Gestire il rischio informatico legato alle persone: l’approccio interfunzionale di cui nessuno parla

Quando si verifica un incidente di sicurezza informatica, la reazione delle aziende è di solito immediata. I team di sicurezza indagano su cosa sia successo, i vertici cercano delle spiegazioni, le Risorse Umane comunicano con i dipendenti, il reparto IT lavora per contenere il problema e i team addetti alla conformità iniziano a valutare eventuali implicazioni normative.

Per un breve periodo, tutti sono concentrati sullo stesso obiettivo. Poi l’incidente passa, le priorità cambiano e ogni reparto torna alle proprie responsabilità. La sensibilizzazione alla sicurezza torna a essere un problema del team di sicurezza, le Risorse Umane si concentrano sulle iniziative relative al personale, l’IT torna ai progetti di infrastruttura e i dirigenti aziendali passano alla prossima priorità strategica.

Questo ciclo si ripete ogni giorno in diverse organizzazioni ed è uno dei motivi principali per cui il rischio informatico legato alle persone rimane così difficile da ridurre.

Il nostro Ripensare il rischio informatico legato al fattore umano , basato su un sondaggio condotto su 200 CISO nel Regno Unito, in Francia, Germania e Svezia, ha rilevato che, sebbene le organizzazioni riconoscano ampiamente l’importanza di gestire il rischio informatico legato al fattore umano, la responsabilità di farlo è raramente condivisa in modo significativo. Migliorare la collaborazione tra i vari reparti (Sicurezza, Risorse Umane, IT e Conformità) è emersa come priorità assoluta per il 22% dei CISO. Però, metterla in pratica non è così semplice. Uno su quattro (25%) ha affermato che le priorità aziendali concorrenti continuano a limitare il tempo e gli investimenti disponibili per le iniziative relative al rischio umano, mentre il 21% ha indicato la capacità limitata del team e il 16% ha individuato lo scarso interesse del consiglio di amministrazione come un ostacolo persistente al progresso.

Questo significa che il rischio informatico legato al fattore umano si trova in una situazione un po’ scomoda: non c’è una singola funzione che se ne occupi dall’inizio alla fine. Ci si aspetta che i team di sicurezza riducano questo rischio, ma molti dei fattori che influenzano il comportamento dei dipendenti, dall’inserimento in azienda alla cultura del posto di lavoro, passando per le pratiche di gestione e i processi aziendali, dipendono da altre parti dell’organizzazione.

Finché non si risolverà questa discrepanza, i programmi di sensibilizzazione continueranno a funzionare in modo isolato rispetto al modo in cui opera un’azienda, rendendo molto più difficile ottenere quel cambiamento comportamentale a lungo termine che le organizzazioni cercano per ridurre i rischi legati alla sicurezza informatica.

Perché il rischio umano viene trascurato

I rischi tecnici legati alla sicurezza informatica tendono ad avere una responsabilità ben definita. Che si tratti di gestione delle identità e degli accessi, gestione delle vulnerabilità o applicazione delle patch, di solito c’è un team specifico responsabile della gestione di quel rischio, supportato da processi consolidati, responsabilità chiare e risultati misurabili. Tutti capiscono chi è responsabile del problema e come si misura il successo.

Il rischio legato alle persone funziona in modo diverso. I team di sicurezza possono fare la loro parte, ma non controllano molti dei fattori che influenzano il comportamento quotidiano dei dipendenti.

Molti dei fattori che influenzano il rischio informatico per le persone non rientrano nelle competenze del reparto sicurezza. Le Risorse Umane definiscono come i nuovi assunti vengono informati sulle aspettative in materia di sicurezza attraverso il processo di inserimento e la formazione continua; l’IT progetta i sistemi, gli strumenti e i controlli di accesso su cui le persone fanno affidamento ogni giorno; i manager influenzano i comportamenti attraverso conversazioni regolari con i propri team; e la dirigenza decide a quali iniziative destinare investimenti, attenzione e sostegno a lungo termine.

Ognuna di queste funzioni ha un ruolo importante nel ridurre i rischi per le persone, ma spesso perseguono obiettivi diversi e misurano il successo in modi diversi. Di conseguenza, la sensibilizzazione alla sicurezza può diventare un programma a sé stante, gestito quasi esclusivamente dal team di sicurezza, invece di essere parte di una strategia organizzativa più ampia volta a promuovere comportamenti sicuri.

Questo divario è emerso chiaramente durante tutta la nostra ricerca. Anche se il 22% dei CISO ha indicato il miglioramento della collaborazione tra Sicurezza, Risorse Umane, IT e Conformità come una priorità assoluta, ha anche sottolineato gli ostacoli pratici che si frappongono. Un quarto (25%) ha affermato che le priorità aziendali concorrenti continuano a limitare il tempo e gli investimenti disponibili per le iniziative relative ai rischi legati alle persone, un ulteriore 21% ha indicato la capacità limitata dei team e il 16% ha citato lo scarso interesse del consiglio di amministrazione come una sfida significativa.

Niente di tutto questo significa che le aziende non stiano investendo tempo o energie per ridurre il rischio informatico legato al fattore umano. Piuttosto, mette in evidenza quanto sia difficile fare progressi quando i team incaricati di influenzare il comportamento dei dipendenti non condividono gli stessi obiettivi né misurano il successo allo stesso modo.

Quando tutti si assumono la responsabilità del rischio umano, in realtà nessuno se ne assume davvero la responsabilità

Senti spesso dire che la sicurezza informatica è una responsabilità di tutti e, a prima vista, è difficile dargli torto. Ogni dipendente ha un ruolo da svolgere nella protezione dell’azienda, che si tratti di segnalare un’e-mail sospetta, gestire le informazioni sensibili nel modo giusto o seguire le procedure stabilite quando si approvano pagamenti o si concedono accessi.

Il problema è che la responsabilità condivisa non comporta automaticamente una titolarità condivisa.

Anche se ognuno ha un ruolo da svolgere, c’è comunque qualcuno che deve coordinare il modo in cui i comportamenti sicuri vengono sviluppati, rafforzati e misurati in tutta l’organizzazione. Chi decide se i programmi di sensibilizzazione stanno cambiando i comportamenti? Chi individua dove serve ulteriore supporto? Chi raccoglie i dati per capire se il rischio umano sta aumentando o diminuendo nel tempo?

Senza risposte chiare a queste domande, le responsabilità possono frammentarsi in fretta. Spesso ci si aspetta che i team di sicurezza riducano il rischio informatico legato alle persone e vengono ritenuti responsabili quando si verificano incidenti, eppure molti dei fattori che influenzano il comportamento dei dipendenti esulano dal loro controllo. Da soli, non possono definire i programmi di inserimento, stabilire le priorità della direzione o integrare comportamenti sicuri in ogni processo aziendale.

Un CISO che abbiamo intervistato per la nostra ricerca ha sintetizzato perfettamente questa sfida: «Non spetta al CISO accettare il rischio, ma all’azienda».

Questa osservazione va dritta al cuore della questione. Il rischio informatico legato alle persone non è una questione di cui si occupa solo il reparto sicurezza; è un rischio aziendale che coinvolge diversi reparti, processi e ogni fase del ciclo di vita dei dipendenti. Finché le organizzazioni non lo riconosceranno come una responsabilità operativa condivisa, i team di sicurezza continueranno ad assumersi la responsabilità senza avere l’influenza necessaria per guidare un cambiamento significativo a livello aziendale.

Perché il sostegno del consiglio di amministrazione non è la stessa cosa dell’allineamento del consiglio di amministrazione

Ottenere il sostegno dei vertici aziendali per le iniziative relative ai rischi informatici legati alle risorse umane di solito non è la sfida più grande; lo è invece mantenere quel sostegno nel lungo periodo.

Quando si verifica un incidente di sicurezza, il rischio informatico legato al fattore umano diventa subito una priorità per il consiglio di amministrazione. I vertici vogliono capire cosa è successo, se potrebbe ripetersi e quali misure si stanno adottando per ridurre la probabilità che l’incidente si ripeta. Si rivedono i budget, i programmi di sensibilizzazione ricevono nuova attenzione e la sicurezza diventa una priorità aziendale immediata.

Il problema è che questo livello di coinvolgimento spesso dura poco. La nostra ricerca ha rilevato che il 79% dei CISO ritiene che l’interesse del consiglio di amministrazione per i programmi di sensibilizzazione alla sicurezza si affievolisca una volta superato l’impatto immediato di un incidente. Man mano che altre priorità strategiche richiedono attenzione, le discussioni sul rischio informatico legato al fattore umano diventano meno frequenti, finché un altro incidente non le riporta al centro dell’attenzione.

Questo approccio a singhiozzo rende difficile ottenere un cambiamento comportamentale duraturo. Cambiare il modo in cui le persone pensano e agiscono non è una cosa che succede nel giro di poche settimane dopo un incidente; richiede un sostegno costante da parte della dirigenza, un rinforzo coerente e un impegno condiviso da parte di tutta l’organizzazione.

Mantenere questo slancio diventa ancora più difficile quando i responsabili della sicurezza fanno fatica a dimostrare il valore dei loro programmi di sensibilizzazione. Infatti, solo il 39% dei CISO si sente completamente sicuro nel spiegare il valore delle iniziative di sensibilizzazione alla sicurezza al proprio consiglio di amministrazione o al team esecutivo.

Parte del problema sta nel modo in cui molte organizzazioni misurano il successo. I report si concentrano spesso su metriche come i tassi di completamento dei corsi di formazione o i risultati delle simulazioni di phishing, perché sono facili da raccogliere e semplici da presentare. Anche se questi dati dimostrano che le attività di sensibilizzazione alla sicurezza sono state svolte, non dicono molto sul fatto che i dipendenti stiano prendendo decisioni migliori in materia di sicurezza o che il rischio informatico legato al fattore umano si stia riducendo nel complesso.

Senza queste prove, per i CISO diventa molto più difficile dimostrare il ritorno sull’investimento, giustificare il proseguimento dei finanziamenti e mantenere il rischio informatico legato al fattore umano come una priorità strategica per l’azienda, anziché come un problema che attira l’attenzione solo dopo che qualcosa è andato storto.

Come si riconosce un buon allineamento

Le organizzazioni che ottengono i risultati migliori non ci riescono semplicemente incoraggiando i reparti a collaborare più strettamente. Piuttosto, creano un approccio condiviso alla gestione del rischio informatico legato alle persone, in cui ogni funzione capisce il ruolo che svolge nell’influenzare il comportamento dei dipendenti e nel ridurre il rischio.

I team di sicurezza continuano ad avere il compito di individuare i rischi comportamentali, mettere in atto interventi mirati e fornire le informazioni necessarie per capire dove il rischio sta aumentando o diminuendo. Queste informazioni vengono poi utilizzate per guidare le azioni in tutta l’organizzazione, invece di rimanere confinate all’interno della funzione di sicurezza.

Le Risorse Umane rafforzano questi sforzi integrando la sicurezza in ogni fase del ciclo di vita del dipendente, dall’inserimento in azienda e dalla formazione obbligatoria fino alla comunicazione continua e allo sviluppo professionale. L’IT completa questo approccio progettando sistemi che rendono il comportamento sicuro l’opzione più semplice, utilizzando impostazioni predefinite sicure, controlli di accesso adeguati e processi ben progettati per ridurre al minimo le possibilità di errore umano.

Anche i manager hanno un ruolo importante da svolgere, perché spesso sono nella posizione migliore per promuovere comportamenti sicuri nell’ambito del lavoro quotidiano. Che si tratti di gestire informazioni sensibili sui clienti, approvare pagamenti ai fornitori o utilizzare strumenti di intelligenza artificiale, parlare regolarmente con i propri responsabili diretti può aiutare i dipendenti a riconoscere le situazioni più rischiose, a fare domande quando qualcosa sembra strano e a seguire le procedure stabilite prima di prendere decisioni importanti.

La leadership completa il quadro fornendo un sostegno visibile e costante. Anziché lasciare che il rischio informatico legato al fattore umano diventi una priorità solo dopo un incidente, le organizzazioni mature lo considerano un obiettivo aziendale costante, assicurandosi che gli investimenti, la rendicontazione e la responsabilità siano costanti durante tutto l’anno.

Quando ogni parte dell’organizzazione lavora per lo stesso obiettivo, la sensibilizzazione alla sicurezza va oltre un semplice programma di formazione a sé stante. Diventa parte integrante di una strategia più ampia, sostenuta da un senso di responsabilità condiviso, da metriche significative e da un’azione coordinata in tutta l’azienda.

La gestione dei rischi legati alle persone richiede un impegno condiviso

Molte organizzazioni continuano a considerare il rischio informatico legato al fattore umano come un problema che i team di sicurezza devono risolvere da soli.

I dati sembrano indicare che questo sia uno dei motivi principali per cui è difficile fare progressi.

Il rischio legato alle persone nasce dalle attività aziendali quotidiane, è influenzato dalla cultura aziendale, viene rafforzato dai manager e plasmato dai sistemi che i dipendenti usano. Per ridurre questo rischio ci vuole lo stesso livello di coordinamento.

Le organizzazioni che stanno facendo i progressi maggiori non sono necessariamente quelle che offrono più corsi di sensibilizzazione rispetto alle altre. Stanno creando un allineamento più forte tra le persone incaricate di influenzare i comportamenti, misurando ciò che conta davvero e assegnando a ogni parte interessata un ruolo chiaro nella riduzione del rischio.

Quando il rischio informatico legato alle persone diventa una responsabilità condivisa invece che una semplice iniziativa di sicurezza, è molto più facile passare dalle attività di sensibilizzazione a una riduzione misurabile del rischio.

In che modo MetaCompliance contribuisce a migliorare la gestione interfunzionale dei rischi legati al personale

Gestire i rischi informatici legati al fattore umano non significa solo organizzare corsi di sensibilizzazione sulla sicurezza. È fondamentale che i reparti di sicurezza, risorse umane, IT, gestione dei rischi e la dirigenza abbiano una visione comune su dove si trovano i rischi comportamentali, quali interventi stanno avendo maggiore impatto e dove serve un supporto in più.

La nostra piattaforma di gestione dei rischi umani aiuta le organizzazioni ad andare oltre i programmi di sensibilizzazione standardizzati, combinando in un’unica piattaforma formazione personalizzata sulla sicurezza, analisi comportamentali, simulazioni di phishing, interventi automatizzati e reportistica sui rischi umani. Questo fornisce ai responsabili della sicurezza le prove necessarie per dimostrare i progressi compiuti, dare priorità agli utenti ad alto rischio e coinvolgere tutte le parti interessate dell’azienda con risultati significativi e misurabili.

Aiutando le organizzazioni a comprendere, misurare e ridurre nel tempo il rischio informatico legato al fattore umano, MetaCompliance fa sì che la sensibilizzazione alla sicurezza diventi parte integrante di una strategia aziendale coordinata, anziché un’iniziativa di sicurezza a sé stante.

Cerchi consigli pratici su come ridurre il rischio informatico legato al fattore umano coordinando i team all’interno della tua organizzazione? Scarica la nostra guida, Chi è responsabile del rischio informatico legato al fattore umano: cinque principi per creare una responsabilità condivisa tra i team, per scoprire come i reparti Sicurezza, Risorse Umane, IT, Gestione dei rischi e la leadership possono collaborare per sviluppare un approccio più coordinato alla gestione del rischio informatico legato al fattore umano.

Sei pronto a sviluppare un approccio più coerente al rischio informatico legato al fattore umano? Richiedi subito una demo per scoprire come MetaCompliance può aiutare la tua organizzazione a misurare, gestire e ridurre il rischio legato al fattore umano su larga scala.