La formazione in materia di cyber security è di fondamentale importanza per le aziende di qualsiasi dimensione e settore. La sicurezza informatica è diventata, legittimamente, una preoccupazione sempre più urgente e pressante per le aziende, le organizzazioni e gli individui di tutto il mondo. Le minacce alla sicurezza informatica possono avere conseguenze come perdite finanziarie, furto di informazioni personali, danni di immagine fino a danni fisici.
Affidare la cyber security a soluzioni prettamente tecnologiche, siano esse software o hardware (per quanto sofisticate) è pericolosamente “limitativo”, la sicurezza non può essere solo sinonimo di tecnologia. Indubbiamente il supporto di tali risorse gioca un ruolo essenziale, pensare di farne a meno sarebbe inconcepibile ma, allo stesso tempo, identificarli come la “pietra filosofale” della sicurezza rischia di farci crogiolare in false e pericolose certezze che non contemplano il fattore più importante: quello umano.
La cyber security è certamente un tema complesso che coinvolge diversi fattori, tra cui la tecnologia, le policy aziendali e l’utente finale. Tuttavia, è vero che le debolezze dell’utente possono rappresentare una delle vulnerabilità più importanti nella sicurezza informatica.
I dipendenti, infatti, rappresentano una delle prime linee di difesa della sicurezza aziendale. Possiamo immaginare la cyber security aziendale come la somma della consapevolezza, preparazione e sensibilità di ogni singolo dipendente.
Questa “vulnerabilità” è ovviamente ben nota ai cyber criminali che spesso ricorrono ad attacchi di ingegneria sociale per colpire, tramite i dipendenti, le diverse strutture.
Il social engineering ha radice profonde, eppure né l’evoluzione di nuove forme di attacco, né tantomeno lo sviluppo di nuove metodologie o tecniche di difesa, hanno rappresentato un deterrente per l’utilizzo di queste pratiche che rimangono un “evergreen” del cyber crime.
La formazione alla cyber security è un investimento che ritorna
Indice degli argomenti
I criminali si “formano”, perché non farlo anche noi?
Proprio in questi ultimi anni il cyber crime si è mostrato come un mondo sempre più “aperto” e accessibile a chiunque voglia acquisire competenze, conoscenze, strumenti e addirittura usufruire di servizi già pronti da utilizzare in modo distorto e improprio per le loro attività criminali.
Se a questo aggiungiamo le ingenti risorse economiche sulle quali alcuni soggetti possono contare e la “creatività” nel realizzare costantemente nuove tipologie di attacchi o truffe, ecco che si configura un quadro che può minare la sicurezza di qualsiasi azienda, oltre che personale.
Ma se i criminali hanno la facoltà di accedere a così “tanto sapere”, allora diventa essenziale che anche gli utenti, i dipendenti, possano e debbano fare altrettanto.
L’arma che si ha a disposizione è proprio la formazione. Infatti, non è possibile difendersi da ciò che non si conosce ed è proprio l’inconsapevolezza delle vittime un’ulteriore arma per i cyber criminali.
La formazione come elemento essenziale
In questo scenario la formazione diventa essenziale, unica vera arma per contrastare il dilagare di numerose minacce.
Ovviamente le ragioni principali per cui le aziende dovrebbero adottare piani di formazione in materia cyber security per propri dipendenti sono diverse, ad esempio:
- prevenzione degli attacchi informatici: la formazione in cyber security aiuta i dipendenti a identificare, quindi prevenire, possibili attacchi informatici, come phishing, lo smishing e così via. I dipendenti formati e consapevoli possono contribuire a proteggere i sistemi dell’azienda e prevenire le perdite di dati;
- rispetto delle normative e standard: le aziende devono rispettare le normative sulla privacy e sulla sicurezza informatica, come previsto dal Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea. La formazione sulla cyber security aiuta i dipendenti a comprendere queste normative e a rispettarle, esattamente come consente loro di comprendere standard internazionali (es. gli standard ISO) e contribuire al loro mantenimento e miglioramento;
- cultura della sicurezza informatica: la formazione in tema cyber security può certamente contribuire a creare una cultura della sicurezza informatica all’interno dell’azienda stessa. I dipendenti formati e consapevoli sono più propensi e reattivi a segnalare attività sospette e ad adottare comportamenti sicuri quando si tratta di proteggere i dati vitali per la propria azienda;
- tutela dell’immagine e reputazione dell’azienda: una violazione della sicurezza informatica può danneggiare anche irrimediabilmente la reputazione di un’azienda e causare la perdita di clienti e/o perdite finanziarie. La formazione può aiutare a prevenire queste violazioni e proteggere la reputazione dell’aziendale, che spesso viene costruita attraverso anni di duro lavoro, ma che può essere vanificata da un “semplice” comportamento errato;
- risparmio di tempo e denaro: la formazione in cyber security può contribuire a ridurre il tempo e i costi legati alla gestione di incidenti della sicurezza. I dipendenti formati e consapevoli possono contribuire a prevenire gli incidenti e a gestire quelli che si verificano in modo più efficiente.
Rendere la formazione più efficace
La formazione in materia di cyber security può essere resa più efficace se accompagnata da altri due elementi fondamentali: consapevolezza e valutazione. Due elementi che dovrebbero essere integrati nel processo di formazione, rendendo tale attività più completa.
Avere le competenze per riconoscere una mail di phishing (ad esempio) e non applicarle per mancanza di consapevolezza è del tutto inutile,
Purtroppo, alcuni vecchi retaggi possono ostacolare quanto fatto durante la formazione, come prediligere eccessivamente la quantità di lavoro svolto alla qualità, richiedendo velocità a discapito dell’attenzione che può fare la differenza tra il renderci capaci di riconosce un attacco o rimarne vittima, oppure il pensare che qualsiasi eventuale problema di sicurezza riguardi solo ed esclusivamente il reparto IT o la direzione.
Un percorso di consapevolezza, inserito ad arte nella formazione, dovrebbe condurre all’importanza di porre un’adeguata attenzione nel riconoscere e segnalare una minaccia informatica, o possibile tale, a renderla parte della propria attività, scardinando così l’idea che si tratti di un’interruzione dell’attività lavorativa o causa di ritardo.
Non si tratta solo di tutelare la struttura dove si lavora, ma di essere consapevoli che stiamo proteggendo il nostro stesso posto di lavoro.
I dati degli ultimi anni evidenziano, purtroppo, come numerosi attacchi possono provocare, all’interno di un’azienda, fermi produttivi di giorni, settimane o mesi, e non sempre il contraccolpo economico è “assorbibile” per tutte le aziende, che sempre più spesso, dinanzi a determinati attacchi raggiungono un punto di rottura tale da non permettergli più di rialzarsi.
Quella consapevolezza o attenzione che spinge a dedicare qualche minuto in più alla lettura di una mail può fare la differenza tra un attacco di phishing riuscito o bloccato in maniera tempestiva.
Inoltre, la consapevolezza sui temi della cyber security dovrebbe essere incoraggiata anche a livello individuale, per aiutare le persone a proteggere le proprie informazioni e quelle dei loro cari. In modo particolare pensando che sempre più spesso viene concesso ai dipendenti di utilizzare a lavoro i propri dispositivi personali (BYOD) o nelle attività di smart working dove il confine tra vita privata e lavorativa diventa estremamente sottile.
Ad affiancare questi due elementi, dovrebbe esserci la valutazione. È infatti importante valutare i risultati della formazione in materia di cyber security per verificare l’efficacia del programma e apportare eventuali modifiche o miglioramenti necessari.
Effettuare test, simulazioni o campagne “controllate” è un’ottima metodologia per poter misurare il livello di efficienza ed efficacia. Non si tratta di una classifica di competenze, ma di andare molto più in profondità, di comprendere come sia possibile intervenire per portare tutti ad un livello corretto di conoscenza e competenza.
Formazione, consapevolezza e valutazione non dovrebbero essere elementi distinti ma progettati per poter cooperare in perfetta armonia, con il fine ultimo di raggiungere il miglior livello di conoscenza e sicurezza possibile, con tutte le diverse sfaccettature che caratterizzano questo settore e attività.
La formazione non è “una tantum”
La formazione in cyber security integrata in modo continuo in azienda dovrebbe essere un fattore fondamentale per garantire la sicurezza delle informazioni e dei sistemi informatici dell’organizzazione.
Adottando le giuste strategie e mantenendo la formazione costantemente aggiornata, è possibile ridurre significativamente i rischi di attacchi informatici portati a buon fine e proteggere l’azienda da eventuali perdite di dati o danni alla reputazione.
La formazione non può essere semplicemente vista come un’attività sporadica o marginale, ma deve essere parte integrante dell’attività lavorativa di ogni dipendente, indipendentemente dal ruolo ricoperto.
La formazione, soprattutto nell’ambito della cyber security, richiede aggiornamenti e richiami alle conoscenze apprese, tale prassi consente non solo di rafforzare le precedenti nozioni ma anche di acquisire nuove competenze capaci di far fronte a nuovi scenari e tenere il passo con le ultime tendenze e minacce informatiche.
Ciò aiuta a garantire che i dipendenti siano sempre a conoscenza di nuovi pericoli e delle best practice di settore. Questo serve anche a comprendere come la formazione stessa sia un’attività assolutamente integrata e quindi parte dei processi aziendali.
I Master che creano specialisti in strategie tecniche e geopolitiche di cyber security
La formazione non è un “prodotto in serie”
Sebbene la formazione in ambito di cyber security abbia dei punti fermi comuni a tutti i settori, pensare che possa essere sempre e comunque un “prodotto” standard può limitarne l’efficacia. La formazione, come già detto, deve riguardare tutti i dipendenti, ma non tutti i dipendenti partono dalle stesse basi o assimilano concetti nello stesso modo.
Utilizzare diversi step di crescita e linguaggio appropriato consente a tutti di raggiungere, nel rispetto di tempi e peculiarità gli stessi livelli di preparazione.
Discorso simile potrebbe essere fatto anche per l’azienda stessa: pensare che un percorso formativo possa essere efficace in ogni realtà, significa ignorare le caratteristiche, le specificità e scenari che rendono uniche le diverse aziende. La formazione, partendo da una base solida comune, dovrebbe poi essere costruita intorno alle necessità e prerogative di ogni singola realtà, dovrebbe essere customizzata.
La formazione è un elemento di protezione, e come tale è più efficace se realizzato su misura o quantomeno calibrato sulle necessità degli uditori. Un po’ come un casco per un motociclista, una misura di sicurezza imprescindibile ma, che se troppo grande potrebbe non proteggere adeguatamente il soggetto, così come se troppo piccolo potrebbe essere non indossabile e pertanto del tutto inutile.
La formazione deve avere la capacità di avvolgere l’azienda in modo unico e personale, in quanto non tutte hanno le stesse risorse, problematiche, tipologia di dipendenti, tempo a disposizione o capacità di mettere in pratica quelle che comunemente vengono definite “soluzioni standard”. Modellare questa attività significa rendere efficace l’attività formativa.
Questo potrebbe richiedere del tempo, ma ormai dovremmo aver imparato che la formazione è un investimento e non una spesa.
Conclusioni
L’auspicio (forse utopistico) è che tutti, aziende, dipendenti, tecnici e no, possano arrivare a vedere e sentire “piacevolezza” e “normalità” nella formazione, nello studio.
Vedere la formazione non come un peso o un obbligo al quale assolvere, ma l’occasione per poter migliorare le proprie conoscenze per difendere sé stessi e la propria azienda, un modo per crescere e potersi sentire più sicuri nell’approcciarsi alle nuove tecnologie.
Solo attraverso la formazione, infatti, è possibile comprendere e quindi stabilire una strategia di difesa e metterla in pratica per essere efficace.
La formazione non potrà certamente renderci perfetti, ma potrà aiutarci ad essere un po’ meno imperfetti e, soprattutto, meno esposti alle minacce cyber.
