So one half, one quarter, one fifth -- we're good at that.

אז חצי אחד, רבע אחד, חמישית -- אנחנו טובים בזה.

אחד למיליון, אחד למיליארד,

One in a million, one in a billion --

שניהם זהים ל"כמעט אף פעם".

they're both almost never.

So we have trouble with the risks that aren't very common.

אז יש לנו בעיה עם הסיכונים

שאינם מאוד נפוצים.

And what these cognitive biases do

ומה שההטיות הקוגניטיביות האלה עושות

is they act as filters between us and reality.

הוא שהן חוצצות בינינו לבין המציאות.

והתוצאה היא

And the result is that feeling and reality get out of whack,

שהתחושה והמציאות לא מתואמות,

הן נעשות שונות.

they get different.

Now, you either have a feeling -- you feel more secure than you are,

אז או שיש לכם תחושה-- אתם חשים יותר בטוחים מכפי שאתם באמת.

זוהי תחושת שווא של בטחון.

there's a false sense of security.

או להיפך,

Or the other way, and that's a false sense of insecurity.

וזוהי תחושת שווא של חוסר בטחון.

כתבתי רבות על "תיאטרון הביטחון",

I write a lot about "security theater,"

which are products that make people feel secure,

מוצרים שגורמים לאנשים לחוש בטוחים,

but don't actually do anything.

אבל למעשה לא עושים כלום.

There's no real word for stuff that makes us secure,

אין מילה אמיתית עבור משהו שגורם לנו להיות בטוחים,

אבל לא גורם לנו לחוש בטוחים.

but doesn't make us feel secure.

אולי זה מה שהסי-איי-איי אמור לספק לנו.

Maybe it's what the CIA is supposed to do for us.

So back to economics.

אז בחזרה לכלכלה.

If economics, if the market, drives security,

אם כלכלה, אם השוק, מניעים את הביטחון,

and if people make trade-offs based on the feeling of security,

ואם אנשים מתפשרים

על סמך תחושת הבטחון,

then the smart thing for companies to do for the economic incentives

אז הדבר החכם שחברות צריכות לעשות

בגלל התמריץ הכלכלי

is to make people feel secure.

הוא לגרום לאנשים לחוש בטוחים.

And there are two ways to do this.

ויש שתי דרכים לעשות זאת.

One, you can make people actually secure

אחת, אפשר לגרום לאנשים להיות באמת בטוחים

ולקוות שישגיחו בכך.

and hope they notice.

Or two, you can make people just feel secure

או שתיים, אפשר לגרום להם רק לחוש בטוחים

and hope they don't notice.

ולקוות שהם לא ישימו לב.

Right?

So what makes people notice?

אז מה גורם לאנשים לשים לב?

ובכן, מספר דברים:

Well, a couple of things:

understanding of the security,

הבנה בביטחון,

של הסיכונים, האיומים,

of the risks, the threats,

של אמצעי הנגד, איך הם פועלים.

the countermeasures, how they work.

But if you know stuff, you're more likely

אבל אם מבינים משהו,

סביר יותר שהתחושות יתאימו למציאות.

to have your feelings match reality.

די במספיק דוגמאות מהעולם האמיתי.

Enough real-world examples helps.

כולנו יודעים מהי רמת הפשע בשכונה שלנו,

We all know the crime rate in our neighborhood,

because we live there, and we get a feeling about it

כי אנחנו גרים שם, ויש לנו תחושה בקשר לזה

that basically matches reality.

שעקרונית תואמת למציאות.

תיאטרון הביטחון נחשף

Security theater is exposed

when it's obvious that it's not working properly.

כשברור שזה לא עובד טוב.

אז מה גורם לאנשים לא לשים לב?

OK. So what makes people not notice?

Well, a poor understanding.

ובכן, הבנה גרועה.

If you don't understand the risks, you don't understand the costs,

אם לא מבינים את הסיכונים, לא מבינים את העלויות,

you're likely to get the trade-off wrong,

וסביר שעושים פשרות שגויות,

and your feeling doesn't match reality.

והתחושה לא תואמת את המציאות.

Not enough examples.

לא מספיק דוגמאות.

There's an inherent problem with low-probability events.

יש בעייתיות מובנית

באירועים בעלי הסתברות נמוכה.

If, for example, terrorism almost never happens,

אם, לדוגמה,

הטרור לא מתרחש כמעט אף פעם,

it's really hard to judge the efficacy of counter-terrorist measures.

ממש קשה להעריך

את יעילותם של אמצעים נגד טרור.

This is why you keep sacrificing virgins,

לכן ממשיכים להקריב בתולות,

ולכן הגנות החד-קרן שלכם פשוט עובדות מעולה.

and why your unicorn defenses are working just great.

There aren't enough examples of failures.

אין מספיק דוגמאות לכשלונות.

ובנוסף, תחושות שמערפלות את הבעיות --

Also, feelings that cloud the issues --

the cognitive biases I talked about earlier: fears, folk beliefs --

ההטיות המחשבתיות שדיברתי עליהן קודם,

פחד, אמונות עממיות,

basically, an inadequate model of reality.

בעקרון, מודל לא מספק של המציאות.

אז הרשו לי לסבך את הדברים.

So let me complicate things.

I have feeling and reality.

יש לי תחושה ומציאות.

I want to add a third element. I want to add "model."

אני רוצה להוסיף גורם שלישי. אני רוצה להוסיף מודל.

Feeling and model are in our head,

תחושה ומודל נמצאים בראש שלנו,

המציאות היא העולם החיצון.

reality is the outside world; it doesn't change, it's real.

היא לא משתנה. היא ממשית.

Feeling is based on our intuition,

אז התחושה מבוססת על האינטואיציה שלנו.

המודל מבוסס על מחשבה.

model is based on reason.

זהו בעקרון ההבדל.

That's basically the difference.

In a primitive and simple world,

בעולם פרימיטיבי ופשוט,

there's really no reason for a model,

אין סיבה אמיתית למודל.

כי התחושה קרובה למציאות.

because feeling is close to reality.

You don't need a model.

לא צריך מודל.

But in a modern and complex world,

אבל בעולם מודרני ומורכב,

צריך מודל

you need models to understand a lot of the risks we face.

כדי להבין רבים מהסיכונים שניצבים בפנינו.

There's no feeling about germs.

אין תחושה בנוגע לחיידקים.

צריך מודל כדי להבין אותם.

You need a model to understand them.

אז המודל הזה

This model is an intelligent representation of reality.

הוא ייצוג תבוני של המציאות.

It's, of course, limited by science, by technology.

הוא מוגבל כמובן ע"י המדע,

ע"י הטכנולוגיה.

לא יכלה להיות לנו תאוריית חיידקים על מחלות

We couldn't have a germ theory of disease

before we invented the microscope to see them.

לפני שהמצאנו את המיקרוסקופ שמאפשר לראות אותם.

It's limited by our cognitive biases.

הוא מוגבל ע"י ההטיות המחשבתיות שלנו.

אבל יש לו היכולת

But it has the ability to override our feelings.

להתגבר על התחושות שלנו

Where do we get these models? We get them from others.

מאין אנחנו מקבלים מודלים אלה? אנחנו מקבלים אותם מאחרים.

We get them from religion, from culture, teachers, elders.

אנחנו מקבלים אותם מהדת, מהמסורת,

ממורים, מזקנים.

לפני כמה שנים

A couple years ago, I was in South Africa on safari.

הייתי בספארי בדרום אפריקה.

The tracker I was with grew up in Kruger National Park.

הגשש שהייתי איתו גדל בפארק הלאומי קרוגר.

He had some very complex models of how to survive.

היו לו כמה מודלים מורכבים מאוד כיצד לשרוד.

And it depended on if you were attacked by a lion, leopard, rhino, or elephant --

וזה היה תלוי בשאלה אם הותקפת

ע"י אריה, נמר, קרנף או פיל --

and when you had to run away, when you couldn't run away,

מתי היית צריך לברוח, או מתי היית צריך לטפס על עץ --

when you had to climb a tree, when you could never climb a tree.

או שלא היית מצליח לטפס על עץ.

הייתי מת תוך יום אחד,

I would have died in a day.

אבל הוא נולד שם,

But he was born there, and he understood how to survive.

והוא הבין איך לשרוד.

אני נולדתי בעיר ניו יורק.

I was born in New York City.

הייתי יכול לקחת אותו לניו יורק, והוא היה מת תוך יום.

I could have taken him to New York, and he would have died in a day.

(צחוק)

(Laughter)

Because we had different models based on our different experiences.

בגלל שיש לנו מודלים שונים

המבוססים על נסיון החיים השונה שלנו.

Models can come from the media,

מודלים יכולים לבוא מהתקשורת,

from our elected officials ...

מהנבחרים שלנו.

Think of models of terrorism,

חישבו על מודלים של טרור,

child kidnapping,

חטיפות ילדים,

airline safety, car safety.

בטיחות טיסה, בטיחות רכב.

Models can come from industry.

מודלים יכולים לבוא מהתעשייה.

The two I'm following are surveillance cameras,

השניים שאני עוקב אחריהם הם מצלמות מעקב,

תעודות זהות,

ID cards,

רבים ממודלי אבטחת המחשבים שלנו באים משם.

quite a lot of our computer security models come from there.

מודלים רבים באים מהמדע.

A lot of models come from science.

Health models are a great example.

מודלים רפואיים הם דוגמא מצויינת.

Think of cancer, bird flu, swine flu, SARS.

חישבו על סרטן, שפעת העופות, שפעת החזירים, סארס.

All of our feelings of security about those diseases

כל התחושות שלנו לגבי ביטחון

לגבי המחלות האלה

come from models given to us, really, by science filtered through the media.

מגיעות ממודלים

שניתנים לנו, באמת, ע"י מדענים לאחר סינון של התקשורת.

אז מודלים עשויים להשתנות.

So models can change.

Models are not static.

מודלים אינם סטטיים.

As we become more comfortable in our environments,

ככל שאנחנו חשים יותר בנוח בסביבה שלנו,

our model can move closer to our feelings.

המודלים שלנו יכולים להתקרב לתחושותינו.

So an example might be,

דוגמה אחת עשויה להיות,

אם חוזרים 100 שנה לאחור

if you go back 100 years ago,

when electricity was first becoming common,

כשהחשמל החל להיות נפוץ,

הוא לווה בהרבה מאוד חששות.

there were a lot of fears about it.

היו אנשים שחששו ללחוץ על פעמוני דלתות,

There were people who were afraid to push doorbells,

כי חששו מהחשמל שבהם, וזה היה מסוכן.

because there was electricity in there, and that was dangerous.

אנחנו מרגישים בנוח עם חשמל.

For us, we're very facile around electricity.

אנחנו מחליפים נורות

We change light bulbs without even thinking about it.

אפילו בלי לחשוב על זה.

Our model of security around electricity is something we were born into.

המודל שלנו לגבי בטחון עם חשמל,

הוא משהו שנולדנו לתוכו.

It hasn't changed as we were growing up.

הוא לא השתנה כשהתבגרנו.

And we're good at it.

ואנחנו טובים בזה.

Or think of the risks on the Internet across generations --

או חישבו על הסיכונים

שבאינטרנט בין הדורות --

how your parents approach Internet security,

איך ההורים שלכם מתייחסים לביטחון באינטרנט,

לעומתכם,

versus how you do,

versus how our kids will.

ולעומת הילדים שלכם.

Models eventually fade into the background.

מודלים סופם להימוג ברקע.

"Intuitive" is just another word for familiar.

"אינטואיטיבי" היא בסה"כ מילה אחרת ל"מוכר".

So as your model is close to reality and it converges with feelings,

אז ככל שהמודל שלכם קרוב למציאות,

והוא מתמזג עם התחושות,

you often don't even know it's there.

אתם לא יודעים שהוא שם.

אז דוגמה נחמדה לזה

A nice example of this came from last year and swine flu.

באה משנה שעברה ומשפעת החזירים.

כששפעת החזירים הופיעה לראשונה,

When swine flu first appeared,

החדשות הראשונות יצרו תגובת-יתר רבה.

the initial news caused a lot of overreaction.

Now, it had a name,

עכשיו יש לזה שם,

which made it scarier than the regular flu,

שהפך את זה למפחיד יותר משפעת רגילה,

even though it was more deadly.

למרות שהיתה קטלנית יותר.

And people thought doctors should be able to deal with it.

ואנשים חשבו שרופאים אמורים להיות מסוגלים לטפל בזה.

So there was that feeling of lack of control.

אז היתה התחושה הזו של חוסר שליטה.

ושני הדברים האלה

And those two things made the risk more than it was.

העצימו את הסיכון יותר מפי שהיה באמת.

As the novelty wore off and the months went by,

כשהחידוש נמוג, החודשים עברו,

there was some amount of tolerance; people got used to it.

נוצרה תחושה מסויימת של עמידות,

אנשים התרגלו.

There was no new data, but there was less fear.

לא היו נתונים חדשים, אבל היה פחות פחד.

By autumn,

עד לסתיו,

people thought the doctors should have solved this already.

אנשים חשבו

שהרופאים היו צריכים כבר לפתור את זה.

And there's kind of a bifurcation:

ויש כאן סוג של התפצלות --

people had to choose between fear and acceptance --

אנשים נאלצו לבחור

בין פחד לקבלה --

למעשה בין פחד לעצמאות --

actually, fear and indifference --

הם די בחרו בחשד.

and they kind of chose suspicion.

וכשהחיסון הופיע בחורף שעבר,

And when the vaccine appeared last winter,

היו הרבה אנשים -- מספר מפתיע --

there were a lot of people -- a surprising number --

who refused to get it.

שסירבו לקבל אותו --

And it's a nice example of how people's feelings of security change,

דוגמה נחמדה

איך תחושות הבטחון של אנשים משתנות, איך המודלים שלהם משתנים,

how their model changes,

בצורה די פרועה

sort of wildly,

with no new information, with no new input.

ללא מידע חדש,

ללא קלט חדש.

דברים כאלה קורים פעמים רבות.

This kind of thing happens a lot.

אוסיף עוד מרכיב.

I'm going to give one more complication.

We have feeling, model, reality.

יש לנו תחושה, מודל, מציאות,

I have a very relativistic view of security.

יש לי השקפה מאוד יחסית על בטחון.

אני חושב שהיא תלויה במשקיף.

I think it depends on the observer.

And most security decisions have a variety of people involved.

ורוב החלטות הבטחון

מערבות מגוון אנשים.

And stakeholders with specific trade-offs will try to influence the decision.

ובעלי עניין,

עם פשרות ספציפיות

ינסו להשפיע על ההחלטה.

And I call that their agenda.

ואני קורא לזה "סדר היום שלהם".

וסדר היום הזה --

And you see agenda -- this is marketing, this is politics --

הוא שיווק, פוליטיקה --

trying to convince you to have one model versus another,

נסיון לשכנע לאמץ מודל כזה ולא אחר,

trying to convince you to ignore a model

נסיון לשכנע להתעלם ממודל

and trust your feelings,

ולסמוך על התחושות,

marginalizing people with models you don't like.

לדחוק לשוליים אנשים עם מודלים שהם לא אוהבים.

This is not uncommon.

זה לא נדיר.

An example, a great example, is the risk of smoking.

דוגמה, דוגמה מצויינת, היא הסיכון שבעישון.

בהיסטוריה של 50 השנים האחרונות, הסיכון שבעישון

In the history of the past 50 years,

the smoking risk shows how a model changes,

מדגים איך המודל השתנה,

and it also shows how an industry fights against a model it doesn't like.

וגם מראה איך תעשייה נלחמת נגד

מודל שהיא לא אוהבת.

Compare that to the secondhand smoke debate --

השוו את זה לדיון על מעשנים פסיבים --

בטח בפיגור של כ-20 שנה.

probably about 20 years behind.

Think about seat belts.

חישבו על חגורות בטיחות.

When I was a kid, no one wore a seat belt.

כשהייתי ילד, איש לא חגר חגורות בטיחות.

Nowadays, no kid will let you drive if you're not wearing a seat belt.

היום, אף ילד לא ייתן לך לנהוג

אם לא תחגור חגורת בטיחות.

Compare that to the airbag debate,

השוו את זה לדיון לגבי כריות האוויר --

בטח בפיגור של כ-30 שנה.

probably about 30 years behind.

כל הדוגמאות של שינוי מודלים.

All examples of models changing.

What we learn is that changing models is hard.

מה שאנחנו למדים הוא ששינוי מודלים הוא קשה.

קשה לסלק מודלים.

Models are hard to dislodge.

אם הם שווים לתחושות,

If they equal your feelings,

אפילו לא יודעים שיש מודל.

you don't even know you have a model.

וישנה גם הטיה מחשבתית אחרת

And there's another cognitive bias

אני קורא לה הטיית האישוש,

I'll call confirmation bias,

שבה אנחנו נוטים לקבל נתונים

where we tend to accept data that confirms our beliefs

שמאששים את האמונות שלנו

and reject data that contradicts our beliefs.

ודוחים מידע שסותר את האמונות שלנו.

So evidence against our model, we're likely to ignore,

אז עדויות נגד המודל שלנו,

צפוי שנתעלם מהן, אפילו אם הן משכנעות.

even if it's compelling.

It has to get very compelling before we'll pay attention.

הן חייבות להיות מאוד משכנעות לפני שנשים לב אליהן.

New models that extend long periods of time are hard.

מודלים חדשים שמשתרעים על פני תקופה ארוכה הם קשים.

התחממות גלובלית היא דוגמא מצויינת.

Global warming is a great example.

אנחנו גרועים

We're terrible at models that span 80 years.

בנוגע למודלים שמשתרעים על פני 80 שנה.

We can do "to the next harvest."

אנחנו יכולים לתכנן עד לקציר הקרוב.

We can often do "until our kids grow up."

אנחנו יכולים לעתים לתכנן עד שילדינו יגדלו.

But "80 years," we're just not good at.

אבל 80 שנה - אנחנו פשוט לא טובים בזה.

So it's a very hard model to accept.

אז זה מודל שקשה מאוד לקבלו.

We can have both models in our head simultaneously --

אנחנו יכולים להחזיק בראשינו את שני המודלים בו-זמנית,

that kind of problem where we're holding both beliefs together,

הבעיה הזו,

שבה אנחנו מחזיקים את שתי האמונות ביחד,

הדיסוננס הקוגניטיבי הזה.

the cognitive dissonance.

לבסוף,

Eventually, the new model will replace the old model.

המודל החדש יחליף את המודל הישן.

Strong feelings can create a model.

תחושות עזות יכולות ליצור מודל.

September 11 created a security model in a lot of people's heads.

ה-11 בספטמבר יצר מודל בטחון

בראשי אנשים רבים.

Also, personal experiences with crime can do it,

בנוסף, גם ניסיון אישי של היתקלות בפשע יכול לעשות את זה,

פחד מפני בעיות בריאות אישיות,

personal health scare,

a health scare in the news.

הפחדה בנוגע לבריאות בחדשות.

הם נקראים "אירועי הבזק"

You'll see these called "flashbulb events" by psychiatrists.

ע"י פסיכיאטרים.

הם יכולים ליצור מודל באופן מיידי,

They can create a model instantaneously,

because they're very emotive.

כי הם מאוד רגשיים.

So in the technological world,

אז בעולם הטכנולוגי,

we don't have experience to judge models.

אין לנו ניסיון

כדי לשפוט מודלים.

And we rely on others. We rely on proxies.

ואנחנו סומכים על אחרים. אנחנו סומכים על נציגים.

כלומר, זה עובד כל עוד זה נועד לתקן אחרים.

And this works, as long as it's the correct others.

We rely on government agencies

אנחנו סומכים על סוכנויות ממשלתיות

to tell us what pharmaceuticals are safe.

כדי שיגידו לנו אילו תרופות בטוחות.

I flew here yesterday.

טסתי לכאן אתמול.

I didn't check the airplane.

לא בדקתי את המטוס.

I relied on some other group

סמכתי על קבוצה אחרת

שתקבע אם המטוס שלי בטוח לטיסה.

to determine whether my plane was safe to fly.

We're here, none of us fear the roof is going to collapse on us,

אנחנו כאן, איש מאיתנו לא חושש שהגג יתמוטט עלינו,

לא בגלל שבדקנו,

not because we checked,

but because we're pretty sure the building codes here are good.

אלא בגלל שאנחנו די בטוחים

שתקני הבנייה פה טובים.

It's a model we just accept

זהו מודל שאנחנו פשוט מקבלים

פחות או יותר ע"י אמונה.

pretty much by faith.

וזה בסדר.

And that's OK.

Now, what we want is people to get familiar enough with better models,

ומה שאנחנו רוצים

הוא שאנשים יכירו טוב יותר

מודלים טובים יותר --

have it reflected in their feelings,

שישתקפו בתחושותיהם --

שיאפשרו להם לעשות פשרות בטחון.

to allow them to make security trade-offs.

וכשזה יוצא משליטה,

When these go out of whack, you have two options.

יש שתי אופציות.

One, you can fix people's feelings, directly appeal to feelings.

אחת, אפשר לתקן את התחושות של אנשים,

לפנות ישר אל התחושות.

זוהי מניפולציה, אבל זה יכול לעבוד.

It's manipulation, but it can work.

שתיים, דרך הוגנת יותר

The second, more honest way

היא לתקן ממש את המודל.

is to actually fix the model.

Change happens slowly.

שינוי מתרחש לאט.

The smoking debate took 40 years -- and that was an easy one.

הדיון על העישון לקח 40 שנה,

וזה עוד היה קל.

חלק מהדברים האלה קשים.

Some of this stuff is hard.

אבל ממש,

Really, though, information seems like our best hope.

מידע נראה כתקווה הטובה ביותר שלנו.

ואני שיקרתי.

And I lied.

Remember I said feeling, model, reality; reality doesn't change?

זיכרו שאמרתי תחושות, מודל, מציאות.

אמרתי שמציאות אינה משתנה. היא כן.

It actually does.

אנחנו חיים בעולם טכנולוגי.

We live in a technological world;

reality changes all the time.

המציאות משתנה כל הזמן.

So we might have, for the first time in our species:

יכול להיות שיש לנו -- לראשונה בתולדות האנושות --

feeling chases model, model chases reality, reality's moving --

תחושה שרודפת אחרי מודל, מודל שרודף אחרי המציאות, המציאות מתקדמת --

אולי הם לעולם לא ישיגו זה את זה.

they might never catch up.

We don't know.

אנחנו לא יודעים.

אבל בטווח הארוך,

But in the long term,

גם התחושות וגם המציאות חשובות.

both feeling and reality are important.

And I want to close with two quick stories to illustrate this.

ואני רוצה לסכם עם שני סיפורים קצרים כדי להמחיש את זה.

1982 -- I don't know if people will remember this --

ב-1982 -- לא יודע אם אנשים יזכרו את זה --

היתה מגיפה קצרה

there was a short epidemic of Tylenol poisonings

של הרעלת טיילנול בארה"ב.

in the United States.

It's a horrific story.

זהו סיפור נורא. מישהו לקח בקבוק טיילנול,

Someone took a bottle of Tylenol,

שם בתוכו רעל, סגר והחזיר למדף.

put poison in it, closed it up, put it back on the shelf,

מישהו אחר קנה אותו ומת.

someone else bought it and died.

This terrified people.

זה הפחיד מאוד אנשים.

There were a couple of copycat attacks.

היו מספר התקפות של חקיינים.

There wasn't any real risk, but people were scared.

לא כל היה סיכון אמיתי, אבל אנשים חששו.

And this is how the tamper-proof drug industry was invented.

וכך

הומצאה תעשיית התרופות שלא ניתן "לטפל" בהן.

Those tamper-proof caps? That came from this.

המכסים האלה שלא ניתן לפתוח, שבאו בעקבות זה.

It's complete security theater.

זהו "תיאטרון בטחון" שלם.

As a homework assignment, think of 10 ways to get around it.

בתור שיעורי בית, חישבו על 10 דרכים שונות לעקוף את זה.

אתן לכם אחת, מזרק.

I'll give you one: a syringe.

But it made people feel better.

אבל זה שיפר את תחושתם של אנשים.

It made their feeling of security more match the reality.

זה גרם לתחושת הבטחון שלהם

להתאים יותר למציאות.

סיפור אחרון: לפני כמה שנים, ידידה שלי ילדה.

Last story: a few years ago, a friend of mine gave birth.

ביקרתי אותה בבית החולים.

I visit her in the hospital.

It turns out, when a baby's born now,

מתברר שהיום, כשתינוק נולד,

they put an RFID bracelet on the baby, a corresponding one on the mother,

מצמידים ליד שלו צמיד עם משדר רדיו,

ומצמידים צמיד תואם לאמא שלו,

so if anyone other than the mother takes the baby out of the maternity ward,

כך שאם מישהו פרט לאמא מוציא את התינוק ממחלקת היולדות,

נשמעת אזעקה.

an alarm goes off.

אמרתי: "טוב, זה מגניב.

I said, "Well, that's kind of neat.

I wonder how rampant baby snatching is out of hospitals."

"מעניין עד כמה נפוצות הן חטיפות של תינוקות

"מבתי חולים."

I go home, I look it up.

חזרתי הביתה, בדקתי את זה.

It basically never happens.

זה למעשה מעולם לא קרה.

(Laughter)

אבל כשחושבים על זה,

But if you think about it, if you are a hospital,

אם אתם בית חולים,

and you need to take a baby away from its mother,

ואתם צריך להרחיק תינוק מאמא שלו,

out of the room to run some tests,

אל מחוץ לחדר כדי לערוך כמה בדיקות,

you better have some good security theater,

עדיף שיהיה לכם קצת תיאטרון בטחון טוב,

or she's going to rip your arm off.

אחרת היא תתלוש לך את היד.

(Laughter)

(צחוק)

אז זה חשוב לנו,

So it's important for us,

those of us who design security,

אלו מאיתנו שמתכננים אבטחה,

שבוחנים מדיניות אבטחה,

who look at security policy --

or even look at public policy in ways that affect security.

או אפילו בוחנים מדיניות ציבורית

בדרכים שמשפיעות על בטחון.

לא מדובר רק במציאות, אלא בתחושות ובמציאות.

It's not just reality; it's feeling and reality.

מה שחשוב

What's important

הוא שהן תהיינה בערך אותו דבר.

is that they be about the same.

It's important that, if our feelings match reality,

חשוב שאם התחושות שלנו יתאמו למציאות,

נעשה פשרות בטחון טובות יותר.

we make better security trade-offs.

תודה

Thank you.

(Applause)

(מחיאות כפיים)