Cosa guadagna un gioco di Cybersecurity awareness quando il punteggio è condiviso
Wordle si gioca da soli. Cinque lettere, sei tentativi, fine. Niente di tutto questo spiega perché alla fine del 2021 il gioco era in ogni conversazione.
La spinta è arrivata da una funzione minima che il suo creatore, Josh Wardle, ha aggiunto verso la fine di quell’anno, una griglia di quadratini colorati che chiunque poteva incollare in qualsiasi chat per mostrare come era andata senza rivelare la parola. Il risultato è diventato condivisibile e il gioco è passato a essere argomento di chiacchiera in ufficio, nei gruppi di famiglia e sui social. A gennaio 2022 lo ha comprato The New York Times.
Un programma di Cybersecurity awareness vive il problema al rovescio. I contenuti ci sono, la piattaforma li consegna, ogni persona fa la sua parte e chiude la scheda. Lì finisce tutto. Quello che abbiamo imparato non torna in nessuna conversazione, e la conversazione è l’unica parte del programma che non costa niente.
Un gioco di Cybersecurity awareness rompe quella solitudine per una ragione semplice. Lascia un risultato. Un modulo completato non dà argomento (nessuno si alza dalla scrivania per raccontare di avere finito il modulo quattro), mentre un punteggio sì, e lo dà molto di più se accanto c’è un altro punteggio con cui confrontarsi.
Che cos’è un gioco condiviso in un programma di Cybersecurity awareness?
Un gioco condiviso è un videogioco che ogni persona gioca da sola e il cui risultato resta visibile agli altri, sia il punteggio, sia la posizione in classifica, sia la partecipazione di ogni reparto.
La parola multigiocatore compare presto in queste conversazioni e porta altrove. Un gioco con partite simultanee, squadre collegate alla stessa ora e sincronia tra giocatori è un altro prodotto e un altro budget. Qui quello che si condivide è il risultato, e per questo basta che il gioco registri quello che è successo.
Quella materia prima di solito è già disponibile prima che qualcuno pensi di usarla. Nel catalogo di videogiochi di awareness di SMARTFENSE ogni gioco dichiara la sua durata stimata, che non supera mai i quindici minuti, il suo livello e i temi di sicurezza che copre, e ogni partita resta registrata dall’inizio alla fine. Quei dati alimentano una distribuzione dei punteggi e una classifica. La dashboard di gamification mostra a ogni persona i suoi badge, i progressi, i punti e il ranking. Quello che manca di solito è la decisione di leggere tutto questo in gruppo.
Perché la conversazione che lascia il gioco fa metà del lavoro?
Raccontare come è andata una partita obbliga a ripassare il contenuto senza che nessuno lo chieda.
Chi ha perso una vita per aver raccolto un dato che credeva sensibile deve spiegare quale era e perché si è confuso. Chi è arrivato a due punti dal primo posto vorrà raccontare su quale domanda gli è scappata, con dovizia di dettagli e un po’ di indignazione. Quel racconto è un ritorno sul materiale, e questa volta la persona lo fa per conto suo e volentieri.
Il corridoio è il miglior canale di ripetizione che ha un programma di Cybersecurity awareness e anche l’unico che non si può programmare dalla piattaforma. Quello che invece è alla nostra portata è dargli qualcosa di cui parlare. Il dosaggio del contenuto si occupa della frequenza con cui il tema riappare; la conversazione si occupa di far avvenire il ripasso fuori, dove poi si prendono le decisioni che ci proteggono.
C’è una seconda cosa che succede quando un gioco circola. La persona che non apre mai un contenuto di sicurezza perché lo sente estraneo entra comunque, perché la sua squadra sta partecipando e non vuole essere quella che manca. È una pressione sociale leggera e funziona meglio del promemoria numero sette.
Cosa conviene confrontare e cosa conviene tenere privato?
La regola pratica è confrontare l’impegno e la partecipazione, e tenere la prestazione individuale fuori dalla vista degli altri.
L’ho già detto quando abbiamo ripassato le meccaniche di gamification che cambiano il comportamento, e resta l’errore più ripetuto del settore. Una classifica nominale di punteggi sostiene l’entusiasmo di chi sta in alto, e tutti gli altri capiscono in due secondi che quel torneo non è per loro. Con il confronto spostato sulla squadra, invece, il contributo di ogni persona somma senza restare esposto.
| Cosa si confronta | Cosa produce | Cosa conviene evitare |
|---|---|---|
| Partecipazione per reparto | Pressione sociale leggera, del tipo “siamo i soli che mancano” | Pubblicare chi non ha partecipato, con nome e cognome |
| Miglioramento rispetto al round precedente | Che un reparto partito piano abbia anche lui qualcosa da vincere | Confrontare solo il punteggio assoluto tra squadre di dimensioni diverse |
| Temi di sicurezza che la squadra ha già giocato | Conversazione su cosa resta da coprire | Leggere la copertura come apprendimento dimostrato |
| Punteggio individuale, visibile a ciascuno | Un motivo per riprovare | Trasformarlo in tabella nominale per tutta l’organizzazione |
La quarta riga è quella che si discute di più. Il punteggio proprio motiva proprio perché è proprio, e appena diventa pubblico cambia funzione e comincia a mettere le persone in fila.
Come si organizza un round tra reparti?
Un round è una finestra breve con data di chiusura, due o tre giochi scelti e i risultati letti per squadra. Cinque decisioni e resta organizzato.
- Scegliere due o tre giochi brevi. Da cinque a dieci minuti ciascuno, con temi diversi tra loro, così il percorso non è sempre lo stesso tipo di sfida.
- Creare i gruppi per reparto. Si costruiscono sulle persone che hanno un account sulla piattaforma, quindi conviene controllare prima quali reparti restano davvero rappresentati.
- Fissare data di inizio e di chiusura. Due settimane bastano. Senza data finale il round si dissolve e nessuno sa quando è terminato.
- Annunciarlo con qualcosa in gioco che non sia denaro. Una colazione, il diritto di scegliere il tema del mese successivo, un trofeo ridicolo che gira di scrivania in scrivania. Quello che conta è che esista un motivo per guardare la tabella.
- Chiudere in pubblico con i risultati per reparto. Un messaggio, tre righe, la squadra che ha partecipato di più e quella che è migliorata di più.
La chiusura pesa più della partenza. Un round che comincia con un annuncio e finisce in silenzio insegna all’organizzazione che il prossimo si può ignorare.
Cosa si può misurare quando il round finisce?
I report dei videogiochi mostrano la partecipazione, la distribuzione dei punteggi e la classifica, e con i gruppi creati per reparto quella lettura si apre per squadra. Basta per rispondere a chi ha giocato, quanto e con quale prestazione relativa.
Conviene esplicitare il limite prima che qualcuno legga la tabella al rovescio. Il round non dimostra che una persona riconoscerà una email fraudolenta il mese prossimo. Muove la partecipazione, l’attenzione e il ricordo, che sono condizioni perché l’apprendimento avvenga. Il comportamento in una situazione simile a quella reale si misura con le simulazioni e si segue con lo scoring di rischio, e quella è una lettura diversa che i punteggi di gioco non sostituiscono.
Dirlo così, tra l’altro, aiuta quando il report arriva alla direzione. Un report che presenta la partecipazione come partecipazione e il comportamento come comportamento è più difficile da contestare di uno dove tutto appare mescolato nello stesso grafico.
Quando un round tra reparti è una cattiva idea?
Ci sono tre situazioni in cui conviene non farlo.
Quando nell’organizzazione l’errore si paga. Se sbagliare ha un costo, il confronto tra reparti diventa un motivo in più per non partecipare, e il gioco perde l’unica cosa che lo rende utile, cioè il permesso di provare e fallire. Quel permesso è quello che fa sì che sbagliare giocando insegni.
Quando l’accesso è disuguale. Se una parte del personale non ha account né schermo proprio, la tabella mostrerà reparti interi vuoti per una ragione che non ha niente a che vedere con la voglia. Per quel pubblico la strada è un’altra e l’abbiamo già percorsa nel pezzo sulla Cybersecurity awareness per chi non lavora davanti a uno schermo.
Quando il round è tutto quello che c’è. Una competizione ogni tanto rende quando dietro c’è un programma già in movimento, con il suo ritmo e i suoi contenuti.
La griglia di quadratini colorati
Wordle ha distribuito la stessa parola a tutti nello stesso giorno, e con questo ha dato a molte persone un motivo per parlare dello stesso problema insieme. Il dizionario c’era già. Un programma di Cybersecurity awareness può ottenere qualcosa di simile con quello che ha già nel catalogo. Basta lasciare che il punteggio si veda.
Se vuoi provarlo, scegli due giochi brevi, crea i gruppi per reparto e dagli una data di chiusura. Quello che succederà nella cucina dell’ufficio quella settimana non lo mostrerà nessun report, ed è la parte che rende di più.
Lascia un commento