设计安全-UX安全性概述

本文概述

• 尽早让利益相关者参与UX安全性
• 产品安全性设计方法
• 增强用户隐私和数据隐私
• 消除不必要的安全障碍
• 抵制社会工程学
• 设计师也需要数字安全
• 安全设计

该睡觉了, 但首先要执行一些常规任务：

• 穿上睡衣。
• 刷牙。
• 打开窗户。
• 解锁门。
• 将钱包, 个人文件和银行信息放在厨房柜台上方便的地方。

甜蜜的梦。

如果这种情况令人不安, 请考虑将相同的敏感信息多久输入一次我们的数字设备。没有适当的安全协议, 我们的资产和身份很容易被捕食。更糟糕的是, 作为数字接口的设计者, 对安全性的漠视使用户面临财务, 专业, 关系和情感方面的风险。

安全性不是趋势或促销手段, 而是用户体验和界面设计的关键方面。

如果数字产品的安全性不当, 所有错误的字符都可以访问用户的信息。 (亚伦·伯登)

理想的界面易于操作, 并且可以防止试图窃取用户的私人信息。交付这样的设计通常是在可用性和安全性之间进行权衡：

• 如果界面易于使用, 则安全性就会降低。
• 如果安全的话, 使用起来会更困难。

这种折衷是神话。我们可以设计既简单又安全的界面, 而不会影响任何一个的质量。在这里, UX设计人员通过确保满足技术要求和用户需求来发挥关键作用。

在很多方面, UX设计人员都是解释器。他们破译技术要求并使用户易于理解。他们还通过决定何时专注于简单性或何时涉及复杂的安全措施来锻炼态势感知能力。平衡是关键, 但是只有从设计的最初阶段就包括所有利益相关者, 才能实现平衡。

尽早让利益相关者参与UX安全性

设计安全且成功的数字产品必须征询多个方面的意见。例如, 设计团队必须确保其产品符合相关法规, 例如医疗行业的HIPAA和银行和金融服务的PCI DSS。此外, 设计团队实施的安全功能必须符合数字产品背后的技术团队设定的标准。

设计人员应了解适用于其工作的数字产品的各种安全法规。

在安全性方面, 忽略用户输入的情况并不罕见。但是, 要真正满足用户的安全需求, 设计人员必须掌握其动机, 行为和期望。通常, 用户对数字安全性了解甚少, 因此设计人员应该学会预测用户在浏览各种屏幕和功能时所面临的风险级别。可以在设计过程中识别出越早的风险越好。

忽略利益相关者或在设计过程的后期合并他们的意见会使风险加倍。它可能会打开本来可以避免的产品安全漏洞, 也可能导致产品过于安全以致几乎无法使用。

产品安全性设计方法

加密

加密是一种将敏感信息转换为看似随机的代码的方法。在具有通讯功能的数字产品中, 这是重要的设计考虑因素。在频繁交换呼叫, 文本, 视频, 图像和文档的应用程序中(想想WhatsApp), 端到端加密可确保只有参与对话的用户才能看到正在交换的数据。

这意味着, 没有人, 没有应用程序背后的公司, 没有数据犯罪分子, 甚至政府都看不到消息的内容。当用户知道自己的信息受到此类措施的保护时, 他们会更愿意扩展信任。

认证方式

必须确认只有帐户所有者才能登录, 并且所有入侵者都被锁定。身份验证是保护数字产品免遭未经授权访问的最有效方法。用户名和密码要求等功能应在设计过程的早期进行识别和测试。

为了提高安全性, 可以添加两因素身份验证(2FA)。使用2FA, 将输入用户名和密码, 并将登录代码发送到手机或电子邮件地址。

为了接收访问代码, Intuit的2FA流程允许用户在多个交付选项之间进行选择。

资料私隐

最终, 数据隐私是设计师和企业的道德考量。当用户交易其个人数据以换取对数字产品的访问权时, 他们选择相信负责该产品的公司将完整地处理其信息。他们还相信设计人员和开发人员实施的功能能够抵御数据攻击。

增强用户隐私和数据隐私

值得重复一遍, 数字产品是为用户生产的, 而不是相反的。用户与产品的互动永远都不会带来数据泄漏或被盗的风险。可悲的是, 情况并非总是如此。

大多数网络犯罪都是为了获取用户的个人数据而进行的, 但是用户体验设计师可以提供帮助。为何如此？通过实施鼓励用户选择更强密码的功能, 并避免在网上放置过多的个人详细信息。

例如, 产品的身份验证界面可能会使用友好的信息告知用户为什么拥有更强的密码很重要。该消息不会强迫用户创建包含12个字符, 大小写字母, 数字和符号的密码, 而只是显示”你需要一个更强的密码。这就是为什么它很重要的原因。”这样, 用户可以更好地了解保护其数据和隐私的必要性。

消除不必要的安全障碍

如果产品安全性取决于所有利益相关者的参与, 那么设计人员就需要花时间与开发人员和网络安全专业人员进行磋商。开发人员通常会有影响设计的约束, 他们可能能够提供有关设计人员实现的UX安全功能的有效性的见解。网络安全专业人员可以教育设计师有关最新的安全策略, 工具和合规性法规。

提醒你一点：向安全专家咨询是好的, 但是过度的安全措施会使数字产品变得笨拙, 并鼓励用户将目光投向其他地方。诸如”你的互联网连接不安全”之类的模糊信息使用户规避了旨在保护自己的安全功能。

最终, 当合法用户由于数字安全过于复杂而无法完成任务或无法将自己锁定在帐户之外时, 它对企业的影响不大。

可能会滥用数字安全功能并令用户沮丧。 (凯利·西基玛)

抵制社会工程学

在发生的所有数字安全攻击中, 一种方案比其他任何方案都更为普遍。它占了全球将近90％的违规行为, 更多地依靠欺骗手段而不是复杂的技术能力。这是什么邪恶的策略？

网络钓鱼。

网络钓鱼(通常发生在电子邮件中)就像旧骗子一样, 在很大程度上依靠社会工程学策略来吓scar, 施压并混淆用户, 以使其移交敏感信息和来之不易的现金。为了防止网络钓鱼攻击, 设计人员可以创建安全论坛, 允许用户报告垃圾邮件并向其他用户发布警告。他们还可以在其应用程序中使用弹出窗口或消息来提醒用户已知的网络钓鱼尝试。

网络钓鱼通过诱使人们共享敏感信息来使书面交流成为可能。 (塔斯金·阿希克(Taskin Ashiq)

设计师也需要数字安全

对于安全性的所有努力, 一个被忽视的漏洞可能会严重损害数字产品的完整性。它与技术无关, 它是设计师自己。

对于创建的每个产品, 都会生成数百(甚至数千)个设计工件。利用了数十种通信渠道。与战略文件的链接被发送给多方。而且, 分布式团队越来越依赖于基于云的设计工具。

如果设计人员不采取预防措施来保护其工作和沟通, 攻击者将找到渗透组织弱点的方法。这可能意味着建立VPN, 接受网络安全培训, 并制定资产管理和通信准则以防止出现松散的情况。

安全设计

安全和可用的接口不会偶然发生。这是设计人员花时间确定数据漏洞点并在设计过程的早期就让利益相关者参与的结果。安全性与任何其他关键功能没有什么不同-最终用户的需求不可忽略。

当设计人员找到有用的方法来传达安全性的价值并确保安全功能有效运行时, 用户将通过信任和持续参与来奖励那些监督数字产品的公司。

• • •

在srcmini设计博客上进一步阅读：

• 更高的境界–设计伦理指南
• 美丽之前的年龄-老年人界面设计指南
• Web表单的结尾
• 电子商务网站设计终极指南
• 家庭智能物联网家庭：物联网的驯化