Smettila di bombardare i tuoi dipendenti: come rendere più mirata la formazione sulla sicurezza informatica

Indice

• Perché una formazione più intensa sta diventando la norma
• Il costo dell’eccessiva formazione dei dipendenti
• Perché una maggiore attività non garantisce un rischio minore
• Come si presenta una sensibilizzazione mirata alla sicurezza
• Sei modi per rendere la sensibilizzazione alla sicurezza più pertinente
• Come MetaCompliance aiuta a rendere la sensibilizzazione alla sicurezza più mirata
• Domande frequenti

I team di sicurezza hanno passato anni a cercare di risolvere un problema complesso: come fare in modo che la sicurezza informatica rimanga una priorità, quando i dipendenti hanno già tantissime altre cose a cui pensare?

Per molte organizzazioni, la risposta è stata la frequenza. Più formazione, più promemoria, più simulazioni di phishing e più campagne di sensibilizzazione creano maggiori opportunità per rafforzare comportamenti sicuri.

Le nostre ultima ricerca suggerisce che le aziende potrebbero aver già raggiunto i limiti di questo approccio. I dipendenti ricevono ormai contenuti di sensibilizzazione sulla sicurezza in media da sei a sette volte al mese, eppure il 75% dei CISO ritiene ancora che i dipendenti non capiscano appieno il proprio ruolo nella prevenzione degli incidenti di sicurezza. Allo stesso tempo, tre quarti dei CISO affermano che, quando si tratta di influenzare un comportamento sicuro attraverso la formazione, la pertinenza conta più della frequenza.

Quando ogni dipendente riceve più o meno la stessa formazione a prescindere dal proprio ruolo, comportamento o livello di rischio, aumentare il volume può diventare rapidamente controproducente. I dipendenti smettono di prestare attenzione, i team di sicurezza dedicano tempo ad attività che potrebbero avere un impatto minimo e le organizzazioni fanno fatica a capire se il loro investimento stia davvero riducendo il rischio.

Un programma di sensibilizzazione alla sicurezza maturo non consiste quindi nel fare più formazione, ma nel renderla più pertinente alle persone, ai comportamenti e ai rischi che contano di più.

Perché “più formazione” diventa la scelta predefinita

La maggior parte dei team di sicurezza non punta deliberatamente a sopraffare i dipendenti. I programmi che prevedono un carico di lavoro elevato sono spesso il risultato di decisioni individuali ragionevoli che si accumulano gradualmente.

Emerge una nuova minaccia, quindi si aggiunge un altro corso di formazione al programma. Una campagna di phishing individua un punto debole, quindi si programma un’altra simulazione. Bisogna adeguarsi a un requisito normativo, quindi viene inserito un altro modulo obbligatorio. Arriva il Mese della sensibilizzazione alla sicurezza informatica e si aggiunge un’altra campagna al calendario.

Ogni attività ha uno scopo ben preciso, ma nel loro insieme formano un programma fortemente incentrato sui risultati.

Il nostro “Ripensare il rischio informatico umano” ha rilevato che, nonostante i dipendenti ricevano contenuti di sensibilizzazione sulla sicurezza da sei a sette volte al mese, nessuna delle organizzazioni intervistate ha dichiarato di fornire contenuti in modo dinamico in base alle minacce attuali o ai segnali di rischio in tempo reale. In molti casi, i programmi rimangono generici e vaghi, pensati più per coprire tutti gli aspetti che per affrontare i rischi individuali.

Questo rende la frequenza una leva facile da usare. Se un’organizzazione non è sicura che i dipendenti stiano cambiando il loro comportamento, lanciare un’altra campagna sembra già un passo avanti. Il problema è che il dipendente che dimostra costantemente un comportamento sicuro potrebbe ricevere lo stesso intervento di chi mostra ripetutamente segni di rischio più elevato.

Il costo dell’eccessivo carico di lavoro dei dipendenti

La conseguenza più evidente di un eccesso di comunicazioni sulla sicurezza è la “stanchezza da formazione”. I dipendenti hanno una capacità di attenzione limitata, il che significa che quando i messaggi di sensibilizzazione sembrano ripetutamente generici o irrilevanti per il loro lavoro, è più facile ignorarli. Una notifica sulla formazione diventa un altro compito da sbrigare, mentre un messaggio sulla sicurezza diventa un’altra e-mail che si contende spazio in una casella di posta già piena zeppa.

La nostra ricerca aiuta a spiegarne il motivo. L’81% dei CISO sostiene che la formazione sulla sicurezza fallisca perché è troppo generica per essere percepita come rilevante a livello personale.

C’è anche un costo per l’organizzazione. Creare, gestire e realizzare campagne di sensibilizzazione richiede risorse finanziarie e capacità da parte del team di sicurezza. Inoltre, il 77% dei CISO afferma che ci si aspetta da loro una dimostrazione più rigorosa del ROI per le iniziative relative ai rischi informatici legati alle persone rispetto a quelle relative ai controlli tecnici. Eppure, solo il 39% si sente completamente sicuro nel spiegare il valore delle iniziative di sensibilizzazione alla sicurezza al proprio consiglio di amministrazione o ai dirigenti.

Quando le risorse vengono impiegate per formare ripetutamente dipendenti a basso rischio insieme a quelli che hanno davvero bisogno di un intervento, diventa più difficile dimostrare il valore di tale impegno. Un approccio più mirato offre ai responsabili della sicurezza l’opportunità di sfruttare al meglio sia l’attenzione dei dipendenti che gli investimenti nella sicurezza.

Perché fare più attività fisica non garantisce un rischio minore

Uno dei motivi per cui il volume della formazione rimane elevato è che le attività di sensibilizzazione sono relativamente facili da misurare. I tassi di completamento della formazione possono mostrare che il 98% dei dipendenti ha completato un modulo, le simulazioni di phishing possono fornire un tasso di clic e i dashboard delle campagne possono indicare quante persone hanno ricevuto una comunicazione di sensibilizzazione.

La nostra ricerca ha rilevato che il 70% dei CISO afferma che i propri sistemi si basano su metriche di attività come queste. Tuttavia, il 74% sostiene che l’attuale sistema di reporting sui rischi informatici, gestito da persone, produca dashboard che non forniscono informazioni sufficienti per prendere decisioni migliori, mentre l’89% non riesce a collegare con certezza le proprie attività di sensibilizzazione alla riduzione degli incidenti o dei quasi incidenti.

Questo crea un circolo vizioso. Le organizzazioni possono constatare che la formazione è stata svolta, ma hanno meno chiarezza sul fatto che abbia effettivamente modificato i comportamenti o ridotto i rischi. Senza queste informazioni, intensificare le attività di sensibilizzazione può diventare la risposta automatica.

Per risolvere questo problema In questo ciclo, i team di sicurezza devono guardare oltre la quantità di formazione che stanno erogando e farsi un’idea più chiara di dove l’intervento avrà il maggiore impatto.

Come si presenta una campagna mirata di sensibilizzazione sulla sicurezza

Un approccio più mirato parte dal riconoscere che i dipendenti non presentano livelli o tipi di rischio informatico identici.

Prendiamo in esame due dipendenti. Uno lavora nel reparto Finanza, ha accesso ai sistemi di pagamento e di recente ha interagito con un’e-mail di phishing che simulava una fattura. L’altro ricopre un ruolo con accesso limitato ai sistemi sensibili e segnala regolarmente tentativi simulati di phishing.

Inviare a entrambi i dipendenti un altro modulo generico sul phishing potrà anche soddisfare un requisito formativo, ma non rappresenta certo un uso particolarmente efficiente del tempo di nessuno dei due.

Gli interventi più adatti potrebbero essere molto diversi tra loro. Il dipendente del reparto Finanza potrebbe trarre beneficio da una formazione immediata sulle frodi relative alle fatture, insieme a simulazioni di phishing che rispecchino le richieste di pagamento che riceve regolarmente. Il secondo dipendente potrebbe invece aver bisogno solo di un piccolo intervento aggiuntivo oltre al programma di sensibilizzazione di base dell’azienda.

Il ruolo, il reparto, i permessi di accesso, il comportamento passato e altri segnali di rischio possono aiutare le organizzazioni a prendere queste decisioni in modo più oculato.

Dalla nostra ricerca è emerso che l’83% dei CISO ritiene che potrebbe ridurre più rapidamente i rischi informatici legati al fattore umano se disponesse di metodi più efficaci per stabilire chi ha bisogno di quale intervento e quando. Tuttavia, il 76% afferma che al momento non è chiaro quali interventi funzionino meglio per i diversi ruoli o profili di rischio.

La sfida, quindi, è trasformare quel principio in un programma di sensibilizzazione alla sicurezza in grado di rispondere alle diverse livelli di rischio senza creare ulteriore carico di lavoro per i team di sicurezza.

Sei modi per rendere più interessante la sensibilizzazione alla sicurezza

Allontanarsi da un approccio generico alla sensibilizzazione sulla sicurezza non significa rinunciare alla formazione periodica né ricostruire da zero l’intero programma. Le organizzazioni hanno comunque bisogno di attività di sensibilizzazione di base per comunicare le politiche, soddisfare i requisiti normativi e definire aspettative condivise in materia di sicurezza.

L’opportunità sta proprio nel sviluppare maggiore intelligenza e rilevanza partendo da quelle basi.

1. Inizia dal ruolo e dall’esposizione: I rischi che un dipendente corre dipendono molto da quello che fa. I team finanziari potrebbero essere bersaglio di frodi sulle fatture e di attacchi di tipo Business Email Compromise. Gli amministratori IT potrebbero disporre di accessi privilegiati che rendono le credenziali compromesse particolarmente preziose, mentre i dirigenti senior sono bersagli appetibili per l’usurpazione d’identità e sofisticate tecniche di ingegneria sociale. La formazione sulla sicurezza può tenere conto di queste differenze. Anziché proporre a tutti i dipendenti scenari identici, le organizzazioni possono basarsi sul ruolo, sul reparto e sui livelli di accesso per stabilire quali minacce meritino maggiore attenzione.

2. Usa il comportamento per capire chi ha bisogno di più supporto: il ruolo di una persona può dare ai team di sicurezza qualche indicazione sul suo livello di esposizione, ma il comportamento può fornire un ulteriore livello di contesto. I risultati delle simulazioni di phishing, il comportamento nella segnalazione, le attività di formazione precedenti e altri indicatori di rischio possono aiutare a capire dove potrebbe essere utile un intervento aggiuntivo. Un dipendente che interagisce ripetutamente con tentativi di phishing simulati potrebbe aver bisogno di un supporto diverso rispetto a chi li identifica e li segnala con costanza. Questo aiuta le organizzazioni a concentrare la formazione dove ha il maggior potenziale di ridurre il rischio, evitando al contempo corsi aggiuntivi non necessari per i dipendenti che già dimostrano un comportamento sicuro.

3. Fai in modo che le simulazioni di phishing rispecchino contesti reali: un’e-mail di phishing generica può verificare se un dipendente riconosce i segnali di allarme più comuni, ma la rilevanza aumenta notevolmente quando una simulazione riproduce le richieste che quella persona potrebbe realisticamente ricevere. Per un dipendente del reparto Finanza, potrebbe trattarsi di una richiesta di pagamento o di una fattura. Per chi lavora nelle Risorse Umane, potrebbe riguardare un CV o una comunicazione sui benefici. I dirigenti potrebbero trovarsi di fronte a scenari che prevedono richieste urgenti o casi di furto d’identità. Rendere le simulazioni più rappresentative delle situazioni reali aiuta i dipendenti a esercitarsi nel prendere decisioni sicure in un contesto che riconoscono, invece di considerare le esercitazioni di phishing come qualcosa di separato dalle loro responsabilità quotidiane.

4. Intervenire più vicino al punto di rischio: Il tempismo può essere importante tanto quanto il contenuto. Se un dipendente mostra un comportamento rischioso oggi, aspettare settimane per la prossima campagna di sensibilizzazione in programma può far perdere gran parte del contesto che rendeva l’apprendimento rilevante in primo luogo. Quando possibile, le aziende possono usare segnali comportamentali e di rischio per attivare la formazione più vicina al momento in cui serve. Questo potrebbe significare un supporto aggiuntivo dopo una simulazione di phishing, contenuti mirati in risposta a una minaccia emergente o un intervento quando si manifesta un particolare modello di rischio. In questo modo è più facile per i dipendenti collegare la formazione alla situazione per cui è stata pensata.

5. Mantieni una formazione di base, poi costruisci interventi mirati attorno ad essa: non tutti i corsi di formazione devono essere personalizzati individualmente. Le organizzazioni hanno comunque bisogno di un programma di base che copra le politiche aziendali, i comportamenti fondamentali in materia di sicurezza, i requisiti normativi e le minacce che riguardano l’intera forza lavoro. Questo crea una base di riferimento. Gli interventi mirati possono integrare questa base, fornendo ulteriore supporto ai dipendenti, ai ruoli o ai reparti in cui i segnali di rischio indicano che saranno più efficaci. Questo crea un modello più equilibrato: tutti ricevono la formazione sulla sicurezza di cui hanno bisogno, senza dare per scontato che tutti richiedano gli stessi interventi.

6. Misura il comportamento, non solo l’attività: Le organizzazioni devono capire se il targeting sta facendo davvero la differenza. I tassi di completamento, la diffusione delle campagne e i tassi di clic sui link di phishing sono utili, ma forniscono solo una parte del quadro. I team di sicurezza devono anche sapere come cambia il comportamento nel tempo, dove si concentra il rischio e se interventi specifici stanno producendo risultati migliori. Questo significa collegare le attività di sensibilizzazione ai dati sul rischio, invece di considerare ogni campagna a sé stante. C’è voglia di questo cambiamento. L’81% dei CISO concorda sul fatto che un targeting migliore sia la risposta, mentre l’80% investirebbe di più in contenuti di sensibilizzazione pensati per ruoli e profili di rischio specifici. L’obiettivo non è per forza quello di inviare meno contenuti di sensibilizzazione sulla sicurezza ai dipendenti. È assicurarsi che gli interventi che ricevono abbiano una ragione d’essere.

In che modo MetaCompliance contribuisce a rendere la sensibilizzazione alla sicurezza più mirata

Per passare a un approccio più mirato non basta creare ulteriori varianti dello stesso contenuto formativo. I team di sicurezza hanno bisogno di visibilità sui rischi informatici legati al fattore umano, della capacità di capire dove si concentrano tali rischi e di strategie concrete per affrontarli.

La nostra piattaforma di gestione dei rischi legati alle risorse umane riunisce tutte queste funzionalità, combinando corsi adattivi e personalizzati sulla sicurezza informatica, simulazioni avanzate di phishing, analisi comportamentali e informazioni sui rischi in tempo reale e interventi automatizzati. Questo aiuta le organizzazioni a identificare chi è più a rischio, a capire perché e a fornire un supporto mirato prima che un comportamento rischioso si trasformi in un incidente.

Anziché affidarsi a campagne generiche come strumento principale per gestire il rischio umano, i team di sicurezza possono utilizzare le informazioni sui ruoli e sui rischi per personalizzare la formazione, eseguire simulazioni di phishing più pertinenti e automatizzare gli interventi in base ai comportamenti che contano davvero. Possono inoltre tracciare un quadro più chiaro del rischio umano in tutta l’organizzazione, il che li aiuta a stabilire le priorità nelle risorse e a dimostrare come il loro programma si stia evolvendo nel tempo.

Con oltre 20 anni di esperienza nella sensibilizzazione alla sicurezza informatica e più di nove milioni di utenti in tutto il mondo, siamo qui per aiutare le organizzazioni a potenziare i programmi di sensibilizzazione che già hanno in atto e a sviluppare un approccio più mirato e misurabile alla gestione dei rischi legati al fattore umano.

Vuoi capire in che direzione potrebbe evolversi il tuo approccio attuale? Scarica la nostra rapporto “Rethinking Human Cyber Risk” per scoprire cosa ci hanno raccontato 200 CISO di Regno Unito, Francia, Germania e Svezia sul futuro della sensibilizzazione alla sicurezza e della gestione dei rischi umani.

Oppure prenota una demo per scoprire come l’apprendimento personalizzato, le simulazioni di phishing, le analisi comportamentali, le informazioni sui rischi in tempo reale e gli interventi automatizzati possano aiutarti a rivolgerti alle persone giuste, con il supporto giusto, al momento giusto.