Come i contenuti di awareness possono (e devono) generare un reale cambiamento di comportamento

Mostrare un contenuto e dare per scontato che basti è la scommessa silenziosa di molti programmi di Cybersecurity awareness. Si invia un modulo, il sistema registra che la persona lo ha completato e l’argomento si considera coperto. Ma completare non è imparare, e imparare non è cambiare comportamento. Tra ciò che qualcuno legge un martedì e ciò che fa davanti a un’email sospetta il giovedì c’è una distanza che nessun contenuto colma per il solo fatto di esistere. Quella distanza è il vero oggetto del lavoro, e la scienza dell’apprendimento la studia da più di un secolo.

La buona notizia è che un contenuto di awareness può cambiare il comportamento. La condizione è che sia progettato secondo le regole di come imparano le persone, non secondo quelle di come si trasmette l’informazione. Sono cose diverse, e confonderle spiega buona parte dei programmi che vengono completati al cento per cento senza spostare alcuna metrica di comportamento.

Perché un contenuto non cambia il comportamento da solo?

Perché sapere e fare sono governati da sistemi diversi. Una persona può riconoscere un’email di phishing in un test e caderci con una identica tre settimane dopo, quando l’attenzione è altrove e la casella di posta incalza. Il rischio umano non nasce dalla mancanza di informazione, ma dalle condizioni in cui qualcuno decide davanti allo schermo.

Il modello implicito di molti programmi è semplice: se la persona non agisce in modo sicuro è perché non sa, quindi le mostriamo il contenuto giusto e il problema si risolve. Quel modello fallisce perché presume che il comportamento sia un risultato diretto della conoscenza. Non lo è. Il comportamento risponde al contesto, all’abitudine, al carico del momento e a ciò che l’ambiente rende facile o scomodo. La conoscenza è una condizione necessaria e quasi mai sufficiente.

Progettare per il cambiamento di comportamento, allora, va oltre l’informare meglio. Significa fare in modo che l’effetto del contenuto resti presente quando il dato puntuale è già stato dimenticato, e che ciò che si è appreso compaia nel luogo e nel momento in cui serve. Tre modelli della scienza dell’apprendimento descrivono questo lavoro con precisione.

Perché il contesto in cui si impara è così decisivo?

Per molto tempo l’apprendimento è stato immaginato come un travaso di informazione da una testa a un’altra, qualcosa che avveniva in astratto e che poi si applicava ovunque. L’apprendimento situato mette in discussione quell’idea. Proposto da Jean Lave ed Etienne Wenger all’inizio degli anni novanta, sostiene che imparare è inseparabile dalla pratica e dall’ambiente in cui avviene. Imparare e applicare non sono due fasi separate; avvengono insieme, dentro il contesto in cui quella conoscenza acquista senso.

Per l’awareness, la conseguenza è diretta. Una conoscenza acquisita lontano dal luogo in cui si usa raramente compare quando serve. Una lezione generica sulle minacce, uguale per tutti e scollegata dal lavoro quotidiano di chi la riceve, produce un sapere che vive in aula e lì resta. La persona può recitarlo in un test e non riconoscerlo davanti allo schermo, perché non l’ha mai imparato davanti allo schermo.

Il contenuto che prende sul serio questa idea somiglia ad altro. Parla del contesto reale della persona, usa situazioni che riconosce dal proprio lavoro e arriva in un formato che può elaborare senza abbandonare ciò che stava facendo. La varietà dei formati ha una funzione. Argomenti diversi e pubblici diversi chiedono veicoli diversi, e un catalogo che offre un solo tipo di pezzo tratta l’intera organizzazione come se imparasse allo stesso modo e nello stesso luogo.

Perché lo spacing conta più dell’intensità?

Perché la memoria dimentica in fretta ciò che non viene rinforzato. Nel 1885 Hermann Ebbinghaus descrisse la curva dell’oblio: senza ripasso, gran parte di ciò che si apprende si perde nei primi giorni. La scoperta ha dato origine a uno dei principi più solidi della psicologia dell’apprendimento, l’effetto spacing, secondo cui distribuire lo studio in più sessioni separate rende molto più che concentrarlo in una sola.

Applicato all’awareness, l’effetto spacing smonta la giornata annuale di formazione come strategia centrale. Concentrare tutto l’apprendimento in un evento intenso una volta l’anno va contro il modo in cui funziona la memoria. Quando arriva il phishing reale, la sessione è ormai sepolta sotto mesi di oblio.

Ciò che sostiene l’apprendimento è il gocciolamento continuo: pezzi brevi, frequenti e distribuiti che tornano su ciò che conta prima che svanisca. Il microlearning in cybersecurity funziona per questo motivo, non perché sia più comodo da consumare, ma perché il ritmo di erogazione coincide con il ritmo con cui la memoria ha bisogno di rinforzo. Un calendario di campagne pensato per l’anno non è un cronoprogramma amministrativo, è la forma operativa dell’effetto spacing.

Cos’è il transfer dell’apprendimento e perché è l’obiettivo reale?

Il transfer dell’apprendimento è la capacità di applicare ciò che si è appreso in un contesto diverso da quello in cui lo si è appreso. È il punto in cui l’awareness si gioca la sua ragion d’essere, perché non serve a nulla che qualcuno risponda bene a un questionario se poi non riconosce la stessa minaccia quando compare nel suo lavoro reale.

La letteratura di psicologia cognitiva e dell’apprendimento distingue il transfer vicino, verso situazioni molto simili a quella di pratica, dal transfer lontano, verso contesti poco simili. L’aula tradizionale produce soprattutto il primo, e a volte nemmeno quello. Il problema è che il momento di rischio non somiglia quasi mai a una slide. Somiglia a un’email dall’urgenza simulata, a un messaggio sul cellulare, a una telefonata convincente nel mezzo di un compito.

Per questo la pratica in un ambiente che somiglia a quello reale è così decisiva. Una simulazione di phishing ben progettata misura e allena il comportamento nel contesto in cui conta, non in un esame a parte. La persona affronta lo stimolo reale, decide in condizioni vicine a quelle vere, e l’errore, se accade, diventa un momento educativo nell’istante esatto in cui la lezione ha senso. I nudge e i momenti educativi accorciano la distanza tra ciò che si è appreso e il momento della decisione, che è ciò di cui il transfer ha bisogno per avvenire.

Come il catalogo di SMARTFENSE applica questi principi

Un catalogo di contenuti di awareness è lo strumento con cui questi tre modelli prendono forma. Ciò che in teoria sono principi diventa, in un programma, decisioni di formato, ritmo e contesto.

Il multicatalogo di contenuti di SMARTFENSE risponde all’apprendimento situato con varietà reale: newsletter, moduli interattivi, video, fumetti e valutazioni che permettono di parlare a ogni pubblico nel veicolo che può elaborare, sul problema che riconosce come proprio. Lo spacing diventa operativo attraverso il calendario di campagne e il gocciolamento di pezzi brevi lungo l’anno, invece di un unico scaricamento annuale. E il transfer si lavora con gli strumenti di simulazione, che portano l’apprendimento nel contesto in cui avviene la decisione e trasformano l’errore in apprendimento nel momento giusto.

Progettare così non garantisce che nessuno clicchi di nuovo. Nessun programma lo garantisce, perché il comportamento umano non si programma. Ciò che un contenuto costruito su questi principi fa è smettere di essere un requisito da completare e iniziare a essere un intervento che agisce dove il comportamento si decide. L’awareness cambia il comportamento quando smette di chiedersi cosa mostrare e inizia a chiedersi come imparano le persone.