Gli attacchi informatici sono così comuni che finiscono regolarmente sui notiziari nazionali. Ci sono molte ragioni per cui le truffe e la criminalità informatica hanno preso piede. Tuttavia, la manipolazione e l’ingegneria sociale nei confronti dei nostri dipendenti e del software che usano rappresentano un tipico punto di partenza per questi attacchi.
Le organizzazioni di tutto il mondo stanno lavorando per costruire una cultura della sicurezza che contrasti il fattore umano negli attacchi informatici. Ma se la tua organizzazione deve ancora sviluppare questa mentalità incentrata sulla sicurezza, e le minacce e le vulnerabilità mettono sempre più a rischio la tua azienda, devi chiederti: una buona formazione sulla sicurezza informatica può cambiare una cultura della sicurezza informatica carente?
Segnali di una cultura della sicurezza informatica inadeguata e come risolverla
Una cultura della sicurezza informatica inadeguata presenta alcuni segnali d’allarme evidenti a cui prestare attenzione. Di seguito trovi alcuni dei più evidenti, insieme ad alcune azioni che possono aiutarti a cambiare una cultura della sicurezza informatica inadeguata, utilizzando alcune buone tecniche di formazione in materia:
Tante chiacchiere e niente fatti
La cultura della sicurezza si diffonde sia dall’alto verso il basso che dal basso verso l’alto. Bisogna incoraggiare tutti a sentirsi parte di un insieme più grande, lavorando per un obiettivo comune in cui la sicurezza viene presa sul serio. Tutti, dai membri del consiglio di amministrazione al personale a tempo determinato, dovrebbero capire cosa significa mettere la sicurezza al primo posto e come farlo esattamente.
Non cambierà nulla se la tua azienda parla di sicurezza ma non offre soluzioni concrete per affrontare le minacce. Spiegando come proteggersi, il personale sarà in grado di reagire nel modo giusto in caso di tentativi di attacchi informatici, come email di phishing o casi di ingegneria sociale.
Come passare dalle parole ai fatti: per passare dalle parole ai fatti, la dirigenza deve mettere in atto misure concrete a sostegno delle iniziative di sicurezza. Ciò richiederà una formazione continua e positiva in materia di sicurezza in tutta l’organizzazione, fornendo al personale gli strumenti necessari per contribuire alle iniziative di sicurezza dell’azienda.
Una cultura della colpa, non della sicurezza
Il gioco dello “scaricabarile” è una cultura tossica e dannosa che può diffondersi rapidamente quando si verificano attacchi informatici, soprattutto se continuano a ripetersi. È facile puntare il dito e incolpare il personale per incidenti come l’apertura di un’e-mail potenzialmente dannosa. Tuttavia, più si punta il dito, più il clima generale riguardo ai comportamenti in materia di sicurezza peggiorerà.
Inoltre, questo atteggiamento accusatorio è dannoso quanto cliccare su un link di phishing, perché crea un clima di sfiducia e alimenta comportamenti poco sicuri.
Smettila di dare la colpa agli altri e punta invece su una comunicazione aperta: cercare capri espiatori e attribuire colpe sono l’esatto contrario di una buona cultura della sicurezza informatica. Cerca invece di costruire un clima di fiducia, in cui se un dipendente commette un errore, si senta a proprio agio nel rivelare l’accaduto. Una buona cultura della sicurezza ha bisogno di una buona comunicazione. Se un dipendente segnala al reparto IT un errore di sicurezza, come la divulgazione accidentale di dati sensibili, il team può intervenire più rapidamente per limitare l’esposizione dei dati.
Ignorare ciò che ti dicono gli indicatori
Quando la cultura della sicurezza va a rotoli, il problema si riflette nelle metriche di vulnerabilità dell’organizzazione: il fattore umano nella sicurezza informatica è ben noto, con statistiche scioccanti come quella secondo cui l’82% di tutti gli attacchi informatici coinvolge un elemento umano. L’errore umano si verifica quando le persone non si rendono conto di come le loro azioni possano portare alla fuga di dati o mettere a rischio un’azienda. Quindi, se noti un aumento delle violazioni potenziali o effettive, la causa potrebbe essere ricondotta ai dipendenti o ad altre figure esterne all’azienda.
Le metriche sono tue alleate: usa quelle fornite dai programmi di formazione sulla sicurezza informatica e dalle simulazioni di phishing per individuare i punti critici. Le metriche ti permettono di personalizzare la formazione in modo che sia più efficace. Inoltre, la formazione può essere adattata in base ai ruoli per concentrare l’attenzione su specifiche aree vulnerabili.
Da un orecchio entra e dall’altro esce
Una cultura della sicurezza poco efficace può portare a un apprendimento inefficace in materia di sicurezza. Materiale formativo noioso e ripetitivo, in stile “a scuola”, può scoraggiare i dipendenti e compromettere le tue possibilità di costruire una solida cultura della sicurezza.
L’apprendimento attivo avviene quando le persone sono coinvolte e riescono a entrare in sintonia con l’argomento a livello emotivo. Ad esempio, se non offri contenuti di sensibilizzazione alla sicurezza collaudati e affidabili, potresti scoprire che le informazioni entrano da un orecchio ed escono dall’altro: i dipendenti dimenticano le esperienze formative fondamentali e i comportamenti scorretti in materia di sicurezza rimangono immutati.
Il materiale stimolante fa miracoli: offri materiale didattico stimolante che sia in sintonia con i tuoi dipendenti. Ricorri alla formazione “point-of-need”, in modo che i dipendenti imparino mentre si formano e contribuiscano a trasformare i comportamenti negativi in positivi. Il materiale coinvolgente rimane impresso nei dipendenti e crea quella mentalità incentrata sulla sicurezza necessaria per consolidare una cultura della sicurezza.
La formazione è scollegata
Le culture di ogni tipo si basano sulla fiducia e sulla comunicazione. Se i dipendenti non parlano delle loro preoccupazioni o dei problemi con i propri responsabili diretti, può nascere una cultura della sicurezza poco efficace. Il problema si presenta quando proprio quei responsabili diretti si sentono distanti dalla cultura della sicurezza. Questo può succedere quando i programmi di formazione tralasciano i dirigenti o quando il materiale formativo non è adattato ai reparti e ai ruoli specifici.
Collega i ruoli e i reparti:
- Crea legami e abbatti le barriere quando sviluppi programmi di formazione sulla sicurezza, ideando campagne incentrate su ruoli specifici.
- Coinvolgi tutti i dipendenti nella formazione: ogni persona all’interno di un’organizzazione ha un ruolo da svolgere nell’azienda e tutti devono far parte della cultura della sicurezza.
- Usa materiale formativo che favorisca la creazione di legami tra la dirigenza e i dipendenti attraverso attività formative collaborative, come i giochi in stile escape room.
Una mancanza di coinvolgimento
Le culture fioriscono quando coinvolgono tutti. Le persone sono esseri sociali e un comportamento prosociale è fondamentale per costruire comunità solide e collaborative. Se non coinvolgi tutti nella tua formazione sulla consapevolezza della sicurezza, si formeranno gruppi che adotteranno comportamenti meno sicuri rispetto a chi ha seguito la formazione. La mancanza di coinvolgimento da parte di alcuni influirà negativamente sullo sviluppo di una cultura e di una comunità della sicurezza coese.
Ascolta e impara: ascoltare i tuoi collaboratori può aiutarti a sviluppare un senso di comunità e fiducia. Adotta una politica della porta aperta per creare legami, che porteranno a risposte migliori in materia di sicurezza. Ascolta e impara, coinvolgi i dipendenti nella formazione sulla consapevolezza della sicurezza attraverso iniziative come la settimana annuale dedicata alla sicurezza informatica. Una buona capacità di ascolto è un’ottima strategia per coinvolgere le persone. Aiuta anche a sviluppare uno spirito di comunità fondamentale per creare una cultura della sicurezza solida ed efficace.
C’è un proverbio che sicuramente avrai sentito: “Uniti resistiamo, divisi cadiamo”. Questo detto riassume l’importanza di lavorare insieme verso un obiettivo comune; così facendo, “il tutto diventa più grande della somma delle parti”. La formazione sulla sicurezza dovrebbe coinvolgere tutta la comunità aziendale e creare legami basati su esperienze e preoccupazioni condivise. Offrendo un programma di formazione sulla sicurezza divertente, coinvolgente e informativo, la tua azienda può creare quella cultura della sicurezza che sembra difficile da raggiungere ma che è fondamentale.