Qual è la migliore piattaforma di cybersecurity awareness?

Ci sono molte piattaforme di awareness sul mercato e questo, lungi dal facilitare la decisione, la complica. Quando le opzioni si moltiplicano, il confronto finisce per essere fatto su elenchi di funzionalità che non distinguono bene uno strumento dall’altro.

Questo post propone un altro ordine: prima l’obiettivo, poi le domande che separano una piattaforma dall’altra, e alla fine quello che quasi nessuno mette in elenco. Ogni sezione si chiude con quello che conviene verificare, che vale per qualsiasi fornitore. Come lo risolviamo noi va a parte, così puoi usare la guida senza passarci.

È stato pubblicato ad agosto 2024 e rivisto a settembre 2026.

Non esiste la migliore piattaforma, esiste la migliore per la tua organizzazione

La piattaforma ideale per un’organizzazione può essere la peggiore decisione per un’altra. Non esiste “la migliore piattaforma” in generale; esiste la migliore per la tua.

Per trovarla, definisci prima a cosa ti serve una piattaforma di awareness. I tre obiettivi più comuni sono:

• Gestire il rischio di social engineering
• Creare e sostenere una cultura della sicurezza
• Dimostrare la conformità a normative interne ed esterne

Vediamo di cosa ha bisogno ciascuno.

Parti dall’obiettivo, non dalla tabella di funzionalità

Gestire il rischio di social engineering

Gestire il rischio di social engineering significa conoscere il livello di rischio attuale e poi portarlo a un livello accettabile.

Per conoscere il livello di rischio bisogna simulare diversi tipi di attacco e misurare come si comporta ogni persona davanti a ciascuno. Phishing, ransomware, smishing, qrishing e USB drop non misurano la stessa cosa, perché non arrivano dallo stesso canale né chiedono la stessa azione.

Ma misurare non serve se il dato è contaminato. Quando una email di simulazione entra nella tua organizzazione, il filtro della posta, l’antivirus o la sandbox la aprono e seguono i suoi link prima della persona, e molte app di messaggistica fanno lo stesso con i link di un SMS. Ognuna di quelle azioni resta registrata come se l’avesse fatta qualcuno. Se la piattaforma non le separa, una parte dei click che stai per contare non li ha fatti nessuno, e qualsiasi decisione presa su quei dati sarà viziata.

Per portare il rischio a un livello accettabile servono azioni di awareness, e conviene che vivano nella stessa piattaforma della simulazione: la gestione si semplifica e puoi incrociare quello che insegni con quello che cambia nel comportamento. Una parte di quelle azioni deve arrivare nel momento giusto. Una persona fa la formazione a marzo e riceve la email sospetta ad agosto, di fretta e tra venti altre attività: la conoscenza c’era, il promemoria no. Un messaggio breve, legato a qualcosa che la persona ha appena fatto e nel canale dove già lavora, arriva quando il comportamento può ancora cambiare.

Infine, guarda come la piattaforma si collega a quello che hai già in funzione. Ogni collegamento che manca è lavoro manuale che qualcuno farà tutti i mesi, e conviene contarlo prima di firmare.

Che cosa verificare

• Quali canali di simulazione offre oltre alla posta.
• Come distingue l’interazione di una persona da quella di un software, se puoi caricare gli strumenti di sicurezza della tua organizzazione e se la pulizia si applica anche a campagne già concluse.
• Se la simulazione può essere consegnata direttamente nella casella, per misurare la persona e non il filtro della posta.
• Se simulazione e awareness vivono nello stesso prodotto, con report che le incrociano.
• Se può inviare messaggi brevi innescati da un comportamento, via email o tramite lo strumento di chat della tua organizzazione.
• Single sign-on, sincronizzazione con la tua directory, uscita dei dati via API, integrazione con l’LMS e, se sei un gruppo di aziende, un’istanza per azienda amministrata dalla capogruppo.

In SMARTFENSE

• Simulazione: phishing, ransomware, qrishing e USB drop da un’unica piattaforma, con consegna diretta nella casella per Google Workspace e Microsoft 365.
• Falsi positivi: la rilevazione combina un link esca che solo un software segue, liste di User-Agent e intervalli di IP che configura l’organizzazione, e una finestra di tolleranza attorno a ogni rilevazione. La configurazione si può riapplicare a campagne già concluse.
• Awareness nel momento giusto: i nudge si innescano per un evento concreto, arrivano via email, Slack o Teams nella lingua di ogni persona e sono pronti da attivare. Simulazione e awareness vivono nella stessa piattaforma, con report di correlazione.
• Integrazioni: l’elenco completo è in integrazioni, e i gruppi di aziende si amministrano da un’istanza multitenant.

Creare e sostenere una cultura della sicurezza

Una cultura della sicurezza non si costruisce con una campagna. Serve un processo continuo, e quel processo dipende dall’avere contenuti adatti al tuo pubblico e modi vari di raggiungerlo.

Dipende anche dal fatto che la piattaforma sostenga più di un formato, perché la formazione non fa un solo lavoro. C’è formazione che tutti devono completare, con le stesse date e con la prova che è avvenuta: la normativa, l’inserimento, la campagna dopo un incidente. A questo serve un programma con date fisse, e non ha sostituti. C’è formazione dove conta l’ordine, perché la seconda cosa si capisce grazie alla prima, e lì si inserisce un percorso che la persona sblocca passo dopo passo. E c’è un terzo lavoro, che è sostenere la continuità di ogni persona per il resto dell’anno senza pianificare un percorso per ciascuna. Una buona piattaforma risolve tutti e tre e ti lascia combinarli.

Per l’engagement conta anche l’identità. È praticamente obbligatorio che le comunicazioni arrivino da un indirizzo della tua organizzazione. Un passo oltre il mittente c’è il dominio: è quello che la persona vede quando fa click, ed è la differenza tra un programma che sembra tuo e uno che sembra affidato a terzi.

Che cosa verificare

• Un catalogo di qualità, regionalizzato e che tu possa personalizzare del tutto, inclusa la creazione di contenuti da zero.
• Varietà di strumenti per raggiungere tutto il tuo pubblico.
• Se sostiene i tre lavori: programma con date, percorso ordinato e continuità per persona.
• Se le comunicazioni escono da un indirizzo della tua organizzazione.
• Se l’intera piattaforma può operare sotto il tuo dominio, invece che su un sottodominio del fornitore.

In SMARTFENSE

• Contenuti: un catalogo regionalizzato e personalizzabile al 100%, con diversi strumenti di awareness per tutto il tuo pubblico. Nessun contenuto porta il marchio del fornitore.
• Formati: programmi fissi per quello che tutti devono completare, corsi per i percorsi in ordine e Smart Path per la continuità di ogni persona. I tre convivono.
• Identità: indirizzo aziendale proprio e dominio personalizzato, che l’organizzazione attiva dall’interfaccia, con un certificato che viene emesso e rinnovato in automatico.

Dimostrare la conformità a normative interne ed esterne

Rispettare una normativa può essere molto semplice o estremamente complicato. Quello che fa la differenza è se la prova è già pronta quando la chiedono oppure va ricostruita.

La base sono i registri di audit e le normative trasformate in clausole, con il contenuto che risponde a ciascuna. Ma ci sono due punti che separano un report che regge un audit da uno che non lo regge.

Che cosa conta come adempiuto. Chiedere quale percentuale di una normativa rispetti sembra una domanda chiusa, e non lo è. Conta che il contenuto sia previsto per la persona? Che glielo abbiano inviato? Che l’abbia completato? E se l’ha completato tre anni fa? Ogni risposta dà un numero diverso sugli stessi dati. Se ogni report usa un criterio diverso, due schermate della stessa normativa si contraddicono e l’auditor non ha una cifra da citare. Lo stesso vale per il tempo: una prova che non scade gonfia il numero anno dopo anno.

Quale policy ha accettato o firmato elettronicamente ogni persona. Quasi tutte le organizzazioni hanno distribuito le proprie policy almeno una volta. Pochissime sanno rispondere, il giorno in cui serve, a quattro domande su una persona concreta: le è arrivata? l’ha letta? l’ha accettata o firmata? quale versione esattamente? Un PDF in una cartella condivisa non lo dice.

Una precisazione che vale per qualsiasi fornitore: quello che una piattaforma di awareness può dimostrare è la conformità alle clausole di formazione e awareness. I controlli tecnici, documentali e di governance di una norma non si risolvono con la formazione. Se qualcuno ti promette la norma completa, diffida.

Che cosa verificare

• Registri di audit pronti da consegnare, con i log di utenti e amministratori protetti.
• Normative trasformate in clausole, con contenuto associato a ciascuna, e la possibilità di caricare le tue.
• Una definizione unica di “adempiuto” che valga in tutti i report.
• Che la prova abbia una validità, e che quello che scade venga riassegnato prima di scadere.
• Prova di quale versione di ogni policy ha accettato o firmato elettronicamente ogni persona.
• Il report di conformità esattamente come lo consegneresti a un auditor.

In SMARTFENSE

• Compliance Center: nel Compliance Center l’organizzazione sceglie una volta sola quanta prova richiede un “adempiuto”, e quella definizione vale in tutti i report. Le normative predefinite arrivano con le loro clausole già mappate sul contenuto, tra cui il GDPR, la direttiva NIS 2, DORA, la ISO/IEC 27002 e normativa latinoamericana. L’organizzazione aggiunge le proprie, segna le clausole che non le si applicano e definisce la validità della prova per normativa.
• Piano di conformità: assegna a ogni persona quello che le manca e glielo riassegna prima che la sua prova scada. Il risultato si consegna come certificato e pacchetto di prove.
• Consent Vault: registra quale file ha letto ogni persona, quando e da dove, e se l’ha accettato o firmato elettronicamente, in un registro che non si modifica né si cancella.
• Audit: registri pronti da consegnare su un registro protetto a solo accodamento, dove una correzione entra come nuova scrittura e non sovrascrive mai la precedente. Tutti i report si esportano in CSV ed Excel.

Sette domande a cui risponde una demo, non una brochure

Con l’obiettivo chiaro, il confronto diventa gestibile. Queste sette domande discriminano più di qualsiasi elenco di funzionalità, perché ognuna si verifica in una prova reale e nessuna si risponde con un sì generico.

1. Il programma misura la formazione accreditata, il rischio per persona, o entrambe le cose? Rivela se l’indicatore che chiude il trimestre ti dice chi è a rischio oggi.
2. Che cosa succede dopo che qualcuno ci casca? Rivela se la piattaforma assegna solo formazione oppure agisce anche.
3. Chi porta avanti il programma se non c’è nessuno dedicato? Rivela se il programma sopravvive a una persona occupata o in ferie.
4. Il contenuto si può scrivere con il volto dell’organizzazione? Rivela se puoi reagire a un caso tuo questa settimana oppure dipendi dal catalogo del fornitore.
5. Gli incidenti reali vivono nello stesso prodotto? Rivela se la email che una persona segnala finisce in una casella del programma o in una casella condivisa.
6. Quale comportamento misura ogni canale, e chi filtra la misurazione? Rivela se i risultati riflettono le persone o il software di sicurezza.
7. Quale prova resta per un audit? Rivela se dovrai ricostruirla a mano o se il registro è già pronto.

Quattro di queste domande meritano un commento, perché sono quelle a cui si risponde male più spesso. Che cosa chiedere nella demo per tutte e sette, e come risponde SMARTFENSE a ciascuna, è in confrontare piattaforme di Cybersecurity awareness.

Formazione accreditata o rischio per persona

Sono due indicatori diversi, e servono entrambi. La percentuale di formazione completata è la prova che il contenuto è arrivato ed è stato concluso, ed è quello che chiede un audit. Quello che non dice è chi è a rischio oggi, né se l’organizzazione sta meglio di sei mesi fa. Per quello serve un indicatore per persona che incroci quello che ciascuna fa davanti a una simulazione con l’impatto che avrebbe un suo errore. Una piattaforma che offre solo uno dei due ti lascia al buio su metà del lavoro. Lo sviluppiamo in perché la percentuale di conformità mente e in cosa significa gestire il rischio umano.

Che cosa verificare

• La scheda di una persona concreta e l’indicatore dell’organizzazione, nella stessa sessione.
• Se l’indicatore di rischio esiste per persona, per area e per l’intera organizzazione.
• Se puoi confrontarlo con se stesso sei mesi dopo e portarlo alla tua dashboard aziendale.

In SMARTFENSE

• Scoring di Rischio: incrocia la probabilità che una persona adotti un comportamento non sicuro con l’impatto che avrebbe, a livello di persona, di raggruppamento e di organizzazione. Si vede come mappa di calore ed è disponibile via API.

Che cosa succede dopo che qualcuno ci casca

Se la piattaforma assegna solo formazione, la risposta resta in mano a chi rivede il report, quando può. Quello che conviene è che l’azione parta da sola davanti a un comportamento a rischio e che arrivi a chi deve agire. E conviene che possa essere innescata anche da quello che rileva il tuo stack di sicurezza, non solo da quello che succede dentro la piattaforma.

C’è un dettaglio che sfugge in quasi tutte le demo: se l’automazione non distingue il click di una persona da quello dell’antivirus, il tuo team finirà per rispondere a incidenti che non sono mai avvenuti.

Che cosa verificare

• Che facciano partire un’azione automatica davanti a te, di fronte a un comportamento a rischio.
• A chi avvisa e per quale canale, e se può inviare il dato a un altro sistema, come il SIEM o lo strumento di ticket.
• Se può reagire a eventi del tuo stack di sicurezza.
• Che cosa succede quando il click l’ha fatto un software.

In SMARTFENSE

• Playbooks: i Playbooks reagiscono a eventi del programma e a eventi di Microsoft 365 Defender, come il click su una URL malevola o la creazione di una regola di inoltro della posta. Avvisano chi deve agire via email, Slack o Teams, oppure inviano il dato via webhook a un altro sistema.
• Senza falsi allarmi: prima di eseguirsi aspettano la rilevazione dei falsi positivi, così un click fatto da un software non innesca nulla.
• Nudge e playbook: il nudge parla alla persona; il playbook, a chi deve rispondere.

Chi porta avanti il programma

È il vincolo più comune e quello che spegne più programmi al sesto mese. La domanda è quanto dell’anno si sostiene senza intervento: se il piano annuale si costruisce da solo, se i pubblici si aggiornano quando qualcuno entra in organizzazione o cambia il suo livello di rischio, se la risposta parte senza che nessuno la inneschi, e che cosa succede quando semplicemente non c’è un team interno.

Che cosa verificare

• Che generino un piano annuale da una configurazione, e che te lo mostrino e te lo scarichino prima di attivarlo.
• Se i pubblici delle campagne si ricalcolano da soli.
• Se esiste l’opzione di delegare la gestione al fornitore o al suo partner.

In SMARTFENSE

• Automazione: il programma automatico costruisce l’anno a partire da programmi predefiniti, i Gruppi Intelligenti ricalcolano chi riceve ogni campagna, Smart Path decide che cosa tocca a ogni persona ogni giorno e i Playbooks eseguono la risposta.
• Gestione delegata: quando non c’è un team interno, il programma può essere gestito da SMARTFENSE o dal suo partner.

Dove vivono gli incidenti

Quando una persona segnala una email davvero sospetta, qualcuno deve classificarla, conservarla e lasciare traccia. Se questo avviene fuori dalla piattaforma, l’abitudine che tanto costa instaurare si spegne per mancanza di risposta.

C’è un secondo problema, che compare proprio quando la segnalazione funziona: ogni nuova segnalazione è lavoro per il team di sicurezza. Migliorare il tasso di segnalazione senza risolvere la classificazione non fa che ingrandire la pila. Puoi vedere il circuito completo in il percorso di una email segnalata e in come si fa il triage di una segnalazione.

Che cosa verificare

• Segnalare una email reale e seguirla fino alla sua classificazione.
• Se il pulsante di segnalazione funziona nei client di posta che usa la tua gente.
• Se quello che viene segnalato si classifica da solo, se ogni verdetto spiega il perché e se una persona può correggerlo.
• Se c’è un indicatore delle segnalazioni non ancora classificate.

In SMARTFENSE

• Pulsante di segnalazione: funziona in Outlook, Gmail e Thunderbird, e può integrarsi con il pulsante che Microsoft già offre in Outlook. Quello che viene segnalato arriva alla piattaforma, dove si classifica e si conserva.
• Smart Triage: analizza ogni email segnalata e la restituisce come phishing o falso allarme, con l’elenco di quello che ha trovato nel mittente, nei link e negli allegati. L’ultima parola è di una persona, e se qualcuno corregge, la sua decisione vale.

Quattro considerazioni che quasi nessuno mette in elenco

Il fornitore dietro al prodotto

Una cosa che non sempre si considera è la vicinanza al fornitore. Avere qualcuno che risponde nella tua lingua e nel tuo fuso orario cambia completamente il tempo che impieghi a risolvere qualsiasi problema.

Conviene anche guardare al fornitore stesso. Gli affiderai informazioni di tutta la tua organizzazione, e la risposta su certificazioni e trattamento dei dati dovrebbe essere pronta prima che la chieda il tuo ufficio legale.

Che cosa verificare

• Chi risponde quando qualcosa si rompe, in che lingua e in che fuso orario, e se quella persona risolve o inoltra.
• Se il supporto nella tua lingua è importante per te, che resti nel contratto e non solo nell’aspettativa.
• Quali certificazioni ha il fornitore, dove sono ospitati i tuoi dati e come si trattano i dati personali della tua gente.

In SMARTFENSE

• Assistenza: nella lingua del cliente nei mercati di lingua spagnola e italiana, con manuali di amministrazione e implementazione in spagnolo, inglese e italiano.
• Certificazioni: qualificazione del CCN nel catalogo CPSTIC e conformità all’ENS in categoria Alta, dettagliate in sigilli di fiducia.

Intelligenza artificiale

Oggi quasi tutte le piattaforme dicono di usare l’intelligenza artificiale. La domanda utile è per che cosa la usano e con quali garanzie. Un modello di linguaggio serve per interpretare contenuto aperto, come una email segnalata. Assegnare formazione o calcolare un indicatore di rischio di solito funziona meglio con regole deterministiche, perché il risultato deve poter essere spiegato davanti a un audit.

Cerca automatismi e assistenze, ma nella misura giusta. Hai a che fare con persone, cerchi abitudini sicure, e lo fai a nome della tua area di sicurezza.

Che cosa verificare

• Dove c’è un modello e dove una regola.
• Che cosa decide il sistema e che cosa continua a decidere una persona. Se nessuno sa rispondere, probabilmente l’etichetta è messa sopra una funzionalità che esisteva già.
• Se spiega le sue decisioni: perché ha assegnato quel contenuto a quella persona, o perché ha classificato quella email come phishing.
• Quali tuoi dati escono, verso quale fornitore e dove vengono elaborati.

In SMARTFENSE

• Dove c’è un modello: Smart Triage lo usa per analizzare la email segnalata. Ogni verdetto porta l’elenco dei riscontri, una persona può correggerlo e resta registrato chi ha deciso.
• Dove ci sono regole: Smart Path, i Gruppi Intelligenti e lo Scoring di Rischio funzionano con regole deterministiche, perché ogni assegnazione possa essere spiegata.

Percorso e dati propri

Un prodotto che esiste da due anni e uno che misura il comportamento da un decennio possono avere lo stesso elenco di funzionalità. La differenza arriva in quello che ciascuno può mostrarti del proprio passato.

Ci sono due prove difficili da improvvisare. Le note di rilascio con data ti dicono se il prodotto rilascia in modo costante e a che ritmo reale arriva quello che ti promettono per l’anno prossimo. E un rapporto con campione dichiarato, finestra temporale e criteri di filtraggio ce l’ha solo chi ha misurato per anni. Nessuna delle due garantisce che la piattaforma sia quella giusta per te, ma entrambe ti dicono quanto di ciò che ti stanno raccontando è già successo e quanto è ancora un piano.

Che cosa verificare

• Le note di rilascio con data, che chiunque può consultare senza chiedere permesso.
• Il dato aggregato che il fornitore pubblica sulla propria base, con la metodologia in chiaro.

In SMARTFENSE

• Storico pubblico: la prima versione è uscita nel 2017, e ogni rilascio da allora è nelle note di rilascio.
• Dato aggregato: il Rapporto sul Rischio Umano pubblica quello che è stato misurato sulla base clienti, con la sua metodologia.

Il costo del pacchetto completo

Due proposte allo stesso prezzo possono coprire cose molto diverse. Quello che non c’è nella risposta sul prezzo lo scoprirai al rinnovo.

Che cosa verificare

• Il prezzo del pacchetto che copre il tuo requisito completo, non quello del piano base.
• Quali moduli si pagano a parte.
• Se c’è un limite di campagne o di simulazioni, e come si contano gli utenti.
• Qual è la durata minima del contratto.

Considerazioni finali

La cosa più importante è raggiungere i tuoi obiettivi in modo comodo ed efficace. Non farti guidare troppo da confronti o rapporti generici: cerca quello che è meglio per la tua organizzazione e verificalo in una prova reale prima di firmare.

Se vuoi ordinare la valutazione passo dopo passo, in come scegliere la tua piattaforma di awareness sviluppiamo lo stesso percorso come framework di decisione.

Domande frequenti

Qual è la migliore piattaforma di cybersecurity awareness?

Non esiste un’unica migliore piattaforma per tutte le organizzazioni. La piattaforma ideale per una può essere la peggiore decisione per un’altra, perché ciò che cambia è l’obiettivo. Prima di confrontare gli strumenti bisogna definire se l’obiettivo è gestire il rischio di social engineering, sostenere una cultura della sicurezza o dimostrare la conformità normativa. Ognuno di questi obiettivi richiede funzionalità diverse, e la piattaforma giusta è quella che soddisfa il tuo con il team e il budget che hai davvero.

Quali criteri usare per scegliere una piattaforma di cybersecurity awareness?

Sette criteri ordinano la valutazione meglio di una tabella di funzionalità: che cosa gestisce il programma, corsi o persone; che cosa succede dopo che qualcuno cade in una simulazione; chi porta avanti il programma quando nessuno se ne occupa a tempo pieno; se i contenuti si possono scrivere con la voce dell’organizzazione; se gli incidenti reali vivono dentro lo stesso prodotto; quali canali copre la simulazione oltre alla posta elettronica; e quale evidenza resta per un audit. Tutti e sette trovano risposta in una demo.

Perché la percentuale di corsi completati non basta come indicatore?

Perché misura l’attività di formazione, non il rischio. Una percentuale alta di corsi chiusi è un registro valido del fatto che la formazione è stata erogata e chiude una casella di audit. Non dice chi è a rischio oggi né se l’organizzazione sta meglio di sei mesi fa. Per questo serve un indicatore per persona che unisca ciò che ognuno fa di fronte a una simulazione con l’impatto che avrebbe un suo errore.

Che cosa succede se nessuno si occupa di far girare il programma?

È il vincolo più comune e quello che spegne più programmi intorno al sesto mese. Chiedi quanto è reale il grado di automazione: se la piattaforma genera il piano annuale a partire da una configurazione, se le audience si ricalcolano da sole quando qualcuno entra in organizzazione o supera una soglia di rischio, e se l’operatività si può delegare al fornitore o al suo partner. Un programma che dipende da qualcuno che lo spinge ogni mese si ferma quando quella persona va in ferie.