Perché il primo giorno è il momento peggiore per insegnare sicurezza

Il primo giorno di una persona in un’organizzazione è pieno di cose da firmare. Il contratto, l’attivazione degli account, la policy sull’uso dei dispositivi, quella sui dati personali, la consegna della dotazione di lavoro. Da qualche parte in quell’elenco c’è l’inserimento sulla sicurezza, e di solito ci sta lo stesso giorno di tutto il resto.

È il momento in cui la persona riesce a trattenere meno, perché non sa ancora come si chiamano le persone con cui lavorerà né come funziona niente di quello che ha intorno. Ed è anche l’unico momento in cui l’intera organizzazione si ricorda di dargliela. Il problema sta lì, dato che il giorno in cui è più facile mettere la formazione in agenda è il giorno in cui rende meno.

Perché il primo giorno è il momento peggiore per insegnare sicurezza?

Perché quello che insegniamo quel giorno ha bisogno di un contesto che la persona ancora non ha. Un esempio di mail sospetta funziona quando chi la guarda sa già quali sono le mail normali del suo ruolo, chi le scrive abitualmente e come chiede le cose il suo responsabile. Il primo giorno non c’è niente di tutto questo, così l’esempio viene elaborato come informazione generica e archiviato con il resto.

A questo si aggiunge la saturazione. Una persona che assiste a una presentazione dopo l’altra non distingue quale fosse importante, e quella sulla sicurezza compete ad armi pari con quella sul piano di welfare. Il risultato abituale è una firma per presa visione e nessun ricordo di cosa dicesse il contenuto, una cosa che la percentuale di completamento non mostra perché segna 100%.

L’investimento, intanto, continua a crescere. Il rapporto NIS Investments 2025 di ENISA ha misurato che ampliare i programmi di formazione e Cybersecurity awareness è tra le priorità del 33% delle organizzazioni rilevate nell’Unione Europea. Ogni persona che entra inaugura quel programma il primo giorno, e quella prima impressione decide parecchio di come lo guarderà per il resto dell’anno.

Cosa lasciare il primo giorno

Il minimo che serve alla persona per non farsi male nella prima settimana, che è parecchio meno di quello che di solito includiamo. Bastano queste tre cose, e hanno in comune il fatto che si imparano solo qui dentro:

• Come si segnala quando qualcosa non torna. Il pulsante, l’indirizzo o la persona, con un esempio di cosa succede dopo la segnalazione, perché un canale di cui non si sa cosa aspettarsi viene usato poco.
• A chi chiedere. Il nome concreto di qualcuno della sua area, dato che nelle prime settimane nessuno scrive a una casella generica che non conosce.
• Cosa l’organizzazione non gli chiederà mai via mail. Il dettaglio proprio di ogni casa, che non sta in nessuna policy generica ed è quello che gli permette di riconoscere una richiesta falsa nella prima settimana.

Tutto il resto può aspettare, e aspettare lo migliora. La policy completa, il catalogo delle minacce e la spiegazione del perché esiste il programma rendono di più quando la persona ha già situazioni sue a cui applicarli.

Cosa spostare alla seconda e alla terza settimana

Il contenuto che dipende dal ruolo, che è la maggior parte. Alla terza settimana la persona ha già visto la sua casella reale, ha già ricevuto la prima richiesta urgente da qualcuno che non conosce e ha già usato gli strumenti con cui lavorerà. Quel materiale ormai atterra su qualcosa.

E va distribuito, perché un’ora di fila nella terza settimana riproduce il problema del primo giorno su scala minore. Il gocciolamento continuo risolve il dosaggio, e per l’inserimento vale la stessa regola con un orizzonte più corto: pezzi brevi durante il primo mese, vicino al momento in cui la persona fa per la prima volta ciò di cui le si parla.

Quell’incrocio tra contenuto e momento è ciò che separa un inserimento che si ricorda da uno che si completa, ed è per questo che i nudge dipendono tanto dal momento quanto dal messaggio.

Come si tiene in piedi tutto questo senza dipendere da chi se lo ricorda?

Con il calendario costruito prima del primo ingresso. Un inserimento scaglionato dipende da qualcuno che lo faccia partire nella data giusta, e quella persona ha anche il resto del suo lavoro addosso, quindi la parte di messa in agenda è la prima che vale la pena automatizzare.

In SMARTFENSE si risolve con i gruppi intelligenti, che si mantengono aggiornati con i criteri che si definiscono, tra questi la data di creazione dell’utente. Un gruppo di assunzioni recenti si riempie da solo e fa partire la sequenza di inserimento senza dipendere da chi la mette in agenda a mano.

Vale chiarire cosa risolve e cosa no. La piattaforma mette in agenda e consegna, e la decisione su cosa va il primo giorno e cosa va la terza settimana resta editoriale, di chi conosce i ruoli. Il livello di conformità, che è un’altra cosa, lo copre il piano che assorbe le nuove assunzioni e le scadenze.

Come si capisce se l’inserimento ha funzionato?

Non dalla percentuale di completamento della prima settimana, che dà vicino al 100% perché la persona è appena arrivata e fa tutto quello che le chiedono. I segnali utili arrivano più tardi:

• Se alla quarta settimana fa una domanda. Una domanda da parte di chi è entrato un mese fa è la notizia migliore che possa dare un inserimento, perché significa che sa a chi scrivere.
• Se segnala qualcosa prima del terzo mese. Poco importa che sia un falso allarme, dato che quello che si sta misurando è se il canale si è installato.
• Se raggiunge il ritmo del suo team in tempi simili a quelli degli altri. Quando quei tempi si allungano, quello da rivedere è il disegno del percorso di ingresso.

Quest’ultimo segnale si legge per area, perché un inserimento può funzionare bene per un team d’ufficio e restare corto per uno di stabilimento, su turni a rotazione o per chi entra lavorando da remoto, dove il ruolo e i tempi sono altri. Lì aiuta rivedere cosa tollera la cultura di ogni organizzazione prima di dare il calendario per buono.

Dopo la firma

Torniamo all’elenco delle cose da firmare. Tutto quello che c’è in quell’elenco è pensato per essere risolto il primo giorno, e ha senso, perché sono adempimenti. L’inserimento sulla sicurezza si è infilato lì per comodità amministrativa, e si porta dietro un problema suo, perché è la prima conversazione che l’organizzazione ha con quella persona su come si lavora qui. Una conversazione così viene servita male da una firma.

Distribuirlo lungo il primo mese costa quanto darlo in una mattinata, e l’unica cosa che cambia è il momento. Con il momento cambia anche quello che resta.

Se qualcuno è entrato nella tua organizzazione il mese scorso, sa oggi a chi scrivere se gli arriva una mail che chiede un bonifico urgente? Quella risposta dice più del tuo inserimento di qualsiasi percentuale di completamento.

Domande frequenti

Quale formazione sulla sicurezza dare il primo giorno?

Solo quello che serve alla persona per non farsi male nella prima settimana, e quello che quei contenuti hanno in comune è che si imparano solo dentro l’organizzazione: come si segnala quando qualcosa non torna, a chi chiedere dentro la sua area e cosa l’organizzazione non le chiederà mai via mail. Il resto del contenuto rende di più distribuito nelle settimane successive, quando ha già a cosa collegarlo.

Perché l’inserimento sulla sicurezza si dimentica così in fretta?

Perché il primo giorno la persona riceve una cosa dopo l’altra e nessuna ha ancora un posto dove incastrarsi. Un esempio di mail sospetta ha bisogno che chi la guarda sappia quali sono le mail normali del suo ruolo e come chiede le cose il suo responsabile, e il primo giorno non esiste niente di tutto questo.

Quanto dovrebbe durare l’inserimento in Cybersecurity awareness?

Circa un mese, distribuito in pezzi brevi invece che concentrato in una sessione iniziale. La regola è la stessa del microlearning con un orizzonte più corto, e quello che si cerca è che ogni pezzo arrivi vicino al momento in cui la persona fa per la prima volta ciò di cui le si parla.

Come si automatizza l’inserimento senza perdere criterio?

Con gruppi che si aggiornino da soli in base alla data di assunzione e facciano partire la sequenza senza interventi manuali, così il calendario non dipende da un compito che qualcuno deve ricordare. La decisione su quale contenuto va in quale momento resta editoriale, perché dipende dai ruoli e quella parte non la risolve nessuno strumento.

Come si misura se l’inserimento ha funzionato?

Non dalla percentuale di completamento della prima settimana, che dà vicino al 100%. I segnali utili sono se alla quarta settimana la persona fa una domanda, se segnala qualcosa prima del terzo mese anche se è un falso allarme, e se raggiunge il ritmo del suo team in tempi simili a quelli degli altri.