Come adattare i contenuti di Cybersecurity awareness alla cultura di ogni organizzazione

Nel 2012 Metro Trains Melbourne ha smesso di insistere con il cartello sulla sicurezza e ha pubblicato una canzone con piccoli personaggi colorati che muoiono in modi assurdi. Uno di quei modi era mettersi sul bordo del marciapiede della stazione. Dumb Ways to Die è nata come campagna di sicurezza ferroviaria ed è diventata un marchio globale di intrattenimento con videogiochi propri; la campagna riporta inoltre un calo del 21% degli incidenti.

Il messaggio di fondo era quello di sempre. Quello che è stato rifatto è la confezione, e quella confezione era calibrata sulle persone di Melbourne nel 2012. La stessa canzone, con lo stesso umorismo nero, altrove e davanti a un altro pubblico poteva andare male o risultare offensiva.

Le organizzazioni incontrano questo problema continuamente, anche se non lo chiamano così. Qualcuno vede il programma di Cybersecurity awareness che nell’azienda accanto ha funzionato benissimo, lo replica pezzo per pezzo e qui non succede niente. La qualità del contenuto non è calata nel trasferimento. Fuori è rimasta la cultura dell’organizzazione che lo riceve, diversa da quella del paese in cui si trova e da quella del settore in cui compete.

Cosa significa adattare la Cybersecurity awareness alla cultura di un’organizzazione?

Adattare la Cybersecurity awareness alla cultura di un’organizzazione significa calibrare il tono, gli esempi, il canale e il formato del contenuto sul modo in cui quella organizzazione lavora e parla, tenendo fisso il comportamento che il programma vuole cambiare. È una decisione di contenuto, presa prima di scegliere il primo materiale.

Conviene distinguerla da due cose con cui viene confusa spesso.

Una è il branding. Che il programma porti il logo aziendale e viva su un dominio dell’organizzazione cambia molto il modo in cui viene ricevuto, perché smette di sembrare pubblicità di un fornitore. Ma è il livello più esterno. Un contenuto può avere il logo perfetto e continuare a raccontare un mondo che le persone di quell’azienda non riconoscono.

L’altra è la lingua. Avere il materiale in più lingue per una multinazionale è indispensabile e non basta. Due filiali che parlano la stessa lingua possono avere culture di lavoro opposte, e viceversa, due stabilimenti della stessa azienda in paesi diversi possono somigliarsi moltissimo. La lingua si sceglie per paese. La cultura si legge per organizzazione.

L’idea non è nemmeno una nostra eccentricità. La guida NIST SP 800-50r1 (National Institute of Standards and Technology, l’ente statunitense di standardizzazione), di settembre 2024, presenta le proprie raccomandazioni per costruire un programma di apprendimento in cybersecurity come qualcosa di personalizzabile e applicabile al processo di ogni organizzazione, con l’obiettivo esplicito di sviluppare al suo interno una cultura della sicurezza. Lo dice in generale, senza dire come. Il come è la parte che tocca a noi.

Come si legge la cultura di un’organizzazione prima di scegliere i contenuti?

Non serve un’indagine di clima. Ci sono cinque segnali già visibili, osservabili in una settimana di conversazioni con chi coordina ogni area.

Il primo è da quale canale le persone vengono a sapere le cose. Conta quello che si usa davvero, più di quello che compare nell’organigramma. In alcune organizzazioni è l’email, in altre un gruppo di messaggistica che nessuno amministra, in altre la riunione del lunedì e in altre chi distribuisce i compiti della giornata.

Il secondo è come si chiamano le cose all’interno. Ogni organizzazione ha il proprio vocabolario, e quel vocabolario funziona come una password. Se in azienda tutti dicono “il fascicolo” e il contenuto dice “il registro del dipendente”, mezzo secondo di attenzione è già andato nella traduzione. Mezzo secondo sembra poco, e in un contenuto da un minuto è un’eternità.

Il terzo è cosa succede quando qualcuno sbaglia. È il segnale più scomodo e quello che determina di più il risultato. Dove l’errore si segnala senza drammi, una simulazione di phishing viene ricevuta come un esercizio e il momento educativo successivo si legge per intero. Dove l’errore si nasconde, la stessa simulazione viene ricevuta come una trappola dell’azienda, e la prima cosa che le persone imparano è avvisarsi tra loro che c’è una campagna in corso (il che, detto per inciso, dimostra una capacità di comunicazione interna ammirevole).

Il quarto è chi ha autorità informale. La persona a cui gli altri credono non sempre firma la comunicazione, e quando il contenuto arriva attraverso di lei, arriva in modo diverso.

Il quinto è quanto tempo reale c’è, e in quale momento. È un vincolo del ruolo prima di essere una preferenza, e lo abbiamo guardato da vicino parlando di pubblici che non lavorano davanti a uno schermo.

Con i cinque segnali sul tavolo, la scelta del contenuto smette di essere una questione di gusto.

Segnale culturale osservato	Decisione di contenuto che suggerisce
Le persone lo sanno da una persona prima che da un canale	Copione breve da raccontare a voce, invece di un materiale da inoltrare
Vocabolario interno proprio e molto marcato	Modificare gli esempi e i nomi dei sistemi prima della prima campagna
L’errore si nasconde	Partire da contenuto narrativo e lasciare la simulazione più avanti
L’errore si segnala senza punizioni	Simulazione precoce, con il momento educativo come elemento centrale
Autorità informale distribuita per area	Contenuti brevi che ogni referente possa presentare come propri
Giornata spezzata in intervalli di minuti	Gocciolamento continuo in dosi piccole, mai la sessione da mezz’ora
Cultura molto formale, settore regolamentato	Tono sobrio ed esempi del settore stesso, senza umorismo di riempimento
Cultura informale, team giovani	Fumetto, videogioco e competizione tra aree

L’incrocio con quale formato serve per quale comportamento chiude la scelta.

Quale parte del programma non si adatta?

Il comportamento che si vuole ottenere, il criterio con cui si valida e le evidenze da poter mostrare. Segnalare un’email sospetta invece di cancellarla, verificare su un secondo canale una richiesta di pagamento arrivata con urgenza, non riutilizzare da nessun’altra parte la password del lavoro. Questo è identico in una banca e in un’azienda di logistica, e non si negozia con la cultura di nessuno.

Si adatta la confezione. Il riflesso che vogliamo allenare resta lo stesso.

Vale la pena nominare il rischio di esagerare, perché arriva presto. Un’organizzazione che evita il conflitto può spingere verso contenuti così morbidi da non nominare mai il rischio, e lì l’adattamento si è mangiato il messaggio. La prova è semplice. Se alla fine del contenuto la persona non sa cosa ci si aspetta che faccia di diverso domani, la calibrazione è andata male, per quanto il contenuto risulti comodo.

Come si capisce che l’adattamento ha funzionato?

Si capisce da tre movimenti, e nessuno è il voto del test.

La partecipazione smette di dipendere dal promemoria. Quando il contenuto entra nella cultura, le persone lo completano senza che i responsabili debbano chiederlo per la terza volta.

Cresce la segnalazione volontaria di email sospette. È il comportamento più sensibile al clima interno tra tutti quelli che misuriamo, perché segnalare espone chi segnala.

E la domanda di validazione smette di cadere sempre nello stesso punto. Quando lo stesso fraintendimento si ripete in un’area e non nelle altre, il problema sta in come hai tradotto l’esempio per quell’area più che in quello che le persone sanno.

Conviene guardare diversi mesi consecutivi prima di concludere qualcosa. Un mese isolato può essere una campagna interna che ha spinto i numeri, o una settimana tranquilla.

Cosa risolve la piattaforma e cosa resta a te?

I contenuti di SMARTFENSE sono sviluppati con un focus sul pubblico target di America Latina, Spagna, Portogallo e Italia, con un processo di regionalizzazione al posto di una traduzione diretta, e con la spiegazione del perché in primo piano rispetto all’elenco di cosa fare. Quel livello culturale di area geografica arriva già risolto.

Sopra ci sono due leve concrete. Le variabili permettono di definire una volta un dato proprio dell’organizzazione, come il numero a cui si segnalano gli incidenti, e fanno sì che tutti i contenuti che usano quel dato lo mostrino già aggiornato. E qualsiasi contenuto si può modificare al 100%, così il vocabolario interno entra senza chiedere il permesso a nessuno. I cataloghi separati per pubblico del programma fanno il resto, perché in una stessa organizzazione lo stabilimento, l’ufficio e la forza commerciale sono tre culture che convivono sotto lo stesso logo.

Quello che nessuna piattaforma sa è se nella tua organizzazione si può fare una battuta. Lo sa chi lavora là dentro, ed è la parte del lavoro che non si automatizza.

Cosa è partito da Melbourne

Di quella canzone non è stato esportato l’umorismo nero. È stata esportata l’idea di guardare il pubblico reale prima di decidere il formato, che è un’idea decisamente meno orecchiabile e decisamente più utile.

Prima della prossima campagna, prova con una sola domanda nella riunione di area. Se in questa organizzazione qualcuno sbaglia con un’email strana, cosa fa? La risposta ti dirà da dove partire, e di solito è diversa da quella che il programma dava per scontata.