Cosa significa gestire il rischio umano e perché un singolo strumento non basta

“Human risk management” è comparso come etichetta in quasi tutte le conversazioni su sicurezza e persone degli ultimi due anni. La sua traduzione, gestione del rischio umano, viene usata con la stessa disinvoltura e spesso per descrivere esattamente quello che prima si chiamava Cybersecurity awareness. Il nome nuovo da solo non cambia molto. Quello che cambia è se il programma si comporta come una gestione del rischio o come un corso annuale con foglio firme.

Vale la pena distinguere le due cose, perché da quella distinzione dipendono gli strumenti che ti servono e quello che potrai dimostrare quando qualcuno ti chiederà come sta la tua organizzazione.

Che cos’è la gestione del rischio umano?

La gestione del rischio umano è la pratica di misurare, ridurre e dimostrare in modo continuo il rischio che le persone introducono nella sicurezza di un’organizzazione. Tutte e tre le cose devono esserci, e in modo continuo. Un programma che si limita a formare non misura. Uno che si limita a simulare non riduce. E uno che non lascia traccia non dimostra nulla davanti a un auditor.

Trattarlo come rischio ha una conseguenza pratica. Un rischio si misura su una scala, si confronta con se stesso nel tempo e gli si assegna un’azione. Non si completa. Su che cos’è esattamente il rischio umano e dove inizia abbiamo scritto in passato su questo blog.

Perché un singolo strumento non basta?

Perché ogni pezzo risponde bene a una domanda e nessuno risponde a quella successiva.

Uno strumento di simulazione ti dice chi ha cliccato. Non ti dice cosa dare a quella persona dopo, né se ha imparato qualcosa. Una piattaforma di formazione distribuisce contenuti e registra l’avanzamento, ma non ha modo di sapere chi è davvero esposto. Una dashboard di report mostra numeri su cui nessuno può agire da lì.

Il problema non nasce dentro ogni strumento. Nasce nello spazio tra loro, e quello spazio finisce per essere coperto da qualcuno del team di sicurezza con esportazioni, fogli di calcolo e incroci manuali.

C’è un caso molto concreto. Se le simulazioni e le metriche vivono separate, i gateway e le sandbox che “aprono” i messaggi in automatico sporcano le statistiche e nessuno se ne accorge. È il motivo per cui la piattaforma include il rilevamento e filtraggio dei falsi positivi.

Che cos’era SMARTFENSE quando è nata?

Era molto meno di quello che è oggi, e aveva già lo stesso nucleo.

La prima versione pubblica, nel 2017, portava simulazioni di phishing e ransomware, moduli interattivi e newsletter con validazione di lettura. Quello stesso anno è arrivata la sincronizzazione automatica degli utenti con Microsoft Azure AD e Google, così la piattaforma non ha mai funzionato come un’isola con la propria lista di persone caricata a mano. Nel 2018 si sono aggiunti gli esami e i Momenti Educativi, che rinforzano nell’istante esatto in cui qualcuno interagisce con una simulazione, insieme ai primi gruppi costruiti a partire dal comportamento verso le campagne.

Quest’ultimo punto è quello che conta di più guardando indietro. L’idea di segmentare per condotta invece che per reparto era già lì dal secondo anno, ed è il precursore diretto degli attuali Gruppi Intelligenti. Anche la decisione di integrarsi con i sistemi dell’organizzazione invece di installare software su ogni dispositivo viene da quel periodo, e la spieghiamo in perché ci integriamo via API e non con un agente.

Quali strati si sono aggiunti da allora?

Ogni strato è nato da un limite concreto del programma precedente, non da una roadmap scritta tutta in una volta.

• Metriche di cui ci si può fidare (2020). Rilevamento delle interazioni automatiche di gateway e sandbox, perché smettessero di contaminare le statistiche. Nello stesso anno, anonimizzazione degli utenti e autenticazione senza credenziali, allineate ai requisiti del GDPR.
• Engagement e misura del rischio (2021). Gamification nativa con badge, videogiochi educativi e classifiche. E il Risk Scoring, il primo algoritmo della piattaforma che traduce il comportamento di una persona e di un’organizzazione in una misura comparabile di esposizione.
• Consegna diretta e nuovi vettori (2022-2023). Direct Message Injection per Google Workspace e Microsoft 365, che deposita le simulazioni nella casella via API senza chiedere a nessuno di configurare liste di eccezioni. Insieme a questo, codici QR, chiavette USB e SMS si sono aggiunti a phishing e ransomware come vettori simulabili.
• Comportamento e intelligenza applicata (2024-2026). Interventi automatici che si attivano quando accade un evento di rischio, nudge che rinforzano la condotta nel momento giusto, pulsante di segnalazione phishing dentro Outlook, Gmail e Thunderbird, e percorsi di apprendimento che si adattano al rischio di ogni persona. Su quello strato abbiamo scritto in nudge di cybersecurity e il momento che decide.

Perché conta che tutto viva sulla stessa piattaforma?

Perché il valore sta nell’incrocio, e l’incrocio esiste solo se i dati condividono un unico posto.

Quando simulazione, formazione e misura girano sulla stessa base, il risultato di una alimenta la successiva senza che nessuno esporti niente. Chi ha cliccato riceve il rinforzo adeguato quel giorno. Il Risk Scoring di quella persona si muove. Il gruppo a cui appartiene si ricalcola da solo. Lo sviluppiamo in l’importanza della correlazione dei dati, ed è la ragione per cui preferiamo parlare di ecosistema piuttosto che di insieme di moduli.

Quell’ecosistema guarda anche verso l’esterno. Il segnale del comportamento umano arriva agli strumenti dove il team di sicurezza già lavora, cosa che abbiamo trattato in il punteggio di rischio umano come segnale per il SIEM, e in senso inverso il contesto di ogni persona arriva dal provider di identità, dagli strumenti di collaborazione e dalle piattaforme di conformità normativa attraverso le integrazioni disponibili.

SMARTFENSE conta quattro generazioni di piattaforma costruite su quell’idea, con la versione 4.37 pubblicata il 1 agosto 2026 e la qualificazione del CCN per il trattamento di informazioni sensibili nell’ENS spagnolo. Niente di tutto questo è una decisione di quest’anno.

La risposta breve

Cosa significa gestire il rischio umano? Misurare l’esposizione che le persone introducono, ridurla con azioni concrete e poter dimostrare entrambe le cose, in modo continuo e senza che nessuno debba unire i pezzi a mano.

Un singolo strumento copre un tratto di tutto questo. Il resto resta dal lato del team di sicurezza, sotto forma di lavoro manuale che non scala. Se vuoi vedere come si compone oggi ogni strato, sono tutti sulla piattaforma.