Quando smette di servire un contenuto di Cybersecurity awareness?

Tendiamo a fidarci di ciò che una volta ha funzionato, e con i contenuti di Cybersecurity awareness succede qualcosa di simile. Se un modulo è stato completato senza lamentele e i risultati sono stati buoni, ricompare in ogni campagna con la stessa fiducia del primo giorno. Il problema è che un contenuto non avvisa quando smette di descrivere la realtà di chi lo riceve. Si può scoprire dal report? Difficilmente, perché il modulo risulta completato, le domande hanno ancora una risposta corretta e l’indicatore resta verde.

Quando parliamo di validità in un programma, la prima cosa che viene in mente è la validità della formazione di ogni persona, che scade a una certa data e obbliga a rinnovarla. Qui ci occupiamo dell’altro orologio, quello del contenuto di Cybersecurity awareness in sé, che non ha una data di scadenza scritta da nessuna parte e smette lo stesso di servire.

Perché un contenuto di Cybersecurity awareness invecchia senza che ce ne accorgiamo?

Un contenuto invecchia quando ciò che descrive si allontana da ciò che la persona vive nel suo lavoro, anche se ogni frase resta corretta. Questa distanza cresce a poco a poco, perché il mondo esterno e l’organizzazione cambiano mentre il testo resta fermo. Lungo il percorso non arriva nessun momento che costringa a riguardarlo.

La difficoltà sta nel fatto che le metriche abituali misurano se la persona ha completato il contenuto e se ha risposto bene alle domande, e queste due cose continuano a funzionare anche con un contenuto vecchio. Se un modulo insegna a riconoscere un’email di phishing dagli errori di ortografia, la domanda di verifica su quegli errori ha la sua risposta corretta e la maggior parte delle persone la indovina. Quello che il numero non mostra è che oggi qualsiasi strumento di IA generativa scrive quella stessa email senza un solo errore, e la persona supera una lezione che le serve sempre meno.

Il contenuto che ha funzionato bene ha anche un vantaggio che lo protegge, perché toccare qualcosa che non ha dato problemi sembra un rischio inutile. Si riutilizza nella campagna successiva, entra nel materiale per chi arriva in azienda e finisce per far parte del programma per abitudine. Ciò che ha funzionato una volta si guadagna un posto fisso, e quel posto non viene più messo in discussione.

Quali segnali indicano che un contenuto non serve più?

I segnali compaiono in due posti diversi, ed è meglio cercarli separatamente perché non li notano le stesse persone.

Il primo gruppo sta fuori dall’organizzazione. Una tecnica di attacco cambia forma, come il phishing che non si tradisce più per come è scritto, oppure un nuovo canale comincia a essere usato per ciò che prima arrivava via email.

Cambiano anche le raccomandazioni ufficiali, e il caso delle password è un buon esempio. Per anni i contenuti hanno chiesto di combinare maiuscole, numeri e simboli e di cambiare la password a intervalli regolari. Oggi la guida all’identità digitale del NIST (SP 800-63B) stabilisce che non si deve richiedere il cambio periodico né imporre regole di composizione, e che il cambio va forzato solo quando c’è evidenza che la password è stata compromessa. Un contenuto che insegna ancora la vecchia regola sta insegnando un’abitudine che le stesse linee guida hanno lasciato indietro.

Il secondo gruppo sta dentro, ed è di solito quello che sfugge di più. Sono i dati propri di ogni organizzazione che un contenuto menziona e che cambiano più spesso di quanto immaginiamo:

• Il canale per segnalare, che è passato da un indirizzo email a un pulsante, o da un team a un altro.
• I nomi degli strumenti, quando il contenuto parla di un sistema che è stato sostituito.
• Le aree e i ruoli, dopo una riorganizzazione che ha cambiato chi risponde di cosa.
• I processi interni, come il modo di approvare un pagamento o di chiedere un accesso, che il contenuto usa come esempio di ciò che va verificato.

Quando uno di questi dati non è più aggiornato, il danno va oltre il dettaglio, perché la persona che lo legge scopre che il contenuto non conosce il suo lavoro, e da lì in poi crede meno al resto.

Le persone che ricevono il contenuto sono spesso le prime ad accorgersene. Una domanda che si ripete, una richiesta su una procedura che non esiste più o un commento su uno strumento abbandonato sono segnali che vale la pena registrare. Chi li solleva sta confrontando il contenuto con il proprio lavoro quotidiano, e quel confronto è più preciso di qualsiasi revisione fatta dall’esterno.

Che cosa invecchia più in fretta, il contenuto predefinito o quello interno?

Il contenuto scritto dentro l’organizzazione invecchia più in fretta, anche se l’intuizione di solito dice il contrario. Perché succede? Perché il contenuto interno si scrive per parlare la lingua di casa, e per questo porta con sé i nomi, i canali e i processi che cambiano di più. Ciò che lo rende vicino nel momento in cui viene scritto è la stessa cosa che poi lo rende superato.

A questo si aggiunge una questione di manutenzione. Dietro un contenuto predefinito c’è chi lo produce, che si occupa di far sì che la tecnica di attacco descritta resti quella in circolazione. Il contenuto interno di solito nasce per una campagna specifica e resta senza una persona responsabile quando quella campagna finisce. Il lavoro va avanti altrove e il pezzo resta attivo nel catalogo, con i dati del giorno in cui è stato scritto.

Un modo per ridurre il problema è separare il dato dal testo. In SMARTFENSE, i contenuti si adattano a ogni organizzazione tramite variabili organizzative. Un dato come il numero per segnalare gli incidenti si definisce in un unico punto, e tutti i contenuti che lo usano mostrano il nuovo valore quando cambia. Le variabili si possono usare anche nei contenuti personalizzati, e questo ne semplifica parecchio la manutenzione, perché il cambio di canale o di nome si fa una sola volta per tutti i pezzi che lo citano.

Aggiornare, sostituire o ritirare?

Una volta individuato un contenuto invecchiato, la domanda successiva è che cosa farne, e le risposte possibili sono tre. Per scegliere tra queste è utile guardare che cosa è cambiato.

Se ciò che è invecchiato è un dato o un esempio, e l’idea centrale resta valida, il contenuto si aggiorna. È il caso più comune e il più semplice, perché basta cambiare il nome del canale, sostituire la schermata di uno strumento o scegliere un esempio che somigli a ciò che oggi arriva nella casella di posta. In SMARTFENSE, i contenuti permettono di modificare i testi, l’immagine e gli esempi, e non serve ripartire da zero per correggere un dettaglio.

Se ciò che è cambiato è l’idea stessa, il contenuto si sostituisce. Un modulo costruito intorno al riconoscimento degli errori di scrittura non si sistema cambiando un paragrafo, perché tutta la sua logica poggia su un segnale che non è più affidabile. In questi casi ha più senso insegnare il metodo, come verificare la richiesta su un altro canale prima di agire, che cercare il nuovo segnale visibile, destinato anch’esso a diventare obsoleto col tempo.

E se il contenuto non parla più a nessuno, si ritira. È la decisione che si prende meno spesso, perché ritirare qualcosa sembra buttare via lavoro fatto, e un catalogo ampio dà l’impressione di essere più completo. Ma ogni contenuto che resta attivo occupa un posto nel tempo e nell’attenzione delle persone, che sono limitati.

Decidere che cosa non insegnare fa parte della progettazione del programma tanto quanto decidere che cosa insegnare. Quando un pezzo non risponde a nessuna situazione reale dell’organizzazione, ciò che porta è rumore. Lo stesso succede quando due contenuti trattano lo stesso tema e uno lo fa meglio, e tenerli entrambi divide soltanto l’attenzione tra i due.

Quando bisogna rivedere il catalogo?

La tentazione è fissare una data, per esempio una revisione annuale di tutto il catalogo, e considerare la questione chiusa. Serve? In parte sì, perché obbliga a guardare tutto almeno una volta. Il limite è che arriva tardi per ciò che cambia durante l’anno e guarda ogni pezzo con la stessa attenzione, quando la maggior parte non ha avuto alcun motivo per invecchiare.

Rende di più rivedere quando cambia qualcosa che i contenuti menzionano. Un cambio di strumento, una riorganizzazione, un nuovo canale di segnalazione, un incidente o una normativa che entra in vigore sono momenti concreti per chiederci quali pezzi del catalogo ne parlano. La revisione annuale resta allora per completare ciò che questi cambiamenti non hanno fatto partire.

Affinché funzioni, ogni contenuto interno ha bisogno di una persona che ne risponda, così come ogni documento importante dell’organizzazione ha qualcuno che lo mantiene. A questa persona basta sapere che il contenuto esiste, quali dati di casa menziona e a chi chiedere quando uno di questi cambia, senza bisogno di riscriverlo ogni volta. Se il programma è già organizzato per pubblici, questa stessa divisione aiuta a ripartire la revisione, perché ogni pubblico ha i suoi contenuti e i suoi cambiamenti.

Infine, vale la pena ascoltare ciò che arriva dall’altra parte. Se nell’organizzazione c’è un canale in cui le persone possono fare domande o commentare ciò che ricevono, ciò che si ripete lì è materiale per la revisione. Così come una segnalazione senza risposta finisce per spegnere l’abitudine a segnalare, un commento su un contenuto vecchio che non produce alcun cambiamento insegna alla persona che non vale la pena avvisare.

Quando l’indicatore resta verde

Torniamo al modulo dell’inizio, quello completato senza lamentele che ritorna in ogni campagna. L’indicatore verde ci dice che la persona è passata per il contenuto, e questo resta prezioso. Quello che non ci dice è se quel contenuto descrive ancora l’email che riceverà domani o il canale da usare per avvisare quando le arriverà.

In definitiva, un catalogo vivo si misura tanto da ciò che si aggiunge quanto da ciò che si corregge e si ritira. Se i contenuti più usati nel tuo programma non passano da una revisione da tempo, forse è un buon momento per sceglierne uno e leggerlo come lo leggerebbe chi ha iniziato a lavorare la settimana scorsa. Perché il contenuto che ci dà più fiducia è proprio quello che abbiamo smesso di guardare.