Cybersecurity awareness per chi non lavora davanti a uno schermo

Air New Zealand è arrivata al suo ventitreesimo video sulla sicurezza a bordo. L’ultimo è interpretato da una stella del basket che gioca contro un gruppo di ragazzi, in una scena che arriva fino a uno stadio. Stiamo parlando delle istruzioni di sicurezza dell’aereo, l’unica formazione obbligatoria che milioni di persone ricevono ogni anno. Dura due minuti, e in quei due minuti la compagnia non controlla nulla di ciò che accade all’attenzione di chi guarda. Per questo ha deciso che meritava una produzione vera.

Ora pensiamo a come arriva la Cybersecurity awareness al personale senza scrivania, che ha lo stesso vincolo di attenzione e diversi altri sopra. In piedi, in movimento, senza casella di posta e con le mani occupate. Nella maggior parte delle organizzazioni non arriva affatto.

E sono molte più di quante si tenda a immaginare. Secondo Eurostat, nel 2022 circa il 30% delle persone occupate nell’Unione Europea utilizzava dispositivi digitali per tutta o la maggior parte della giornata di lavoro. Un programma che vive nella posta elettronica parla molto bene a quella fascia e dà per coperte tutte le altre.

Chi resta fuori da un programma che vive nella posta elettronica?

Il pubblico senza scrivania è composto dalle persone il cui lavoro non passa da un computer, come il personale di reparto e di cantiere, chi lavora sul campo o nelle consegne, chi sta allo sportello o in manutenzione e chi ruota sui turni. Alcune condividono un terminale nello spogliatoio. Altre non hanno una casella di posta aziendale, semplicemente.

Per loro il repertorio abituale crolla per intero. Non c’è simulazione di phishing, perché non c’è una casella dove riceverla. Non c’è promemoria settimanale che arrivi il martedì mattina. Non c’è modulo interattivo da venti minuti, e se anche ci fosse, quei venti minuti non esistono.

La parte scomoda è che il rischio non le risparmia per questo. C’è chi tiene aperta una porta a chi arriva senza badge, chi trova una chiavetta USB nel parcheggio e decide di capire di chi sia (un’intenzione del tutto buona), chi inquadra un codice QR attaccato a una macchina perché il cartello dice che serve a registrare il turno e chi risponde alla chiamata di qualcuno che dice di essere dell’assistenza informatica e ha una gran fretta. Tutte queste microdecisioni avvengono lontano da qualsiasi schermo aziendale. Nessuna finisce poi nel report di fine mese.

La definizione stessa del pubblico target di un programma di awareness parte dal riconoscere che sarà eterogeneo. Quello che di solito resta senza traduzione è che quell’eterogeneità si gioca tanto nel canale su cui viaggia il contenuto quanto nei temi che affronta.

Perché il ruolo cambia il modo di imparare?

Il ruolo decide il formato prima di qualsiasi preferenza pedagogica. Se la giornata si passa in piedi e in movimento, il contenuto deve poter essere ricevuto in piedi e in movimento. Scritto così suona ovvio, e invece la maggior parte dei programmi offre un unico modo di ricevere tutto.

In un ambiente rumoroso il voice over non serve. Con le mani occupate non serve niente che chieda un clic. Senza un angolo dove stare fermi cinque minuti, la sessione lunga serve ancora meno. E dove i turni ruotano, un unico messaggio sono tre pubblici che non si incrociano mai, quindi inviarlo una volta significa inviarlo a un terzo delle persone.

La sicurezza sul lavoro ha risolto tutto questo decenni fa, e l’ha risolto senza posta elettronica. I cinque minuti di briefing prima del cambio turno. La bacheca dello spogliatoio. Il cartello messo nel punto esatto in cui si commette l’errore. La dimostrazione con l’attrezzatura in mano. Niente di tutto questo chiede un account, una password o un browser. La Cybersecurity awareness, nel frattempo, continua a partire via email e ad aspettare che qualcuno la apra.

E c’è un dettaglio logistico che pesa più di quanto sembri. In questi ruoli il canale reale tende a essere una persona, chi conduce il cambio turno o chi distribuisce i compiti della giornata. Quando il contenuto le arriva come un PDF da inoltrare, muore lì. Quando le arriva come un copione breve da raccontare a voce, con una scena concreta e una domanda finale, il briefing avviene. Progettare per quella persona fa parte del lavoro, anche se non compare in nessun catalogo di formati.

Quali formati raggiungono chi non ha una casella di posta?

Quelli che viaggiano su un canale fisico o condiviso, e quelli che stanno nella fessura di tempo che il ruolo lascia davvero libera. La mossa utile è partire dal vincolo del ruolo e cercare poi il formato che lo aggira.

Vincolo del ruolo	Formato che lo aggira	Comportamento che allena
Nessuna casella di posta aziendale	Fumetto stampato in bacheca o proiettato in mensa	Riconoscere una situazione intera in due vignette
Giornata in piedi e in movimento	Video breve sullo schermo dello spogliatoio o della mensa	Vedere la trappola per intero in meno di un minuto
Mani occupate e ambiente rumoroso	Cartello o vignetta nel punto esatto di utilizzo (la macchina, l’ingresso, la stampante)	Fermarsi proprio dove si prende la decisione
Turni a rotazione	Lo stesso contenuto ripetuto in tutti e tre i cambi	Che nessun turno resti senza il contenuto della settimana
Squadra riunita prima del cambio	Partita rapida in squadra, con punteggio a vista	Decidere sotto pressione e commentare l’errore a voce alta
Chi conduce il cambio turno è l’unico canale stabile	Un copione di cinque minuti da raccontare, non un PDF da inoltrare	Che il briefing avvenga senza dipendere da chi legge

Nessuno di questi formati è nuovo, e la domanda su quale formato usare per quale comportamento è la conversazione di sempre. Quello che cambia qui è il veicolo. La stessa vignetta che in ufficio arriva come immagine in una email, in reparto arriva stampata e affissa dove le persone passano.

La logica del microlearning si adatta particolarmente bene a questi ruoli, perché il tempo compare in dosi di minuti e non in blocchi di mezz’ora. E la partita rapida prima del cambio sfrutta qualcosa che la scrivania non ha, cioè avere le persone insieme e con il permesso di sbagliare a voce alta. Sbagliare giocando funziona ancora meglio quando l’errore viene commentato nella squadra, sul momento.

La varietà di formati del catalogo di SMARTFENSE esiste proprio per questo, perché un’organizzazione con reparto, ufficio e consegne ha tre pubblici che ricevono le informazioni in modi molto diversi.

Come si misura quando non ci sono clic?

Senza casella di posta non c’è click rate, e non c’è nemmeno alcun registro automatico. Un fumetto proiettato sullo schermo della mensa non lascia traccia di chi l’ha guardato, né del fatto che qualcuno abbia alzato gli occhi dal piatto. Conviene dirlo ad alta voce prima di costruire un cruscotto che promette più di quanto possa mantenere. Qui la misurazione cambia unità. Smette di essere la persona e diventa il turno.

Con questo sul tavolo, ci sono quattro cose che tengono.

• Diffusione, che è diversa dalla ricezione. Della bacheca e dello schermo dello spogliatoio sappiamo cosa è stato affisso e quando, non chi l’ha visto. Serve a individuare il mese in cui il contenuto non è uscito, e a poco altro. Confonderla con la copertura è l’errore che poi non torna in sede di audit.
• Copertura dichiarata per turno. La copertura compare quando qualcuno la dichiara. Chi coordina il cambio segna che ha raccontato il contenuto, in quale turno e davanti a quante persone. Quella persona ha di solito un account in piattaforma anche se la sua squadra non lo ha, ed è qui che i gruppi intelligenti rendono davvero: si costruiscono con chi coordina, e il vuoto che rivelano è il cambio turno in cui il briefing non è mai avvenuto.
• Una domanda di verifica, letta in forma aggregata. Su carta o sul telefono condiviso dell’area, con il risultato che entra come conteggio del gruppo e non come risposta con nome. Serve a confrontare i turni tra loro e a vedere se lo stesso malinteso si ripete sempre nella stessa sede. Come valutazione individuale non serve, e non è nemmeno lì per quello.
• La simulazione che non richiede una casella di posta. La chiavetta USB dimenticata in un corridoio misura il comportamento senza chiedere un indirizzo email, perché quello che resta nel registro è il dispositivo su cui è stata collegata la chiavetta, la sessione aperta su quel dispositivo e l’ora. In reparto quel dispositivo è di solito condiviso, quindi il dato torna a essere del ruolo e del turno. Resta l’indicatore più onesto disponibile qui, perché misura quello che qualcuno ha fatto.

Manca un avvertimento, perché la domanda arriva prima o poi. Niente di tutto questo dà tracciabilità nome per nome. Se il programma deve dimostrare a un auditor che una persona precisa ha ricevuto una formazione precisa, l’unica strada è registrarla come utente della piattaforma, e quello è un altro progetto con un altro budget. Vale la pena separare le due conversazioni dall’inizio. Cambiare il comportamento di un turno si può iniziare lunedì. Certificare ogni persona per nome è un’altra cosa, e meglio non prometterla nella stessa riunione.

Nessuno di questi numeri sta in una slide con la stessa eleganza di una percentuale di clic. Sono più ruvidi, e dicono molto di più su cosa fanno le persone a cui il messaggio non è mai arrivato.

Che arrivi comunque

Una compagnia aerea produce ventitré video per tenere due minuti di attenzione che non può obbligare nessuno a darle. Lo fa perché in quei due minuti si gioca tutto ciò che quella persona saprà se qualcosa va storto. Noi abbiamo lo stesso vincolo, e in più con persone in piedi e con le mani occupate, e lo risolviamo mandando una email (a una casella che, per buona parte del personale, non esiste).

Iniziare costa meno di quanto sembri. Basta guardare l’elenco del personale e chiedersi chi, tra tutte queste persone, non può ricevere nulla di ciò che stiamo inviando. Quell’elenco è di solito più lungo di quanto l’organizzazione si aspetti, ed è la parte del programma ancora da scrivere. Poi viene scegliere un formato che entri dal canale che quelle persone hanno davvero, e un modo di misurarlo che non menta a nessuno.

Il riflesso che cerchiamo si allena nel luogo in cui la persona lavora, e qualcuno deve portarlo fin lì.