Il messaggio giusto al momento giusto: perché il tempismo è fondamentale nella sensibilizzazione alla sicurezza

Indice

• • Perché una maggiore formazione non sempre significa meno rischi
  • Sfruttare al meglio il momento
  • Una migliore precisione dipende da una migliore visibilità
  • Creare un legame più chiaro tra formazione e comportamento
  • Far evolvere la consapevolezza sulla sicurezza senza ricominciare da zero
  • Messaggio giusto. Momento giusto. Impatto reale.
  • Sviluppare un approccio più reattivo al rischio informatico umano
  • Domande frequenti

I programmi di sensibilizzazione alla sicurezza hanno sempre seguito un calendario abbastanza prevedibile. C’è la formazione annuale per coprire gli argomenti fondamentali, simulazioni di phishing a intervalli regolari e campagne durante tutto l’anno per rafforzare i temi importanti o tenere i dipendenti aggiornati sulle minacce emergenti.

Certo, i dipendenti hanno bisogno di promemoria regolari per tenere sempre a mente la sicurezza informatica e rinfrescare ciò che hanno imparato, ma affidarsi troppo a un programma prestabilito può creare un divario tra il momento in cui si svolge la formazione e quello in cui i dipendenti devono effettivamente metterla in pratica.

Il rischio informatico non aspetta il prossimo modulo di formazione: si presenta nel bel mezzo di una giornata di lavoro frenetica, quando qualcuno riceve un’e-mail di phishing molto convincente mentre cerca di districarsi tra una casella di posta traboccante. Potrebbe trattarsi di una richiesta di pagamento inaspettata o di un messaggio urgente che sembra provenire da un collega più anziano. Sono proprio questi i momenti in cui i dipendenti devono riconoscere il rischio e prendere la decisione giusta, spesso nel giro di pochi secondi.

Qualcuno potrebbe aver affrontato proprio quella situazione durante un corso di formazione qualche mese prima, ma quanto di tutto ciò gli tornerà in mente quando sarà indaffarato, distratto o sotto pressione?

Per i responsabili della sicurezza, questo rende la tempistica un aspetto importante del dibattito sulla rilevanza della formazione. Sappiamo già che i dipendenti sono più propensi a partecipare alla formazione sulla sicurezza quando questa riflette i rischi che affrontano nel loro lavoro quotidiano. La domanda successiva è: possiamo rendere questa formazione ancora più utile erogandola in un momento più vicino a quando serve davvero?

Il nostro Ripensare il rischio informatico per le persone rLa ricerca suggerisce che i CISO vedano qui una vera opportunità. Tre quarti di loro affermano che la pertinenza conta più della frequenza quando si tratta di promuovere comportamenti sicuri attraverso la formazione sulla consapevolezza della sicurezza, mentre l’83% ritiene che potrebbe ridurre più rapidamente il rischio informatico legato al fattore umano se avesse modi migliori per stabilire le priorità su chi ha bisogno di quale intervento e quando.

Perché una maggiore formazione non sempre significa meno rischi

È facile pensare che aumentare le iniziative di sensibilizzazione sulla sicurezza porti a comportamenti più sicuri. Più corsi, più simulazioni e più comunicazioni significano che i dipendenti vedono più messaggi sulla sicurezza, quindi sicuramente qualcosa di tutto ciò dovrebbe tradursi in una riduzione dei rischi, no?

Purtroppo, non è così semplice. La nostra ricerca ha rilevato che i dipendenti ricevono ormai contenuti di sensibilizzazione alla sicurezza in media da sei a sette volte al mese, eppure l’81% dei CISO sostiene che la formazione continui a fallire perché è troppo generica per essere percepita come rilevante a livello personale.

Se pensi alle diverse persone e ai vari ruoli all’interno di un’organizzazione, è facile capire come ciò avvenga. Chi lavora nella finanza potrebbe passare la giornata a gestire fatture, richieste di pagamento ed e-mail dai vertici aziendali, il che rende particolarmente rilevanti i rischi legati all’usurpazione d’identità e alla compromissione delle e-mail aziendali. Chi lavora nelle risorse umane gestisce informazioni sensibili sui dipendenti, mentre gli sviluppatori e i dipendenti con accesso privilegiato si trovano ad affrontare una serie di rischi completamente diversa.

Il comportamento individuale aggiunge un’ulteriore dimensione. Un dipendente potrebbe essere bravissimo a individuare le email sospette, ma avere difficoltà in altri aspetti della sicurezza, mentre un altro potrebbe cadere ripetutamente nella stessa tecnica di phishing. Dare a entrambi esattamente la stessa formazione nello stesso momento potrebbe sembrare comodo, ma è probabile che parte di quella formazione non risulti particolarmente utile a nessuno dei due.

Un approccio più mirato permette ai team di sicurezza di essere molto più selettivi. Chi ha davvero bisogno di supporto? In cosa hanno bisogno di aiuto? E quando sarebbe più utile quel supporto? Rispondere a queste domande può far sì che ogni attività di formazione sia più efficace, senza aggiungere continuamente nuovi contenuti al carico di lavoro dei dipendenti.

Sfruttare al massimo il momento

Prendiamo ad esempio una simulazione di phishing. Un dipendente clicca su un link che non avrebbe dovuto cliccare, fornendo al team di sicurezza un’indicazione utile su dove potrebbe servire un po’ di supporto in più. Questo crea un’opportunità di apprendimento davvero preziosa, perché lo scenario è ancora fresco nella mente di quel dipendente.

Se subito dopo quell’esperienza offri una formazione mirata, il legame tra le due cose diventa molto più forte. Il dipendente riesce a riconoscere i segnali di allarme che gli erano sfuggiti, capisce perché quell’e-mail era sospetta e impara cosa potrebbe fare diversamente la prossima volta. Questo contesto può rendere l’apprendimentomolto più utile rispetto al semplice ripasso della stessa tecnica di phishing, fatto diversi mesi dopo in un modulo di formazione generico.

È qui che entrano in gioco gli interventi sul flusso di lavoro. I segnali comportamentali e di rischio possono aiutare le organizzazioni a individuare le occasioni per fornire ulteriore supporto proprio quando è più necessario, invece di aspettare la prossima attività in programma nel calendario di sensibilizzazione.

Un fallimento in una simulazione di phishing, per esempio, potrebbe dare il via a una breve sessione di formazione sulla tecnica che il dipendente ha appena affrontato. Un team preso di mira da un particolare tipo di attacco potrebbe ricevere una formazione pensata proprio per quella minaccia, mentre i dipendenti che mostrano comportamenti rischiosi ricorrenti potrebbero trarre beneficio da un supporto o un rafforzamento aggiuntivo.

Ovviamente, nessuno vuole che i dipendenti ricevano una notifica di formazione ogni volta che fanno qualcosa che genera un segnale di rischio; sarebbe un modo sicuro per aumentare ancora di più la stanchezza da formazione. Il valore sta proprio nell’utilizzare le informazioni che hai già sui tuoi dipendenti per decidere in modo più intelligente quando un intervento sarebbe davvero utile e quale forma dovrebbe assumere.

Un targeting più efficace dipende da una maggiore visibilità

Perché tutto questo funzioni, i team di sicurezza devono sapere dove si concentrano i rischi informatici legati al fattore umano all’interno dell’organizzazione, e questo è un ambito in cui molti hanno ancora delle difficoltà.

La nostra ricerca ha rilevato che il 76% dei CISO non ha un quadro chiaro di quali interventi funzionino meglio per i diversi ruoli o profili di rischio. Eppure l’81% concorda sul fatto che una maggiore precisione sia la chiave per migliorare la consapevolezza in materia di sicurezza, evidenziando un divario significativo tra gli obiettivi delle organizzazioni e la visibilità di cui dispongono oggi.

Per ottenere questa visibilità, bisogna analizzare i diversi segnali già generati dai dipendenti e dai programmi di sicurezza. I risultati delle simulazioni di phishing, le attività di formazione e altri segnali comportamentali o di sicurezza possono tutti contribuire a delineare un quadro più chiaro di dove si trovano i rischi, quali gruppi potrebbero aver bisogno di maggiore supporto e come questo quadro cambia nel tempo.

Una volta che i team di sicurezza hanno ben chiaro questo aspetto, possono agire in modo molto più mirato su come procedere. Un gruppo che presenta un rischio maggiore rispetto a una determinata minaccia può ricevere una formazione che affronti direttamente la questione, mentre i dipendenti che dimostrano costantemente comportamenti responsabili in materia di sicurezza potrebbero aver bisogno di un intervento minore.

Inoltre, offre alle organizzazioni una base più solida per rispondere a una domanda ben più ampia: il programma di sensibilizzazione sta davvero riducendo il rischio?

Creare un legame più chiaro tra addestramento e comportamento

Ai team di sicurezza non mancano certo i dati. I tassi di completamento dei corsi di formazione, i clic sui link di phishing, le email segnalate e tantissime altre metriche possono essere monitorati e inseriti in una dashboard. La parte più difficile è capire cosa ti dicono davvero quei numeri sul fatto che le persone stiano cambiando il loro comportamento.

Questa sfida è emersa con forza dalla nostra ricerca. Quasi tre quarti (74%) dei CISO affermano che gli attuali report sui rischi informatici relativi al personale forniscono loro dei dashboard che non offrono una comprensione sufficientemente chiara per prendere decisioni migliori. Ancora più sorprendente è il fatto che l’89% non riesca a collegare con certezza le attività di sensibilizzazione alla riduzione degli incidenti o dei quasi incidenti.

Interventi tempestivi e mirati possono aiutare a rendere più evidente questa connessione. Se un determinato comportamento porta a un intervento, i team di sicurezza possono poi osservare cosa succede in seguito. Magari un dipendente diventa più bravo a riconoscere la tecnica di phishing con cui prima aveva difficoltà, un gruppo ad alto rischio migliora nel corso di diverse simulazioni oppure il comportamento nella segnalazione degli incidenti inizia a cambiare dopo una formazione mirata.

Osservare questi andamenti nel tempo può fornire ai team di sicurezza informazioni molto più approfondite sull’efficacia di un intervento e su dove potrebbe essere necessario modificare il loro approccio. Inoltre, rende più facile concentrare tempo e risorse sulle attività che stanno dando i risultati migliori.

Questo è particolarmente importante quando ai CISO viene chiesto di giustificare le proprie spese. La nostra ricerca ha rilevato che al 77% di loro viene richiesto di dimostrare il ROI in modo più rigoroso per le iniziative relative ai rischi informatici legati alle persone rispetto a quanto avviene per i controlli tecnici. Essere in grado di mostrare come un intervento abbia influenzato il comportamento offre ai responsabili della sicurezza argomenti molto più convincenti da presentare al consiglio di amministrazione rispetto ai soli tassi di completamento.

Migliorare la consapevolezza in materia di sicurezza senza ricominciare da zero

Tutto questo potrebbe sembrare un grande cambiamento, ma le organizzazioni non devono ricostruire da zero i propri programmi di sensibilizzazione alla sicurezza. Infatti, la nostra ricerca suggerisce che la maggior parte dei CISO preferirebbe far evolvere ciò che già hanno attraverso progetti pilota e miglioramenti graduali.

Le simulazioni di phishing possono rappresentare un buon punto di partenza. Le organizzazioni potrebbero iniziare collegando i risultati delle simulazioni a percorsi formativi mirati e verificando se il comportamento dei dipendenti migliora in seguito. Da lì, possono introdurre una formazione più specifica per ogni ruolo, utilizzare un sistema di valutazione del rischio a livello di gruppo per stabilire le priorità degli interventi e includere una gamma più ampia di segnali comportamentali man mano che il loro approccio si affina.

Questi cambiamenti possono avvenire gradualmente, basandosi sulle attività di formazione e sensibilizzazione già in atto. Col passare del tempo, il programma diventa più reattivo alle esperienze dei dipendenti e ai rischi che emergono all’interno dell’organizzazione.

Il messaggio giusto. Il momento giusto. Un impatto concreto.

La sensibilizzazione alla sicurezza deve ancora essere più costante. I dipendenti hanno bisogno di occasioni regolari per aggiornare le loro conoscenze, informarsi sulle minacce emergenti e tenere sempre a mente la sicurezza. Ma le aziende possono fare molto di più anche nei momenti tra un’attività programmata e l’altra.

Quando qualcuno mette in atto un comportamento rischioso o un determinato gruppo inizia a mostrare segni di un aumento del rischio, c’è l’opportunità di intervenire finché quel supporto è ancora utile. Con una maggiore visibilità, i team di sicurezza possono capire dove si trovano queste opportunità e prendere decisioni molto più consapevoli riguardo alla formazione da offrire.

Inoltre, crea un legame molto più stretto tra le attività di sensibilizzazione e la gestione più ampia del rischio informatico legato alle persone. I team di sicurezza possono capire dove si concentrano i rischi, decidere su cosa concentrare i propri sforzi, osservare come cambia il comportamento e usare questi risultati per definire le prossime mosse.

In fin dei conti, ogni organizzazione ha a disposizione una quantità limitata di tempo, budget e attenzione da parte dei dipendenti. Rendere la formazione sulla sicurezza più pertinente e programmata al momento giusto permette ai team di sicurezza di sfruttare tutte e tre queste risorse in modo più efficace, offrendo al contempo ai dipendenti un supporto che si inserisca in modo sensato nella loro giornata lavorativa.

Sviluppare un approccio più reattivo al rischio informatico legato alle persone

MetaCompliance aiuta le organizzazioni a sviluppare programmi di sensibilizzazione alla sicurezza incentrati sui rischi reali che i loro dipendenti devono affrontare. Formazione personalizzata corsi di formazione sulla sicurezza, simulazioni avanzate di phishinge informazioni sui rischi e gli interventi automatizzati aiutano i team di sicurezza a capire dove serve supporto e a fornire formazione mirata in base ai rischi e ai comportamenti dei dipendenti.

Questo offre alle organizzazioni una maggiore visibilità sui rischi informatici legati al fattore umano e un maggiore controllo sulle modalità di risposta, aiutandole a sfruttare al meglio i segnali comportamentali, a indirizzare gli interventi in modo più efficace e a misurare come il rischio cambia nel tempo.

Questa è solo una parte di un cambiamento molto più ampio nel modo in cui le organizzazioni affrontano il rischio informatico legato alle persone. La nostra ricerca esplora le sfide più ampie che i responsabili della sicurezza devono affrontare, dal rendere la formazione più pertinente e capire quali interventi funzionano, fino a misurare il cambiamento comportamentale e dimostrare il valore della sensibilizzazione alla sicurezza a livello di consiglio di amministrazione.

Scarica la nostra versione completa “Ripensare il rischio informatico umano” per scoprire tutte le opinioni di 200 CISO provenienti da Francia, Germania, Svezia e Regno Unito, insieme a consigli pratici su come le organizzazioni possano evolvere il proprio approccio e sviluppare una strategia di gestione del rischio umano più mirata, misurabile ed efficace.