Perché la tua dashboard sui rischi legati al personale non ti sta aiutando

Indice

• Cosa misura in genere un dashboard sui rischi legati al personale?
• Perché le metriche di attività raccontano solo una parte della storia
• Il problema di affidarsi ai tassi di clic nel phishing
• Cosa serve davvero ai CISO dai report sul rischio umano
• Passare dall’attività alla riduzione del rischio
• Ripensa al modo in cui misuri il rischio informatico legato alle persone

I team di sicurezza hanno a disposizione più dati che mai. I tassi di completamento dei corsi di formazione, i risultati delle simulazioni di phishing, i tassi di segnalazione, le interazioni con le politiche aziendali e una lista sempre più lunga di altri indicatori possono essere tutti inseriti nei dashboard e presentati all’azienda.

Il problema è che avere più dati non significa per forza avere un quadro più chiaro dei rischi informatici per le persone.

Il nostro “Ripensare il rischio informatico legato al fattore umano” ha rilevato che il 74% dei CISO afferma che i loro attuali report sui rischi informatici legati al fattore umano generano dashboard, ma non forniscono una comprensione sufficientemente chiara per prendere decisioni migliori. Ancora più significativo è il fatto che l’89% non riesca a collegare con certezza le attività di sensibilizzazione alla sicurezza alla riduzione degli incidenti o dei quasi incidenti.

Questo crea una situazione difficile per i responsabili della sicurezza. Da un lato raccolgono dati e redigono rapporti sui loro programmi di sensibilizzazione, mentre dall’altro devono affrontare una pressione sempre maggiore per dimostrare che tali programmi stanno riducendo i rischi.

Allora, cosa manca?

Cosa misura in genere un dashboard sui rischi legati al personale?

La maggior parte dei dashboard dedicati alla sensibilizzazione alla sicurezza è efficace nel mostrare l’attività. Ti permettono di sapere quanti dipendenti hanno completato un corso di formazione, chi ha aperto un’e-mail di phishing simulata, chi ha cliccato su un link, quante e-mail sospette sono state segnalate o se una determinata campagna ha raggiunto il pubblico previsto.

Ognuno di questi indicatori ha uno scopo preciso. I tassi di completamento possono aiutare a dimostrare la conformità, mentre i dati delle simulazioni di phishing possono mettere in luce comportamenti che potrebbero richiedere maggiore attenzione. Il problema sorge quando l’attività diventa il criterio principale per valutare il successo.

Secondo la nostra ricerca, il 70% dei CISO afferma che i propri report attuali sulla sensibilizzazione alla sicurezza si basano su metriche di attività come il completamento dei corsi di formazione o i tassi di clic sui link di phishing. Questi dati sono facili da raccogliere, facili da inserire in una dashboard e facili da presentare ai dirigenti.

Quello a cui faticano di più a rispondere è proprio la domanda a cui i CISO devono rispondere sempre più spesso: il rischio informatico legato al fattore umano sta diminuendo?

Perché le metriche di attività raccontano solo una parte della storia

Immagina che il 98% dei dipendenti completi la formazione annuale sulla sicurezza informatica. Sulla carta sembra ottimo, ma cosa ti dice questo su come reagiranno quei dipendenti quando, tre mesi dopo, riceveranno un’e-mail di phishing molto convincente nella loro casella di posta? Riconosceranno i segnali di allarme? Sapranno cosa fare? Ci sono alcuni team, ruoli o sedi che mostrano costantemente comportamenti più rischiosi rispetto ad altri?

Il tasso di completamento da solo non basta a dirti come stanno le cose. Lo stesso problema vale per molte delle metriche su cui i team di sicurezza si sono tradizionalmente basati. Queste confermano che un’attività si è verificata, ma spesso forniscono poche indicazioni sul fatto che, di conseguenza, il comportamento sia cambiato.

I CISO sono sottoposti a una pressione sempre maggiore per dimostrare il proprio valore: il 77% dei CISO che abbiamo intervistato ha dichiarato che ci si aspetta da loro una dimostrazione più rigorosa del ROI per le iniziative relative ai rischi informatici legati alle persone rispetto a quelle relative ai controlli tecnici.

Se i dati a loro disposizione misurano principalmente l’attività, dimostrare tale ritorno diventa molto più difficile. I responsabili della sicurezza possono dimostrare che i dipendenti sono stati formati o che sono state condotte delle simulazioni, ma stabilire un nesso credibile tra tale attività e una riduzione significativa del rischio è tutta un’altra storia.

Il problema di basarsi sui tassi di clic nel phishing

I tassi di clic nelle simulazioni di phishing sono uno degli indicatori più comuni per valutare il livello di consapevolezza in materia di sicurezza e possono rivelarsi utili. Un tasso di clic elevato può indicare un’area che merita attenzione, mentre le variazioni nel tempo possono fornire un ulteriore indizio sul comportamento dei dipendenti.

Ma non bisogna aspettarsi che il tasso di clic basti da solo a spiegare il rischio informatico legato alle persone. Il fatto che qualcuno clicchi su un’e-mail di phishing simulata non lo rende per forza un dipendente ad alto rischio in modo permanente. Allo stesso modo, chi non clicca su una simulazione non è automaticamente a basso rischio.

In questo caso il contesto è importante. Che tipo di attacco di phishing è stato utilizzato? Era attinente al ruolo di quel dipendente? Quanto è stato difficile individuarlo? Il dipendente ha già mostrato comportamenti simili in passato? Ha segnalato l’e-mail dopo l’accaduto? Cosa è successo dopo la simulazione e il suo comportamento è migliorato la volta successiva che si è trovato di fronte a una minaccia simile?

Guardare solo a una percentuale isolata può far perdere gran parte di quel contesto. Il comportamento umano cambia nel tempo e varia a seconda del ruolo, della situazione e delle minacce che i dipendenti devono affrontare. Per misurarlo in modo efficace, quindi, non basta una semplice raccolta di metriche sulle attività individuali.

Cosa si aspettano i CISO dai rapporti sui rischi legati al fattore umano

Un dashboard efficace sui rischi legati alle persone dovrebbe aiutare i team di sicurezza a decidere come procedere. Questo significa andare oltre domande del tipo “Quante persone hanno completato la formazione?” e concentrarsi su domande che rivelino come il rischio stia cambiando all’interno dell’organizzazione.

Dove si concentra il rischio informatico legato alle persone? Quali gruppi mostrano comportamenti che potrebbero aumentare l’esposizione al rischio? Questi comportamenti stanno migliorando dopo un intervento? Quali tipi di formazione o simulazioni di phishing sembrano funzionare per determinati gruppi? Su cosa dovrebbe concentrare la sua attenzione il team di sicurezza adesso?

Queste domande sono molto più utili perché collegano la misurazione all’azione. Eppure la nostra ricerca mostra quanto questo rimanga difficile per molte organizzazioni. Il 76% dei CISO afferma che i diversi stakeholder si aspettano metriche diverse relative al rischio informatico legato al fattore umano, mentre i CISO di tutti e quattro i paesi che abbiamo intervistato hanno segnalato difficoltà nel definire una misurazione coerente tra ruoli, regioni e unità aziendali.

Senza una visione condivisa di cosa significhi un progresso concreto, i dashboard possono trasformarsi in un attimo in semplici insiemi di numeri pensati per soddisfare diversi requisiti di rendicontazione, anziché essere strumenti che aiutano a prendere decisioni migliori in materia di sicurezza.

Passare dall’attività alla riduzione del rischio

Per valutare meglio il rischio informatico legato al fattore umano, non devi per forza smettere di considerare gli indicatori che già hai a disposizione. I tassi di completamento, i risultati delle simulazioni di phishing e il comportamento nella segnalazione possono tutti fornire informazioni utili. L’opportunità sta proprio nel mettere insieme questi segnali e usarli per costruire un quadro più chiaro di come sta cambiando il rischio informatico legato al fattore umano.

Invece di limitarsi a verificare se qualcuno ha completato la formazione, ad esempio, le organizzazioni possono valutare se il comportamento successivo sia cambiato. Invece di considerare un clic su un link di phishing come la fine della storia, possono usarlo come un segnale che aiuta a capire se un dipendente o un gruppo trarrebbe beneficio da un intervento mirato.

Con il passare del tempo, questo offre una visione molto più completa del rischio. Può aiutare i team di sicurezza a individuare modelli ricorrenti tra i vari gruppi, capire dove serve ulteriore supporto e verificare se gli interventi stanno sortendo l’effetto desiderato. Inoltre, fornisce ai CISO elementi molto più significativi da portare nelle discussioni con il consiglio di amministrazione.

Questo è particolarmente importante visto che, al momento, solo il 39% dei CISO si sente completamente a proprio agio nel spiegare il valore delle iniziative di sensibilizzazione alla sicurezza al proprio consiglio di amministrazione o ai vertici aziendali.

Un dashboard che dice che il 97% dei dipendenti ha completato la formazione comunica al consiglio di amministrazione che l’attività è stata svolta. Un approccio alla gestione dei comportamenti in grado di mostrare dove si concentrano i rischi, quali misure sono state adottate e se i comportamenti stanno migliorando offre loro informazioni molto più utili.

Ripensa il modo in cui valuti il rischio informatico legato alle persone

Per misurare meglio i rischi legati alle persone, basta mettere in relazione i segnali che hai già a disposizione e usarli per capire dove il rischio sta cambiando e dove è necessario intervenire.

MetaCompliance aiuta le organizzazioni proprio in questo. La nostra piattaforma di gestione dei rischi legati al fattore umano riunisce i dati provenienti dai corsi di sensibilizzazione sulla sicurezza, simulazioni di phishing e dal comportamento dei dipendenti per offrire ai team di sicurezza una maggiore visibilità sui rischi presenti all’interno della loro forza lavoro.

Queste informazioni possono poi essere usate per dare priorità ai gruppi a maggior rischio, mettere in atto interventi più mirati e monitorare se il comportamento migliora nel tempo. I team di sicurezza hanno un quadro più chiaro di dove concentrare l’attenzione, mentre i CISO dispongono di dati più significativi a supporto delle decisioni e delle discussioni con il consiglio di amministrazione.

L’obiettivo è rendere utili le misurazioni: aiutarti a capire dove si trova il rischio, come sta cambiando e cosa fare dopo, invece di limitarsi a riportare ciò che è già successo.

Scarica la versione completa “Ripensare il rischio informatico legato al fattore umano” per scoprire cosa ci hanno raccontato 200 CISO in Francia, Germania, Svezia e Regno Unito riguardo alla sfida della misurazione e quali cambiamenti concreti, secondo i responsabili della sicurezza, possono aiutare a far progredire la gestione del rischio umano.