Cosa succede all’abitudine di segnalare quando nessuno risponde

Lucía lavora nelle operations, nella stessa azienda di servizi finanziari di cui abbiamo parlato nel pezzo precedente di questa serie. Un martedì a metà mattina le arriva un’email che non le torna. Esita qualche secondo, decide di non cliccare e la segnala con il pulsante. Quel gesto, l’abitudine di segnalare email sospette, è lo strato di difesa che è costato più fatica costruire nella sua organizzazione.

Dal suo punto di vista, dopo non succede niente. L’email esce dalla sua casella, non torna nessuna risposta e la settimana continua.

La prima volta questo non ha alcuna conseguenza. La quinta, sì.

Quella coda l’abbiamo già guardata dal lato del team di sicurezza quando ci siamo chiesti chi apre le email sospette che segnalano le persone, con 47 segnalazioni di un solo mese in attesa di una decisione e alcune vecchie di tre giorni. I numeri vengono dal mese di un’organizzazione concreta e non sono medie di settore. Qui cambia il punto di vista. La domanda è cosa accade alla persona che ha aperto quelle segnalazioni mentre restano in attesa.

Cosa vede una persona dopo aver segnalato un’email sospetta?

Il circuito di una segnalazione ha due estremi. Da uno l’email entra nel team di sicurezza e dall’altro, a un certo punto, qualcosa dovrebbe tornare alla persona che ha dato l’allarme. Nella maggior parte delle organizzazioni il primo estremo è costruito con cura e il secondo non esiste.

Vale la pena guardare il processo con le informazioni che ha davvero Lucía, che sono pochissime. Non vede la coda né il verdetto, e non sa se la sua email fosse la prima della fila o la numero 47. Non arriva nemmeno a sapere se avesse ragione. Segnalare è una decisione che si prende in tre secondi e che in pratica non si chiude mai, come alzare la mano in una riunione e vedere la conversazione andare avanti senza che nessuno ti guardi.

Dal lato dell’organizzazione la questione è risolta, perché l’email è stata registrata e a un certo punto verrà classificata. Dal lato di Lucía la questione resta aperta per sempre.

Perché una simulazione si può chiudere subito e un’email reale no?

Una persona può segnalare due cose molto diverse, e un’organizzazione risponde a ciascuna con velocità opposte.

La prima è una simulazione del programma di Cybersecurity awareness stesso. Qui la risposta è facile, perché la piattaforma ha inviato quell’email e sa già cosa sia. Quando la segnalazione arriva, la piattaforma di SMARTFENSE riconosce il merito sul momento, lo restituisce alla persona e lo somma al suo punteggio, senza che nessuno del team di sicurezza debba intervenire. È lo stesso meccanismo con cui funziona il resto della gamification del programma. Lucía scopre sul momento di aver fatto la cosa giusta.

La seconda è un’email reale. Qui non c’è niente che la piattaforma sappia in anticipo, quindi la risposta dipende dal fatto che qualcuno la guardi e decida cosa sia. E quel qualcuno ha 47 segnalazioni davanti. Il risultato è un’asimmetria che nessuno ha progettato.

Il tuo programma risponde in pochi secondi quando l’email era la tua e impiega giorni quando l’email era vera.

È il contrario di quello che servirebbe. In una simulazione la persona sa già di essere valutata. È davanti a un’email reale che la sua decisione pesa, ed è lì che il programma resta muto.

Cosa insegna alla tua organizzazione una casella che non risponde?

Una casella che non risponde non resta su un terreno neutro. Insegna una cosa che non compare in nessuna formazione, cioè che segnalare è un adempimento interno in più. È la lezione opposta a quella che hai pagato per dare.

Perché la risposta di una persona si spegne quando lo stimolo si ripete senza conseguenza è un tema trattato su questo blog in la security fatigue e il punto in cui l’avviso smette di funzionare e in come una scorciatoia diventa la norma del gruppo. Qui basta la versione operativa del problema. Nessuno decide di smettere di segnalare. Il dubbio successivo si risolve per la via più economica, cioè chiudere l’email e continuare a lavorare, senza una conversazione né una lamentela di mezzo.

Per questo il deterioramento è difficile da vedere sulla dashboard. Il tasso di segnalazione non crolla di colpo, si appiattisce, e un indicatore piatto si legge come stabilità, soprattutto se il numero resta migliore di quello dell’anno prima. La casella prima si riempie e poi si svuota, e non perché il team l’abbia svuotata.

Come si progetta la conseguenza di una segnalazione?

La conseguenza non deve essere un’email di ringraziamento. Se è solo quello, in effetti si esaurisce in fretta. Ci sono quattro decisioni più utili e nessuna richiede di inventare niente di nuovo.

• Riconoscere il merito dove già si può. La segnalazione di una simulazione si può chiudere sul momento, quindi non c’è motivo perché resti senza risposta. È il caso più facile e il più sprecato.
• Accorciare il tempo fino alla risposta sulle email reali. È il vero collo di bottiglia. Finché la classificazione si misura in giorni, nessun disegno di conseguenza funziona, perché la risposta arriva quando la persona ha già archiviato la questione.
• Rendere visibile che l’organizzazione ha agito. Quando si blocca un attacco che qualcuno ha segnalato, raccontarlo. Un avviso breve su un’email individuata e fermata restituisce senso al gesto di tutti quelli che hanno segnalato, non solo di chi aveva ragione.
• Far contare la segnalazione nel modo in cui l’organizzazione legge quella persona. Se un click su una simulazione pesa sul rischio umano attribuito a qualcuno, una segnalazione dovrebbe pesare anche lei, a favore. Oggi la maggior parte dei programmi registra in dettaglio gli errori delle persone e non registra i loro successi.

Le prime due si risolvono con Smart Triage e Nudges. Smart Triage analizza la email segnalata in modo automatico, le assegna un punteggio e determina se sia phishing reale o un falso allarme. Con quel risultato, un nudge si attiva da solo e restituisce una risposta quasi immediata alla persona che ha segnalato, attraverso il canale che l’organizzazione preferisce: email, Slack o Microsoft Teams.

La terza dipende più dalla politica interna dell’organizzazione che dallo strumento, e vale come buona pratica. Della quarta si occupa anche SMARTFENSE, con il calcolo dell’indice di resilienza di ogni utente e il report dei referenti di Cybersecurity awareness.

Quale indicatore dice che l’abitudine tiene?

Il tasso di segnalazione di questo mese non risponde a quella domanda. Ci sono tre letture che lo fanno.

La prima è quante persone distinte hanno segnalato nel periodo, non quante segnalazioni sono arrivate. Il totale mensile può salire mentre la base di persone che segnala si riduce, perché un gruppo ristretto di persone molto attente compensa quelle che hanno smesso di parlare. Sono due situazioni opposte con lo stesso numero in cima.

La seconda è la proporzione di email reali sulle simulazioni. Segnalare una simulazione è rispondere bene a un esame conosciuto. Segnalare un’email reale è il comportamento che cercavi, e compare quando la persona si fida che l’allarme serva a qualcosa.

La terza è quanto tempo passa prima che una segnalazione riceva risposta. Quel numero non misura le persone, misura te, ed è quello che spiega gli altri due.

Per questo l’indicatore che interessa a María non è quante segnalazioni sono arrivate questo mese. È se Lucía continua a segnalare al dodicesimo mese.

Quello che Lucía non vede mai

Lucía non reclamerà una risposta. Non è il suo lavoro e probabilmente non se lo pone in questi termini. L’unica cosa che farà è decidere, la prossima volta che un’email la fa dubitare, se vale la pena fermarsi.

Quella decisione si gioca nel tempo che passa tra la sua segnalazione e la risposta. Quando si misura in giorni, la risposta arriva tardi per lei e tardi per l’organizzazione. Quando si misura in minuti, il circuito si chiude da solo e l’abitudine tiene senza campagne.

Comprimere quel tempo è il lavoro della console delle segnalazioni, ed è di questo che parla il prossimo pezzo della serie. Lì seguiremo minuto per minuto l’email segnalata da Lucía, dal secondo in cui preme il pulsante al momento in cui il team di sicurezza inizia ad agire.