Come La Segunda Seguros e Seccuracy sostengono un programma di Cybersecurity awareness dal 2018
Nel 2018 il team di sicurezza di La Segunda Seguros, gruppo assicurativo argentino, non aveva un programma di Cybersecurity awareness. Aveva un obiettivo più ampio, allineare l’azienda alla ISO 27001, e all’interno di quel quadro è comparso il capitolo che chiede di formare le persone. Otto anni dopo, quel capitolo è diventato un programma di Cybersecurity awareness che, secondo quanto raccontato da Seccuracy, raggiunge più di 1.800 persone, con Seccuracy come partner e SMARTFENSE come piattaforma.
Il 15 ottobre il team di sicurezza della compagnia e quello di Seccuracy hanno ripercorso questo cammino in una tavola rotonda aperta (in spagnolo). Hanno raccontato i risultati e anche gli inciampi, come il periodo in cui la partecipazione è calata e si è dovuto cambiare strategia per recuperarla.
Com’è nato il programma di Cybersecurity awareness?
Un programma di Cybersecurity awareness è un piano continuo di comunicazioni, formazione e simulazioni che punta a cambiare il modo in cui le persone agiscono di fronte ai rischi digitali, e che si misura nel tempo. In La Segunda, l’esigenza è arrivata dalla norma. Il controllo 6.3 della ISO 27001 ha trasformato in requisito qualcosa che fino ad allora dipendeva dalla buona volontà.
Seccuracy lavorava già con programmi di awareness, ma in modo manuale. La piattaforma ha risolto due cose insieme. Ha portato un catalogo di contenuti pronto da usare e modificare, e la possibilità di misurare chi legge, chi completa un corso e come ogni persona risponde a una simulazione.
L’avvio non è stato semplice. L’azienda aveva già molti altri corsi, e all’inizio il programma restava in secondo piano. A cambiare quella posizione sono stati i dati. Quando il team ha cominciato a misurare, la direzione ha potuto vedere in che situazione si trovava l’organizzazione, e con quell’evidenza è arrivato il sostegno di cui un programma di lungo periodo ha bisogno. L’articolo su come conquistare il sostegno della dirigenza approfondisce questo punto.
Come si dividono i ruoli tra azienda, partner e piattaforma?
Per un partner è probabilmente la lezione più utile del caso. In La Segunda il programma funziona perché ogni parte ha un ruolo chiaro:
- Il team di sicurezza delle informazioni guida il programma, fissa le priorità e porta ciò che succede nella quotidianità dell’azienda.
- Seccuracy propone il piano di ogni semestre, prepara e adatta i materiali, segue le statistiche e suggerisce aggiustamenti quando il ritmo cala.
- La Comunicazione interna rivede il linguaggio e gli elementi visivi perché ogni contenuto suoni come l’azienda.
- Le Risorse umane definiscono i passi da seguire con ciascuna persona quando i dati mostrano che ha bisogno di supporto. La sicurezza fornisce i numeri e la decisione resta all’area che gestisce le persone.
- SMARTFENSE fornisce i contenuti, le simulazioni, la misurazione e il white label che dà al programma un’identità propria.
L’effetto si vede nel carico di lavoro del cliente. Chi guida il programma in azienda dedica il proprio tempo a validare il piano e gli aggiustamenti richiesti dalla Comunicazione interna, mentre Seccuracy produce e prepara ogni contenuto. Questa divisione coincide con quanto SMARTFENSE descrive nel suo programma di partnership.
Come si pianifica un programma di awareness ogni sei mesi?
Con gli anni il team è passato dal reagire campagna per campagna al pianificare. Ogni semestre inizia con un documento che rivede quanto accaduto nel periodo precedente e propone la strategia del successivo, accompagnato da un calendario di attività. Il calendario si aggiusta quando compare una nuova minaccia o una notizia che conviene sfruttare.
Tre decisioni reggono il piano.
La cadenza. La Segunda invia una o due comunicazioni al mese. Il calendario viene condiviso con la Comunicazione interna perché le campagne di sicurezza non si sovrappongano ad altre comunicazioni aziendali. Saturare le persone produce l’effetto contrario a quello cercato, come si analizza in con quale frequenza promuovere la security awareness.
Il formato secondo l’obiettivo. Una newsletter sensibilizza, un video o un modulo interattivo formano, una simulazione o una valutazione misurano. Scegliere il formato in base a ciò che si vuole ottenere evita di ripetere lo stesso tema con lo stesso strumento.
La segmentazione. Il gruppo comprende diverse aziende, e il programma si legge per azienda, per area e per direzione. Questo permette di mirare i contenuti, perché una persona dell’ufficio legale presta più attenzione a un caso della propria area che a uno generico.
Cosa succede quando qualcuno sbaglia?
Quando una persona commette un errore in un caso reale, il percorso è già definito. Il team di sicurezza lo rileva, spiega perché quell’azione era rischiosa e assegna un corso obbligatorio da completare entro una scadenza. L’obiettivo è rafforzare quanto appreso, senza sanzioni.
Secondo Seccuracy, la risposta è stata buona. Chi sbaglia lo riconosce e continua a imparare, e il programma non viene associato a una punizione.
Perché includere temi della vita personale?
Una parte del programma parla di rischi che non riguardano l’azienda, come le truffe su WhatsApp, le frodi nell’home banking e il grooming, un tema delicato affrontato insieme alle Risorse umane. Le persone si legano a questi contenuti perché sono utili anche fuori dal lavoro.
Il programma ha anche un’identità propria, con un nome, un’immagine e campagne che le persone ricordano ancora. L’azienda misura la soddisfazione con un sondaggio annuale anonimo, che chiede anche se il programma ha aiutato nel lavoro, nella vita personale o in entrambi, ed «entrambi» è la risposta più frequente. È un approccio vicino all’idea di una cultura della sicurezza dentro e fuori l’azienda.
Quali indicatori segue La Segunda?
La piattaforma registra la partecipazione a ogni campagna, la lettura di ogni contenuto, le azioni in ogni simulazione di phishing o ransomware e le persone a rischio più alto. A questi La Segunda aggiunge dati propri, come le richieste che arrivano all’help desk per email sospette. Oggi le persone chiedono molto più spesso che all’inizio, anche per messaggi già finiti nella cartella dello spam.
I numeri non salgono sempre. C’è stato un periodo in cui la partecipazione è calata in modo netto. Il team ha analizzato il motivo, ha cambiato strategia e l’ha recuperata. Il prossimo passo è unire le metriche della piattaforma con quelle di altri ambiti per avere una lettura più ampia del comportamento.
Cinque pratiche che un partner può replicare
- Partire da una norma o da un obiettivo di business che dia al programma un posto nell’agenda della direzione.
- Definire i ruoli fin dall’inizio, con Risorse umane e Comunicazione interna nel team.
- Pianificare per semestre con un calendario che si possa aggiustare.
- Dare un’identità al programma e adattare i contenuti al linguaggio dell’azienda.
- Misurare dal primo giorno, anche se nessuno chiede ancora i numeri. Quando arriverà un audit o una certificazione, l’evidenza sarà già raccolta.
Un programma che matura
L’esperienza di La Segunda mostra che la partecipazione costa fatica all’inizio e che il percorso ha alti e bassi. A sostenere un programma per otto anni è la combinazione di un cliente che lo guida, un partner che lo accompagna ogni giorno e una piattaforma che permette di adattare i contenuti e di misurare. La registrazione completa della tavola rotonda (in spagnolo) ripercorre ogni fase nel dettaglio, con la voce di chi l’ha vissuta.
Lascia un commento