Molte aziende fanno formazione sulla sicurezza informatica una volta, magari all'assunzione: un video di un'ora, un questionario a risposta multipla, un attestato. Pochi mesi dopo, quasi nessuno ricorda cosa ha visto. Non perché le persone siano disattente, ma perché quel tipo di formazione non è progettato per cambiare le abitudini. Chi gestisce una piccola impresa può fare molto meglio, spesso con meno tempo e meno spesa.
L'obiettivo: comportamenti, non nozioni
Un dipendente non ha bisogno di sapere come funziona tecnicamente un ransomware. Ha bisogno di sapere tre cose:
- riconoscere le situazioni a rischio tipiche del suo lavoro;
- sapere cosa fare in quel momento;
- sapere a chi rivolgersi e sentirsi libero di farlo.
Ogni contenuto formativo dovrebbe servire a uno di questi tre scopi. Se non serve, si può togliere.
Partire dai rischi reali del ruolo
La stessa formazione per tutti è poco efficace. I rischi cambiano molto da ruolo a ruolo:
- amministrazione: richieste di cambio IBAN, falsi solleciti del titolare, fatture false;
- commerciale: allegati da clienti sconosciuti, link in messaggi, condivisione di file con l'esterno;
- accoglienza e segreteria: telefonate di finti tecnici o fornitori, visitatori senza appuntamento;
- tutti: phishing, password, dispositivi lasciati sbloccati, segnalazione delle anomalie.
Bastano pochi minuti dedicati agli scenari specifici di ogni gruppo per rendere la formazione molto più concreta.
Brevi e frequenti, non lunghe e rare
La memoria funziona meglio con richiami frequenti. Al posto di un corso annuale di due ore, considera:
- dieci-quindici minuti al mese, magari all'inizio di una riunione già prevista;
- un esempio reale ogni volta: un'email sospetta arrivata in azienda, opportunamente anonimizzata, o un caso raccontato da un fornitore;
- una regola sola per incontro, ripetuta e messa in pratica.
Un esempio vero, arrivato nella casella di un collega, si ricorda molto più di dieci slide generiche.
Esercitazioni: utili, se fatte con rispetto
Le simulazioni di phishing, cioè email di prova inviate dall'azienda per vedere chi clicca, possono essere utili. Ma diventano controproducenti se usate per punire o mettere in imbarazzo. Alcuni principi:
- annuncia che ci saranno esercitazioni, senza dire quando;
- quando qualcuno clicca, mostragli subito una pagina breve che spiega quali segnali avrebbe potuto notare;
- non pubblicare classifiche né nomi di chi ha sbagliato;
- misura e premia soprattutto le segnalazioni: quante persone hanno riconosciuto l'email e l'hanno segnalata;
- evita simulazioni crudeli, come finti premi in denaro o false comunicazioni su stipendi e licenziamenti: incrinano la fiducia senza insegnare di più.
Una cultura senza colpe
Il fattore che più di ogni altro determina la sicurezza di un'organizzazione è la velocità con cui le persone segnalano un errore. Un dipendente che ha cliccato un link sospetto e lo dice subito permette di intervenire in pochi minuti. Uno che ha paura di essere rimproverato tace, e il problema emerge giorni dopo, quando è molto più grave.
Per questo:
- ringrazia sempre chi segnala, anche quando era un falso allarme;
- non usare le segnalazioni come prova contro qualcuno;
- racconta, quando è possibile, come una segnalazione ha evitato un problema;
- fai in modo che il titolare per primo dia l'esempio, segnalando a sua volta le email sospette.
Rendere facile la cosa giusta
La formazione funziona meglio quando le procedure la sostengono. Se la regola dice di verificare per telefono i cambi di IBAN, il numero del fornitore deve essere facile da trovare. Se si chiede di segnalare le email sospette, ci deve essere un pulsante o un indirizzo semplice da usare. Se si chiede di non usare password ripetute, l'azienda deve fornire un password manager.
Un programma minimo per un anno
| Mese | Argomento |
|---|---|
| 1 | Come si segnala un problema, e perché conviene |
| 2 | Riconoscere un'email di phishing |
| 3 | Password manager e verifica in due passaggi |
| 4 | Telefonate e messaggi dei finti operatori |
| 5 | Pagamenti e cambi di IBAN |
| 6 | Smartphone e dispositivi di lavoro |
| 7-12 | Ripasso con esempi reali arrivati in azienda ed esercitazioni |
Come capire se funziona
Non contare gli attestati. Osserva invece:
- se aumentano le segnalazioni di email e telefonate sospette;
- se diminuiscono i clic nelle esercitazioni nel corso dei mesi;
- se le persone chiedono prima di fare qualcosa di insolito.
In sintesi
- La formazione serve a cambiare comportamenti: riconoscere, agire, segnalare.
- Adatta i contenuti ai rischi reali di ciascun ruolo.
- Incontri brevi e frequenti con esempi veri funzionano meglio dei corsi annuali.
- Le esercitazioni sono utili solo se rispettose e orientate alle segnalazioni.
- Una cultura senza colpe fa emergere gli errori quando sono ancora rimediabili.