Quando si parla di formazione si parla di persone e spesso sento dire che, nella sicurezza informatica, le persone sono l’anello debole della catena.
Le persone sono, in realtà, il primo firewall dell’azienda. In questo articolo vediamo l’importanza della formazione necessaria per rendere ogni dipendente una preziosa risorsa per la cybersecurity aziendale.
È importante riconoscere che ogni azienda può trarre vantaggio dall'implementazione di strumenti efficaci per migliorare la propria Cyber Resilience. Investire nella formazione continua e nella condivisione delle policy aziendali aiuta a mantenere alta l'attenzione dei dipendenti, contribuendo così a prevenire errori umani e a garantire un ambiente di lavoro più sicuro e protetto.
Questa affermazione è da sempre alla base di un concetto che vuole vedere la Cybersecurity come un processo al quale contribuiscono molti aspetti come i sistemi aziendali e le soluzioni in uso per difenderli, le regole e le norme che l’azienda adotta ed indirizza ai propri dipendenti e naturalmente le persone che tramite la loro formazione rappresentano uno dei più importanti baluardi alla sicurezza stessa.
La formazione, che chiameremo Cybersecurity Awareness, degli utenti aziendali rappresenta il modo con cui aggiorniamo il primo firewall dell’azienda, rappresenta cioè la conoscenza e la consapevolezza dei rischi cyber a cui è esposta l’organizzazione e che, può fare la differenza tra il sapere affrontare e gestire un attacco informatico, ad esempio di tipo phishing o ransomware, e il subirlo passivamente.
Le persone sono costantemente soggette a molti attacchi informatici, come phishing, social engineering e infezioni da malware, che se supportati da comportamenti inconsapevoli o distratti possono aumentare la loro capacità pervasiva.
La cybersecurity awareness serve a far sì che gli attacchi siano limitati e poco pervasivi perché supportati da:
In sostanza, mentre è vero che i sistemi informatici e le tecnologie avanzate di sicurezza sono fondamentali per proteggere l'azienda, le persone sono il primo e fondamentale strato di difesa, che può ridurre significativamente il rischio di attacchi attraverso comportamenti informati e prudenti.
Il Rapporto Clusit 2024 sulla sicurezza informatica in Italia dedica un'attenzione particolare alla tematica della security awareness consolidando alle imprese il messaggio di mantenere alta la capacità di evolvere questo processo di formazione e consapevolezza.
Nel rapporto si evidenzia come gli attacchi di phishing e altre forme di social engineering siano tra le minacce più diffuse, sfruttando la mancanza di consapevolezza tra i dipendenti e utenti e come la preparazione e la formazione continua risultino quindi fondamentali per prevenire tali minacce.
Le aziende italiane stanno investendo sempre di più in programmi di sensibilizzazione, ma c'è ancora una significativa carenza di investimenti in formazione specifica e continua per i dipendenti. Il Rapporto Clusit stesso suggerisce che la formazione deve essere non solo periodica, ma anche integrata nella cultura aziendale.
Infatti, nonostante gli sforzi di sensibilizzazione, molte organizzazioni non hanno ancora definito una strategia chiara e misurabile per migliorare la consapevolezza sulla sicurezza informatica. La creazione di metriche e l'analisi delle performance potrebbero portare a miglioramenti più concreti.
Aggiungo che tecnologie come l'intelligenza artificiale e gli algoritmi di machine learning possono supportare la formazione sulla sicurezza poiché permettono di identificare comportamenti rischiosi suggerendo percorsi di aggiornamento personalizzati.
Crediamo che per raggiungere una efficace cybersecurity awareness sia necessario compiere alcuni passi fondamentali che vanno dal coinvolgimento delle strutture aziendali, alla definizione di una vera e propria policy di sicurezza, passando per l’adozione di strumenti di formazione innovativi in grado di attuare una misurazione continua dell’apprendimento volta a garantire il raggiungimento degli obiettivi attesi.
Innanzitutto, è fondamentale capire lo stato attuale della competenza della sicurezza informatica in azienda individuando per ogni singolo dipendente le aree che richiedono un miglioramento. In questa fase, assessment, ed in ogni fase successiva della formazione, è fondamentale tenere traccia sia di ogni aspetto critico sia di ogni stato di avanzamento mediante opportune metriche utilizzate per determinare l’efficacia della campagna formativa.
In un percorso di formazione che si rispetti è fondamentale l’individuazione dei fattori determinanti al coinvolgimento e alla volontà di crescita dei singoli dipendenti:
Proprio in merito alle misurazioni, analizzando soluzioni di mercato che indirizzano la formazione sulla sicurezza, è evidente che non esiste una ricetta unica e uguale per tutti da seguire: il programma della cybersecurity awareness deve essere ovviamente pensato, già in fase di progettazione del programma di formazione, “a misura” dell’organizzazione e tarato opportunamente per far leva sulle risorse principali a cui è rivolta: le persone.
Persone che, devono essere coinvolte ad esempio utilizzando tecniche di gamification e facendo uso di materiale multimediale in grado di attirare l’attenzione. Coinvolgimento che, ovviamente, non può prescindere da un’analisi attenta di quei complessi cognitivi e fattori emotivi che giocano un ruolo essenziale nel mantenimento di attenzione al programma.
Solo con un attento programma di cybersecurity awareness è dunque possibile far sì che la cultura della sicurezza informatica attecchisca all’interno del perimetro virtuale delle aziende supportando quindi la sicurezza dei dati aziendali che prima di tutto rappresentano l’elemento da proteggere e il più interessante da attaccare da parte di un criminal hacker.
Un attecchimento che deve essere tanto più veloce quanto più rapidamente aumenta l’adozione di policy aziendali che coinvolgono l’utilizzo di intelligenza artificiale, dando per consolidato la pratica dello smart working, e l’utilizzo di dispositivi mobili, facendo sempre più uso di IoT e, più in generale, tecnologie digitali all’interno del contesto di Industria 5.0.
Di Luca Bonora - CYBEROO Evangelist