Un punteggio di rischio umano affidabile richiede più delle simulazioni di phishing

Molti programmi di cybersecurity awareness riassumono il punteggio di rischio umano di ogni collaboratore in un unico numero, quante volte è caduto in una simulazione di phishing. È un dato utile, ma racconta solo una parte della storia. Una persona può non aver mai fallito una simulazione e allo stesso tempo riutilizzare la stessa password su dieci servizi, ignorare gli avvisi del proprio provider di identità o autorizzare applicazioni che nessuno ha mai controllato. Quel rischio esiste. La simulazione, da sola, non lo vede.

Come responsabile delle integrazioni della piattaforma, parlo spesso con team di sicurezza che hanno già la telemetria per vederlo. L’informazione c’è, distribuita tra il provider di identità, l’endpoint e il SIEM. Eppure il punteggio di rischio delle persone viene calcolato con una sola fonte, e il resto dei segnali resta su un’altra dashboard.

Che cos’è un punteggio di rischio umano e cosa lo rende affidabile?

Un punteggio di rischio umano è una stima, per singola persona, della probabilità che il suo comportamento porti a un incidente di sicurezza. Serve a stabilire le priorità: chi rafforzare per primo, quali aree hanno bisogno di un altro tipo di contenuto, dove conviene rivedere una policy.

La sua affidabilità dipende da tre elementi. Il primo è il numero di fonti che alimentano il calcolo, perché una sola dimensione lascia punti ciechi. Il secondo è la frequenza di aggiornamento, dato che il comportamento cambia e un punteggio di sei mesi fa descrive una persona che forse non esiste più. Il terzo è la tracciabilità. Il team deve poter spiegare perché qualcuno ha il punteggio che ha, senza fermarsi al numero.

Quando il punteggio si costruisce unicamente con i risultati delle simulazioni, viene meno la prima condizione. Misura bene un comportamento specifico e lascia il resto non osservato.

Perché le simulazioni da sole non bastano?

Una simulazione di phishing misura una capacità specifica in un momento controllato: riconoscere un’email di phishing e non interagire con essa. È un segnale prezioso e concreto, ed è la base di qualsiasi programma serio. Dedichiamo buona parte della piattaforma a mantenere pulita quella misurazione, come racconto in come si progetta una campagna che cambia davvero il comportamento.

Il limite emerge quando quel segnale viene usato come se descrivesse tutto il rischio di una persona. Gli attacchi reali non si esauriscono nell’email di phishing. Secondo il Data Breach Investigations Report di Verizon, le cause più frequenti delle violazioni continuano a coinvolgere in modo marcato l’elemento umano, tra cui ingegneria sociale, credenziali rubate e phishing. Molto di tutto ciò accade fuori dalla portata di una simulazione: un accesso da una posizione impossibile, un secondo fattore rifiutato più volte, un dispositivo con una configurazione a rischio.

Un collaboratore che supera tutte le simulazioni può comunque trovarsi dietro a diversi di quei segnali. Se il punteggio non li incorpora, il programma vede una sola faccia del rischio e presume che sia l’unica.

Quali segnali aggiungono il SIEM o il security stack al rischio per persona?

Un SIEM (Security Information and Event Management) centralizza e correla gli eventi di sicurezza di tutta l’organizzazione. Insieme al provider di identità, all’endpoint e alle soluzioni XDR, forma quello che di solito chiamiamo security stack: l’insieme dei sistemi che già osservano ciò che accade nell’ambiente reale.

Quello stack produce segnali che si collegano direttamente al comportamento delle persone. Sul fronte dell’identità, tentativi di accesso anomali, fattori di autenticazione rifiutati ripetutamente o accessi da posizioni incoerenti. Sul fronte dell’endpoint e dell’XDR, rilevamenti di software dannoso, configurazioni che si discostano dalla policy o connessioni verso destinazioni sospette. Ognuno di questi segnali dice qualcosa sul rischio di una persona che nessuna simulazione riuscirà a catturare.

Il segnale della cybersecurity awareness e quello dello stack si sommano. Il risultato è un punteggio che riflette sia la risposta a un esercizio sia il comportamento quotidiano verso i sistemi che la persona usa ogni giorno.

Come si combinano simulazione e telemetria senza osservare la macchina del collaboratore?

Qui c’è la parte che conta di più dal punto di vista della progettazione, ed è una decisione di architettura, non un dettaglio tecnico. Arricchire il punteggio con segnali dello stack non significa installare un agente sul dispositivo di ogni persona né osservare cosa fa sullo schermo. Significa integrarsi con i sistemi che l’organizzazione già gestisce e leggere i segnali che quei sistemi già generano.

Lo risolviamo tramite API. SMARTFENSE si connette con il provider di identità, con le piattaforme XDR e con il SIEM, senza chiedere nulla sull’endpoint del collaboratore. È la stessa logica che spiego in perché ci integriamo tramite API e non installando un agente e che sostiene anche l’integrazione dell’identità e il provisioning tramite SSO. La superficie di integrazione vive sul lato dei sistemi di sicurezza, non sulla postazione di lavoro.

Questa distinzione ha conseguenze concrete. Rispetta la privacy della persona, perché si leggono eventi di sicurezza, non la sua attività personale. Riduce l’attrito del deployment, perché non serve toccare migliaia di dispositivi. E il segnale viaggia nelle due direzioni. Il punteggio si arricchisce con lo stack, e allo stesso tempo il comportamento umano può alimentare la strategia di rilevamento, un angolo complementare trattato da Pablo Abratte in ciò che il tuo SIEM non vede.

Cosa cambia quando il punteggio è multi-fonte?

La prima cosa che cambia è la definizione delle priorità. Quando il punteggio combina la risposta alle simulazioni con i segnali dello stack, l’elenco delle persone da rafforzare non è più ordinato solo in base a chi ha fallito un’email e inizia a riflettere il rischio reale. In pratica, le organizzazioni che aggiungono i segnali del security stack scoprono rischi che la simulazione da sola non mostrava, e allo stesso tempo ridimensionano casi che sembravano critici e non lo erano.

La seconda è la qualità del rafforzamento. Con un punteggio a fonte unica, l’unica risposta possibile sono altre simulazioni. Con un punteggio multi-fonte si può indirizzare il contenuto al problema concreto di ogni gruppo, che si tratti della gestione delle credenziali, della reazione agli avvisi di identità o della cura del dispositivo.

La terza è la conversazione con la direzione. Un punteggio che integra diverse fonti è più difendibile davanti a un comitato, perché non dipende da un unico indicatore che sale e scende a ogni campagna. Su come portare tutto questo a un board ho scritto in reporting per il board in due minuti, e su come tradurlo in budget in quantificare il rischio umano per il CFO.

Niente di tutto questo richiede di partire da zero. Se la tua organizzazione ha già un programma di cybersecurity awareness e un security stack in funzione, la maggior parte del lavoro è di integrazione: connettere ciò che misura il comportamento con ciò che osserva l’ambiente, e lasciare che il punteggio rifletta entrambe le cose.

Domande frequenti

Un punteggio di rischio umano sostituisce le simulazioni di phishing?
No. Le simulazioni restano una fonte centrale e il modo più diretto per misurare e allenare la risposta a un’email di phishing. Un punteggio multi-fonte le incorpora e vi aggiunge i segnali dello stack per coprire il rischio che esse non osservano.

Serve installare un agente sui dispositivi per leggere i segnali del SIEM?
No. L’integrazione avviene tramite API con i sistemi di sicurezza che l’organizzazione già gestisce, come il provider di identità, l’XDR e il SIEM. Non si installa nulla sull’endpoint del collaboratore e non si osserva la sua attività personale.

Quali segnali del security stack aggiungono al rischio per persona?
Accessi anomali, secondi fattori rifiutati ripetutamente, accessi da posizioni incoerenti, rilevamenti di software dannoso e configurazioni del dispositivo che si discostano dalla policy. Tutti si correlano con il comportamento di una persona.

La privacy del collaboratore è rispettata?
Sì. Si leggono eventi di sicurezza generati dai sistemi aziendali, non l’attività privata della persona. La telemetria proviene dal security stack, non dall’osservazione dello schermo di nessuno.

Con quale frequenza dovrebbe aggiornarsi il punteggio?
In modo continuo. Il comportamento cambia, e un punteggio che si aggiorna man mano che arrivano nuovi segnali descrive la persona che è oggi, non quella dell’ultima campagna.

Vuoi vedere come si collega al tuo ambiente? La sezione integrazioni della piattaforma mostra con quali sistemi si connette SMARTFENSE, e quella strumenti di simulazione mostra dove inizia la misurazione del comportamento.