La security awareness è diventata uno degli investimenti più importanti che un’azienda può fare per salvaguardare le proprie infrastrutture e proteggere il prezioso patrimonio informativo dai sempre più numerosi attacchi informatici: di conseguenza, la formazione in cyber security rappresenta il punto di partenza per aumentare la cultura della sicurezza informatica e migliorare la capacità di prevenire gli incidenti e le conseguenze, economiche e reputazionali, di una violazione di dati.
Infatti, un programma di formazione in cyber security efficace affronta e prova a dare una soluzione agli errori di sicurezza che i dipendenti potrebbero commettere quando utilizzano la posta elettronica, il web e il mondo fisico, come ad esempio lo smaltimento improprio dei documenti.
Inoltre, i programmi di formazione in cyber security aiutano le persone a comprendere il ruolo che svolgono nel contrastare le violazioni della sicurezza informatica aziendale, la corretta cyber hygiene, i rischi per la sicurezza associati alle loro azioni e a identificare gli attacchi informatici a cui sono potenzialmente esposti.
La formazione alla cyber security è un investimento che ritorna
Indice degli argomenti
Perché fare formazione in cyber security
Una solida ed efficace formazione in cyber security rappresenta, dunque, il primo strumento di difesa per qualunque azienda in quanto consente di creare tra i propri dipendenti e gli stakeholder di terze parti, come appaltatori e partner commerciali, quella consapevolezza dei rischi e delle minacce informatiche necessaria per trasformare il fattore umano da anello debole della catena di sicurezza in punto di forza del proprio perimetro difensivo.
Vero è, infatti, che gli attacchi informatici hanno raggiunto un livello di sofisticatezza tale da indurre in “errore” anche gli utenti più esperti e attenti: dunque, è fondamentale formare il proprio personale sui rischi che si corrono usando un dispositivo con accesso alla rete interna.
E, soprattutto, metterlo nelle condizioni di riconoscere e gestire le differenti tipologie di attacchi che potrebbero essere indirizzati alla sicurezza IT aziendale, ma anche e soprattutto delle loro eventuali conseguenze. Il più delle volte, infatti, gli utenti non considerano la reale gravità dell’impatto che può avere un attacco portato a termine a causa di una semplice azione di cui essi stessi sono responsabili e le cui conseguenze possono essere anche molto pesanti.
Senza dire che, generalmente, soprattutto nel caso di attacchi altamente mirati, un’azienda si accorge che i propri sistemi sono stati violati anche dopo mesi durante i quali gli “strani” problemi di funzionamento della propria infrastruttura si ripercuotono direttamente sul business arrivando a paralizzare finanziariamente l’organizzazione e danneggiando in modo significativo la reputazione del suo marchio.
Dunque, i fattori che solitamente spingono le aziende a investire nella formazione in cyber security per i propri dipendenti sono sostanzialmente tre:
- Ingenti perdite economiche causate dagli attacchi informatici, dovuti ai costi da sostenere per la gestione dell’emergenza e quelli derivanti dalla perdita di proprietà intellettuali e dati sensibili. A questi vanno poi aggiunti i costi indiretti dovuti ai danni legati alla credibilità e all’immagine del brand, meno quantificabili rispetto ai danni materiali ma altrettanto “pesanti” per le aziende.
- Risorse temporali: gestire e risolvere un problema legato a un attacco cyber richiede, per l’azienda, un grande dispendio di tempo e un notevole impiego di risorse umane e tecniche. Il più delle volte, infatti, le conseguenze di un attacco informatico sono l’arresto della produzione e delle attività lavorative. Senza dimenticare che, per bonificare un sistema e riportarlo a un efficace livello di sicurezza, è importante investire in un team di sicurezza dotato delle necessarie competenze per intervenire nel modo giusto e bloccare tempestivamente la falla di sicurezza sul perimetro cyber aziendale.
- Costi e spese legali: il più delle volte, gli attacchi informatici sono mirati al furto di informazioni sensibili, brevetti e tecnologie, oltre ovviamente al patrimonio informativo. Senza dire che in alcuni casi un cyber attacco comporta anche la violazione di dati personali e, dunque, della privacy per i soggetti interessati. In tutti i casi, occorre intervenire tempestivamente con tutti i mezzi disponibili, anche sul piano legale.
Alla luce di ciò, è sempre più alto il numero di aziende che guardano alla formazione in cyber sicurezza come a un investimento il cui ritorno è garantito. Un ROI (Return of Investment) che, oltre all’aspetto economico, è quantificabile anche in termini di conformità normativa (ad esempio al GDPR o alla Direttiva NIS 2), di prevenzione dei possibili attacchi informatici e, infine, in termini di valore intrinseco del danno evitato grazie alla prontezza e proattività dei dipendenti tutti di fronte alle possibili minacce.
I pilastri della formazione in cyber security
È utile precisare, comunque, che l’obiettivo primario di una corretta formazione in cyber security non è quello di trasformare tutti in esperti informatici quanto piuttosto avere persone consapevoli dei rischi cyber e capaci di prevenire e mitigare anche gli incidenti più gravi perché in grado di adottare i comportamenti più idonei.
La formazione in cyber security è dunque un processo formale per istruire il proprio personale su come proteggere i sistemi informatici dell’organizzazione, insieme ai dati, alle persone e ad altri asset da minacce o criminal hacker.
Far comprendere la criticità di proteggere l’azienda
Ecco che il primo pilastro per l’elaborazione di un buon programma di formazione sulla sicurezza informatica consiste nel fornire alle persone tutte le informazioni utili a sottolineare la criticità della protezione dell’organizzazione e una panoramica delle politiche e delle procedure aziendali relative alle modalità di lavoro sicure, iniziando dai contatti a cui rivolgersi qualora venisse scoperta una potenziale minaccia.
Formazione mirata ai dipendenti di tutti i livelli
Il secondo pilastro della formazione in cyber security consiste, invece, nell’adattare il programma in modo da raggiungere i dipendenti di tutti i livelli nelle diverse fasi del loro impiego, compresi il management e le figure dirigenziali.
Una best practice che consente di rendere la sicurezza informatica una priorità assoluta ed evitare che qualsiasi dipendente, sia esso neoassunto o già in servizio da decenni, metta in pericolo l’azienda.
È importante sottolineare che un’efficace formazione in cyber security deve necessariamente concentrarsi sul coinvolgimento della forza lavoro e non deve essere erogata in sessioni una tantum che sommergono gli utenti di informazioni che vengono facilmente dimenticate.
Una formazione persistente e in piccole dosi
Affinché la formazione sia davvero efficace è necessario che sia persistente ed erogata regolarmente in piccole dosi, anche per adattarsi agli impegni dei dipendenti.
E, magari, usando un pizzico di umorismo molto più utile a trasmettere i concetti importanti in maniera molto più efficace rispetto a un nozionismo noioso e basato sulla paura.
Una cyber academy per le aziende
Ovviamente, la formazione ai propri dipendenti deve essere adattata alla tipologia di azienda e alle sue peculiarità sotto il profilo organizzativo.
Gli obiettivi
Di fatto, non esiste un pacchetto “pronto all’uso” utile a fare formazione in cyber security. Per costruire una efficace consapevolezza dei rischi e delle minacce informatiche a cui si è esposti è importante adattare le sessioni formative alla singola realtà aziendale e ai differenti processi produttivi.
Anche l’erogazione delle sessioni formative devono seguire differenti canali proprio per non inficiare sui processi produttivi ed essere, anzi, con questi ultimi perfettamente integrati e coerenti.
Di volta in volta, quindi, si possono scegliere soluzioni di didattica in presenza a cura di formatori interni o esterni all’azienda. In alternativa, si possono preferire programmi di e-learning che possono essere adattati e sviluppati in base al livello generale di preparazione del personale. Oppure, adottare tecniche di gamification che consentono di raggiungere elevati livelli di coinvolgimento dei partecipanti ai corsi di formazione in cyber security.
Infine, un utile supporto alla formazione in cyber security, che sia in aula o in e-learning, consiste nel realizzare materiale informativo specifico che può essere distribuito al personale mediante newsletter periodiche o direttamente sulla Intranet aziendale.
I contenuti
L’efficacia di un programma di formazione in cyber security si misura anche in funzione dei contenuti proposti ai discenti, tenendo conto che, come dicevamo prima, l’obiettivo non è quello di trasformare i dipendenti in esperti in sicurezza informatica.
Dunque, una sessione formativa deve innanzitutto partire dalle basi della cyber security per consentire alle persone di riconoscere gli attacchi cyber più comuni e mettere in sicurezza i dispositivi aziendali e personali (sempre più usati anche per scopi lavorativi grazie alle policy di tipo BYOD, Bring Your Own Device, tipiche dello smart working) e le credenziali di accesso alle applicazioni e ai sistemi produttivi, oltre che le sempre più preziose informazioni personali.
Creata una solida consapevolezza dell’importanza di difendere sé stessi e la propria azienda dalle numerose minacce informatiche, è utile ampliare il programma di formazione in cyber security con tematiche complesse che vanno dalla tecniche di prevenzione degli attacchi informativi a quelle di risposta a questi stessi attacchi.
Conclusioni
Per rimarcare l’importanza della formazione in cyber security può essere utile citare un passaggio del libro “L’arte dell’inganno” di Kevin Mitnick in cui il famoso hacker fa notare come la famosa affermazione secondo cui il solo computer sicuro è quello spento sia arguta, ma inesatta: infatti, ci sarà sempre chi, con un pretesto, riuscirà a convincere la vittima designata ad andare in ufficio per accenderlo e consentire l’accesso a preziose informazioni riservate.
Ricordiamo che tutti i dati, di qualsiasi genere essi siano, devono essere considerati primi bersagli di un attacco e in quanto tali protetti come informazioni delicate e sensibili.
