Diventa sempre più rilevante, per le organizzazioni, affrontare il tema della formazione in cyber security in un’ottica ancora più ampia e incisiva rispetto a quanto fatto fino ad ora: è necessario far evolvere il training tradizionale, sia quello tecnico per gli specialisti che quello per l’intera popolazione aziendale, verso un modello che aiuti a costruire una security culture per una maggiore consapevolezza dei rischi cyber.
La continua crescita degli attacchi informatici in numerosità e frequenza, l’evoluzione di tecniche sempre più sofisticate, insieme agli impatti che tali attacchi provocano sulla reputazione dell’azienda colpita, sta innalzando sempre di più il livello degli sforzi e degli investimenti in cyber security che le organizzazioni mettono in campo per contrastare il fenomeno.
Indice degli argomenti
Costruire una security culture: linee guida
Spazio su questo tema è stato riservato anche nell’incontro annuale del World Economic Forum sulla cyber security nel novembre scorso e nel convegno di Davos appena conclusosi: sicurezza non si ottiene solo con tecnologie efficaci e tempestive nella prevenzione e contenimento delle minacce, ma richiede processi decisionali strategici e risorse più informate al fine di migliorare la preparazione agli attacchi e la resilienza dell’intera organizzazione.
Anche ENISA (European Network and Information Security Agency) pone il tema nella più ampia prospettiva: “Cybersecurity culture of organizations refers to the knowledge, beliefs, perceptions, attitudes, assumptions, norms and values of people regarding cybersecurity and how they manifest in people’s behaviour with information technologies. Cybersecurity culture is about making information security considerations an integral part of an employee’s job, habits and conduct, embedding them in their day-to-day actions”.
Il percorso da affrontare per costruire una simile cultura e consapevolezza richiede di lavorare in più direzioni. La prima è quella del perimetro: si guarda all’organizzazione intera, a qualunque struttura organizzativa – dai tecnici IT alle strutture operative sul core business dell’azienda, a quelle responsabili della comunicazione, degli aspetti legali e privacy ecc. – e a qualunque livello gerarchico – dal neo assunto alla C-suite, fino al Consiglio di amministrazione.
Su queste ultime si concentra un altro dei passaggi chiave del WEF: ciò che deve urgentemente migliorare è la comunicazione e la traduzione dei problemi di cyber security tra gli specialisti del tema e la leadership, non perché questa sviluppi competenza tecnica, ma perché abbia la piena comprensione dei rischi cyber, utile sia per prendere decisioni strategiche per gli investimenti sia per indirizzare interventi tempestivi nel corso di incidenti rilevanti di sicurezza.
Il secondo aspetto da affrontare è la modalità con cui sviluppare un tale programma di security culture. Le formule di corsi in e-learning, formazione a distanza o in aula, sono già spesso utilizzati per diffondere buone pratiche e concetti di base sulla sicurezza o per percorsi di aggiornamento tecnico e certificazioni.
Ma per cambiare il modo stesso di agire dei dipendenti rispetto ai rischi di sicurezza serve lavorare anche con format più coinvolgenti, esperienziali che facciano toccare con mano le situazioni di crisi in cui si può trovare una organizzazione a fronte di un incidente cyber.
Ecco quindi che l’approccio basato sull’inserimento di elementi di gamification in corsi web-based, come ad esempio il superamento di prove per ottenere la conquista di “badge” o per accedere a livelli superiori, può evolvere fino all’utilizzo di format ancora più immersivi di game-based learning, dove un vero videogame diventa mezzo per facilitare l’apprendimento di materie complesse.
Anche gli eventi di cyber challenge, già diffusi ad esempio a livello accademico tra diversi Atenei a indirizzo STEM, possono essere applicati, con i necessari adattamenti, in un contesto aziendale per accrescere le competenze tecniche sulle minacce cyber attraverso sfide tra squadre che si confrontano su argomenti specifici o su veri e propri scenari di attacco e difesa.
Con lo stesso obiettivo di coinvolgimento esperienziale, si sta diffondendo l’utilizzo di sessioni di simulazione di un attacco cyber, proposte sia ad un target operativo – responsabili in prima linea della gestione e contenimento di un incidente, appartenenti non solo all’area Security e IT, ma anche alle aree Risk, Legale, Comunicazione ecc. – che alla C-Suite, nella loro veste di decision makers strategici rispetto all’immagine che l’azienda vuole mantenere verso il mercato, i clienti, gli organismi regolatori e i media durante e dopo la crisi cyber.
Si tratta di modalità di test di gestione incidenti e crisi già utilizzate a livello nazionale e internazionale su alcuni mercati di riferimento (es. bancario, aerospaziale, telecomunicazioni ecc.) che, inserite in un piano di formazione interno all’organizzazione, danno la possibilità di allenarsi con periodicità definita nell’attuazione delle prassi operative di incident and crisis management attraverso strumenti (c.d. injects – ad es. mail, comunicati stampa, video ecc.) molto realistici opportunamente studiati e progettati per simulare eventi e sviluppi della crisi, e di confrontarsi in una war room con tutte le strutture organizzative coinvolte su come migliorare sempre di più la propria capacità e tempestività nella risposta ad un attacco cyber.
Rimangono poi di grande valore le sessioni dedicate di awareness sul cyber risk, da progettare sia in logica di evento calendarizzato nell’anno oppure su un periodo di più ampio respiro, con workshop aperti a diversi target aziendali: in questo caso, l’inserimento di testimonianze dirette con racconto di casi reali, sia incidenti gestiti con successo che non, provenienti anche da realtà aziendali diverse dal proprio, sono elemento distintivo per trasformare questi momenti, spesso concepiti come lezione frontale e teorica, in un format esperienziale, una opportunità di sensibilizzazione e apprendimento pratico e concreto da portare anche in una seduta del Consiglio di Amministrazione, per lavorare a quell’avvicinamento tra gli esperti e la leadership di cui parla il WEF.
Misurazione e sostenibilità delle prassi operative
Il terzo elemento su cui lavorare affinché un tale programma di security culture porti reali benefici è la misurazione e la sostenibilità: rilevare quante sessioni di corsi online sono state erogate e quante effettivamente fruite è prassi ormai consolidata, meno immediato è valutare i miglioramenti che ci si aspetta da una campagna di security culture giocata molto di più sul cambiamento dei comportamenti delle persone che sul numero di certificazioni raggiunte.
È necessario quindi definire indicatori che valutino, in modo il più possibile quantitativo, il miglioramento nel tempo di prassi operative, sia degli esperti della sicurezza che dei dipendenti dell’intera organizzazione: la riduzione di eventi o incidenti (es. casi di phishing, social engineering ecc.) causati da poca attenzione alle buone prassi di sicurezza, la riduzione dei tempi di intervento nelle prime fasi di contenimento di un incidente per i team operativi, ma anche la crescita delle segnalazioni di eventi che potrebbero rappresentare una potenziale violazione, possono costituire una base per indicatori di performance finalizzati alla valutazione dei risultati nel medio-lungo periodo di una tale iniziativa.
L’intero percorso richiede lo sviluppo di un vero e proprio programma di awareness che metta al centro prima di tutto il ruolo e la responsabilità del singolo individuo, che faccia realmente uscire il tema del cyber risk dalla struttura che si occupa di sicurezza e ponga al centro il “fattore umano” che ciascun dipendente può giocare all’interno dell’organizzazione.
La piena sostenibilità del programma di security culture si ottiene quando ciascun dipendente coinvolto diventa a sua volta portatore attivo di buone prassi di sicurezza, divulgando le abitudini acquisite ai propri colleghi e collaboratori, in una logica di contaminazione virale virtuosa, fino a contribuire egli stesso alla progettazione di nuovi contenuti, di nuovi format divulgativi e di esercitazione per le sessioni future di awareness.
