Quando parliamo di Cybersecurity awareness pensiamo di solito al corso annuale, all’incontro obbligatorio, al modulo da completare entro fine mese. Tutto questo è formazione, il mezzo. La awareness è ciò che resta dopo, quando la persona ha chiuso il corso e torna a una casella di posta piena di email. È lì che si gioca l’intero programma, in un giorno qualunque, e quel giorno non finisce su nessun cruscotto.
Per questo un’organizzazione può avere il 100% della formazione completata ed essere comunque vulnerabile. Il certificato dice che la formazione è avvenuta. Non dice nulla su ciò che le persone fanno il resto dell’anno, nella loro casella di posta reale.
Cos’è la Cybersecurity awareness?
La Cybersecurity awareness è la capacità di una persona di riconoscere un rischio digitale nel momento in cui si presenta e di reagire bene sul momento, senza fermarsi a ragionarci. Si vede meno in ciò che qualcuno sa spiegare sulla sicurezza e di più in ciò che fa quando arriva l’email strana un martedì alle cinque del pomeriggio, con quindici cose in sospeso e la voglia di finire.
Questa distinzione conta perché l’attacco non arriva in formato esame. Arriva travestito da qualcosa di normale, un avviso della banca, una fattura, un messaggio del capo. E la persona non lo affronta con la parte della testa che ha studiato il corso, lo affronta con il riflesso, che è rapido e non consulta gli appunti. Allenare quel riflesso è il vero lavoro della awareness.
Ed è una cosa collettiva. Una persona attenta circondata da un team che inoltra qualsiasi cosa senza guardare resta esposta allo stesso modo. Per questo il focus è la cultura del gruppo, più che la formazione individuale. La awareness vive in ciò che il gruppo considera normale, nel fatto che chiedere “è vero questo?” sia visto come ragionevole o come una perdita di tempo per gli altri.
Perché tanti programmi restano a metà?
Molti programmi restano a metà perché misurano ciò che è facile da contare. Contano quante persone hanno completato il corso, quante ore sono state dedicate, che voto hanno preso al questionario. Tutto questo conferma che la formazione c’è stata. Nulla di tutto ciò conferma che il comportamento sia cambiato.
Il caso più comune è il corso annuale. Una volta all’anno raccogliamo tutto ciò che c’è da sapere, lo comprimiamo in un modulo lungo e diamo l’argomento per coperto. La persona lo completa, lo supera, e nel giro di pochi giorni la curva dell’oblio si è già portata via gran parte (non per disinteresse, è così che funziona la memoria con ciò che usiamo poco). Undici mesi dopo ci aspettiamo una reazione impeccabile a un attacco reale con quel poco che è sopravvissuto.
L’altro classico è trattare la awareness come un adempimento di conformità più che come un cambiamento di abitudini. Si fa per mostrare il certificato all’audit. Avere il certificato va benissimo, ma un programma pensato solo per l’audit si nota subito, annoia, non connette. E ciò che annoia non si trattiene. Un corso che la persona dimentica appena lo chiude è, in pratica, una falla di sicurezza a forma di casella spuntata.
C’è un terzo punto, più di fondo. Molti programmi partono da un’idea che non aiuta, quella secondo cui la persona è l’anello più debole. Se il messaggio di base è che il problema sono gli esseri umani, la formazione diventa un rimprovero travestito e le persone imparano a nascondere gli errori invece di segnalarli (e un errore nascosto è proprio quello che non possiamo correggere in tempo). La awareness che funziona fa il contrario, tratta la persona come la prima linea di difesa e le dà con cosa difendersi. L’obiettivo è che qualcosa la protegga e che possa continuare a lavorare serena.
Cosa separa il sapere dal fare?
Tra il sapere e il fare c’è un vuoto che la formazione da sola non colma. Possiamo capire perfettamente cos’è il phishing e cliccare comunque, perché nel momento del clic non stiamo analizzando, stiamo smaltendo compiti con il pilota automatico.
Lo abbiamo già sviluppato in perché il phishing non è un problema di conoscenza: la maggior parte delle trappole non riesce per mancanza di informazioni, ci coglie con la guardia bassa. Quindi il lavoro vero è che le persone riconoscano la trappola quando ce l’hanno davanti. Questo si allena con la ripetizione in contesto, mettendole di fronte alla trappola finché il riflesso la registra, molto più che accumulando definizioni per un esame che non arriva mai.
Il modo più onesto di allenare quel riflesso è lasciare che la persona sbagli in un posto dove sbagliare non costa nulla. Una simulazione ben fatta insegna più di un avvertimento, perché ci lascia inciampare, capire perché siamo caduti e uscirne con quel segno addosso (lo raccontiamo in imparare dagli errori giocando). La volta successiva, il riflesso porta già l’esperienza dentro di sé.
C’è una questione di tono che cambia parecchio il risultato. Un riflesso allenato dalla paura genera paralisi. La persona dubita di assolutamente tutto, si sfinisce, e spesso finisce per spegnere l’allarme interno pur di lavorare in pace. Uno allenato riconoscendo la trappola per averla vista prima genera criterio, che è l’opposto della paralisi. La persona sa dove guardare e va avanti con la sua giornata senza vivere sul chi va là.
Come si costruisce una cultura della sicurezza che duri?
Una cultura della sicurezza dura quando la awareness smette di essere un evento annuale e diventa qualcosa di continuo, breve e ben collocato nel tempo. Invece di un’unica dose enorme una volta all’anno, molti piccoli contatti distribuiti nei mesi.
Tre cose aiutano a farla funzionare, e nessuna è complicata:
- La cadenza. Il gocciolamento continuo, contenuti brevi e distanziati, sostiene l’apprendimento molto meglio dell’abbuffata annuale. Il dettaglio è in microlearning nella cybersecurity.
- Il momento. Un promemoria serve quando arriva appena prima di una decisione rischiosa. Tre settimane prima, dentro un corso, non aggancia più. È il terreno dei nudge, le piccole spinte nel momento giusto.
- Il formato. Se il contenuto annoia, non importa quanto sia corretto, non resta. Per questo lavoriamo con storie, fumetti e gioco, qualsiasi cosa tenga l’attenzione abbastanza a lungo perché l’idea entri (qui spieghiamo perché la gamification cambia il comportamento).
Aiuta molto, inoltre, che il contenuto parli a ciascuno nella sua lingua. Non ha bisogno di avere in mente le stesse cose una persona del reparto finanziario, che convive con fatture e bonifici, e qualcuno del supporto, che riceve richieste di accesso e credenziali tutto il giorno. Quando l’esempio somiglia al lavoro reale di chi lo riceve, l’idea arriva in modo diverso e resta più a lungo.
La cultura appare quando queste cose diventano parte del paesaggio. Nessuno deve ricordarsi di “fare sicurezza” perché la sicurezza è già intessuta nella giornata, in dosi che non pesano.
Come si capisce se la awareness sta funzionando?
La awareness funziona quando cambia ciò che le persone fanno, quindi è questo che va misurato. Non quante hanno completato il corso, ma come rispondono a un tentativo reale nel tempo: se segnalano di più, se cascano di meno, se esitano prima di consegnare una credenziale.
L’indicatore che vale è la tendenza nel corso dei mesi, più che la fotografia di un singolo giorno. Un’organizzazione che migliora ha sempre più persone che riconoscono e segnalano, e sempre meno che abboccano. Quel dato, inoltre, è quello che si può portare a un comitato di direzione senza far girare la testa a nessuno (abbiamo preparato una guida per questo in reporting per il comitato di direzione). Se il report del tuo programma si concentra sulle ore e lascia fuori il comportamento, probabilmente misura lo sforzo e si perde il risultato.
Cosa guardare in concreto? Il tasso di segnalazione delle email sospette è di solito il miglior termometro, perché mostra le persone che individuano e segnalano, la parte attiva del programma. Serve anche vedere quanto tempo impiega il team a dare il primo allarme di fronte a una campagna simulata. Se quel tempo scende, il riflesso è più affilato. Ed è saggio diffidare di una singola metrica presa da sola: il tasso di clic guardato in modo isolato spinge a progettare simulazioni facili perché il numero venga bello, che è esattamente ciò che non vogliamo.
In SMARTFENSE abbiamo costruito la piattaforma attorno a questa idea. Gli strumenti di awareness non inseguono la sufficienza a un esame, puntano a far sviluppare alla persona abitudini sicure con contenuti che non annoiano, nel momento in cui servono, e con dati che mostrano se il comportamento si è mosso. Il fattore umano resta tra le cause più frequenti delle violazioni, secondo il report Verizon DBIR, e nessun incontro annuale basta a spostarlo. A spostarlo è una cultura che si prende cura di sé, sostenuta nel tempo.
In una riga
La Cybersecurity awareness si gioca nel giorno qualunque, nella micro-decisione di guardare due volte prima di cliccare, molto più che nel corso. Lì a rispondere è il riflesso che abbiamo allenato. La teoria resta in aula. E un riflesso si allena con la pratica, nel contesto e senza annoiare, perché ciò che annoia non si trattiene, e ciò che non si trattiene non protegge nessuno.
Lascia un commento