Cosa rinnovare quando il programma di Cybersecurity awareness compie due anni

Doctor Who è in onda da più di sei decenni ed è ancora la stessa serie. Ci è riuscito grazie a un’uscita di emergenza. Nel 1966 William Hartnell, l’attore protagonista, era malato e non poteva continuare, così gli sceneggiatori decisero che il personaggio si sarebbe trasformato in diretta in un’altra persona. Patrick Troughton comparve così, verso la fine di The Tenth Planet, e sullo schermo quel processo non si chiamava ancora rigenerazione. Si chiamava rinnovamento.

La premessa non è mai stata toccata. È cambiata la faccia.

Un programma di Cybersecurity awareness arriva al secondo anno con lo stesso problema e senza lo stesso piano. Il contenuto è ancora valido, la piattaforma risponde, il calendario è pronto. E le persone aprono meno di dodici mesi fa, e quando aprono restano di meno. Quello che si è consumato è la confezione.

Conviene collocare di quali organizzazioni stiamo parlando. Tra le grandi imprese del Regno Unito, l’84% ha svolto qualche attività di formazione o awareness negli ultimi dodici mesi, contro il 76% dell’anno precedente, secondo il Cyber Security Breaches Survey 2025/2026 del governo britannico. Sul totale delle imprese il numero è fermo al 19% da due anni. Dove il programma è già installato, la domanda interessante ha smesso di essere come partire ed è diventata come rinnovare un programma di Cybersecurity awareness che ha già fatto tutto il giro.

Cosa cambia quando un programma di awareness compie due anni?

Un programma entra nel suo secondo anno quando l’organizzazione riconosce già il formato, il mittente e il tipo di richiesta prima di aprire. Da lì la novità smette di lavorare gratis, e tutto ciò che sostiene la partecipazione va messo di proposito.

Il primo anno ha un vantaggio che non compare mai dichiarato nel report. Tutto era la prima volta. La prima simulazione, il primo gioco, il primo video che non sembrava un video aziendale. L’attenzione è arrivata da sola perché il materiale era sconosciuto, e questo ha coperto qualsiasi decisione debole di progettazione presa lungo la strada.

Il secondo anno scopre quelle decisioni. Ciò che abbiamo imparato a riconoscere lo archiviamo. Arriva il messaggio con lo stesso oggetto, dallo stesso mittente e con la stessa estetica, e la persona sa cosa ci troverà dentro prima di aprirlo. Continua a completarlo, perché le compare nella lista delle cose da fare. Smette di guardare.

Questo punto pesa più di quanto sembri. Nel primo anno l’organizzazione sta ancora provando se il programma le serve. Nel secondo decide, senza votarlo in nessuna riunione, se questo diventa parte di come si lavora oppure un’altra pratica amministrativa. E lo decide da ciò che vede arrivare nella propria casella, molto prima che qualcuno presenti un report.

La security fatigue descrive qualcosa di più profondo, il logoramento di chi riceve avvisi in continuazione fino a smettere di rispondere. Qui la faccenda è parecchio più domestica e ha una soluzione nota. Bisogna cambiare la forma.

Come si capisce che la partecipazione sta calando?

La partecipazione cala prima in profondità e molto dopo nel volume. Per questo la percentuale di completamento è l’ultima a saperlo (e di solito è l’unica che guardiamo).

Quattro segnali che avvisano in tempo:

• Il tempo passato dentro il contenuto si accorcia sotto quello che quel contenuto richiede. Un pezzo pensato per cinque minuti viene completato in due.
• Le domande spariscono. L’anno scorso qualcuno scriveva per discutere un caso o per raccontare il proprio. Adesso non scrive nessuno, e il silenzio si legge come accordo.
• Le segnalazioni volontarie calano e i clic restano stabili. Meno avvisi con lo stesso livello di esposizione significa che c’è gente che ha smesso di segnalare.
• Rispondono sempre le stesse aree. La media generale si regge perché tre squadre entusiaste compensano cinque che si sono spente in silenzio.

Nessuno di quei quattro segnali compare nel cruscotto di completamento. Compaiono tutti guardando il trimestre intero, ed è lì che il secondo anno nasconde una trappola in più. Il primo anno lascia numeri gonfiati dalla novità, e prenderli come linea di base trasforma qualsiasi risultato normale in un calo. Rende di più confrontare con il trimestre equivalente dell’anno precedente e guardare la forma della curva dentro ogni campagna, dall’invio fino all’ultima persona che ha risposto.

Cosa conviene rinnovare e cosa conviene lasciare fermo?

Rinnovare un programma di Cybersecurity awareness significa cambiare la confezione tenendo intatto il messaggio. Quando nel rinnovamento si muove tutto, l’anno successivo riparte da zero un’altra volta.

Cosa ruota:

• Il formato. Se il primo anno è vissuto di moduli e newsletter, il secondo entra da fumetto, video o gioco. Ogni formato chiede un’attenzione diversa e arriva a persone diverse.
• La voce. Chi firma la comunicazione cambia il modo in cui viene letta. Può firmarla il team di sicurezza, può firmarla l’area risorse umane, oppure può farlo una figura di riferimento dello stesso team che racconti qualcosa che le è successo davvero.
• La richiesta. Un anno chiediamo di guardare. Quello dopo chiediamo di rispondere, di segnalare o di decidere. Una richiesta nuova sveglia più di un contenuto nuovo.
• Lo scenario. Lo stesso rischio portato nel contesto reale di ogni area diventa un altro pezzo senza spostare una virgola del messaggio.

Cosa resta fermo:

• Il messaggio centrale. Se ogni anno cambia quello che chiediamo di capire, l’organizzazione non finisce mai di impararlo.
• Il metro di misurazione. Spostare gli indicatori nella stessa stagione in cui ruotiamo i formati lascia l’anno impossibile da confrontare con quello precedente.
• La cadenza. Il ritmo è l’unica cosa che le persone assorbono senza accorgersene, e romperlo costa più di quanto renda.

Le due liste si separano per il materiale di cui è fatta ciascuna cosa. La confezione è forma e si consuma con l’uso. Il messaggio e il metro di misurazione sono la parte che dà continuità al programma, e si rovinano se li tocchiamo ogni stagione.

Ruotare non obbliga a produrre di nuovo ogni cosa. In SMARTFENSE il catalogo di strumenti di awareness e valutazione mette insieme fumetto, video, videogiochi, moduli interattivi e newsletter, così nel secondo anno basta scegliere un altro formato invece di scrivere da zero. I contenuti, argomenti e concetti coprono il resto, cioè lo scenario in cui si svolge il caso.

Come si costruisce un calendario di rotazione per il secondo anno?

Un calendario di rotazione è l’elenco di quale formato entra in ogni tratto dell’anno, deciso in anticipo, così nessuna scelta resta in mano all’urgenza della settimana.

Bastano quattro passi:

1. Annota quello che è già stato usato. Vanno registrati il formato, il mittente e il tema di ogni invio del primo anno. Quell’elenco è l’insieme dei pezzi che per ora conviene far riposare.
2. Scegli tre formati principali per l’anno e assegnane uno per trimestre. Tre bastano, e lasciano margine per farli bene.
3. Lascia un rinforzo breve nel mezzo. Lì ripetere il formato conviene davvero, perché il microlearning lavora per ripetizione e dura due minuti.
4. Riserva una data per qualcosa che non assomigli a nulla dell’anno precedente. Un turno di gioco con punteggio condiviso, un pezzo fatto con le persone di casa, quello che serve a rompere lo schema una volta all’anno.

Il calendario di campagne serve a mettere i quattro passi in agenda in una volta sola, con i gruppi e le date sistemate prima che il trimestre cominci. Dopo l’anno cammina da solo, che è l’unico modo perché la rotazione sopravviva a marzo.

Cosa non risolve un calo di partecipazione?

• Alzare la frequenza. Più invii dello stesso tipo accelerano l’usura che stiamo cercando di frenare.
• Indurire il tono. La paura alza l’apertura una volta e lascia le persone a schivare il mittente nei mesi successivi.
• Renderlo obbligatorio. Si ottiene la conformità e si perde l’attenzione. Una persona obbligata completa il modulo (con lo stesso entusiasmo con cui si rinnova la carta d’identità) e porta via giusto il necessario per passare.
• Produrre un pezzo più elaborato. Dentro la stessa confezione di sempre viene aperto ugualmente poco, e costa il triplo.
• Allungare il contenuto. Raddoppiare la durata per sfruttare l’invio è il modo più rapido perché il pezzo successivo venga aperto meno.

Quello che sposta davvero l’ago è più noioso da spiegare in un comitato e più economico da eseguire. Si tratta di cambiare la faccia del programma, tenere quello che già sappiamo funzionare e lasciare che il contenuto torni a sembrare nuovo per un po’.

Quando si chiamava rinnovamento

Quella serie è sopravvissuta perché qualcuno ha trovato, in un momento difficile, il modo di cambiare la faccia senza toccare la storia.

Un programma di Cybersecurity awareness al secondo anno ha bisogno di quella decisione e di poco altro. Se vuoi partire da qualcosa di concreto, apri il calendario dell’anno scorso e segna gli invii usciti con lo stesso formato e lo stesso mittente. Quello è il blocco da rinnovare per primo. Il messaggio regge un altro anno intero; la faccia chiede il cambio.