Perché una storia cambia i comportamenti più di una policy

Molte persone hanno capito cos’è il social engineering grazie a un film. Un ragazzo poco più che ventenne che si spaccia per pilota di linea, per medico e per avvocato, incassando assegni che non erano suoi, sempre un passo avanti a chi lo inseguiva. Prova a prendermi (Catch Me If You Can), il film che Spielberg ha portato al cinema nel 2002 a partire dalle memorie di Frank Abagnale. Non è servito un manuale di prevenzione delle frodi perché milioni di persone capissero di colpo come si presenta un inganno ben congegnato. È bastata una storia che valeva la pena guardare.

Con gli anni si è discusso quanto di quel racconto fosse vero e quanto ornamento. Eppure lo ricordiamo lo stesso, nei dettagli, vent’anni dopo. È il punto scomodo per chiunque costruisca un programma di awareness: una buona storia si fissa nella memoria molto meglio della policy più corretta. La Cybersecurity awareness che cambia i comportamenti si appoggia a questo, sull’arrivare come racconto prima di arrivare come regola.

Perché una storia resta e una regola cade?

Una regola chiede alla persona di memorizzare un’istruzione astratta. Una storia le presta un’esperienza. E il cervello conserva le esperienze con più cura delle regole, perché un’esperienza arriva con contesto, con emozione e con una conseguenza che si vede arrivare. È il meccanismo che fa restare lo storytelling nella Cybersecurity awareness quando la policy finisce in archivio.

La policy dice di diffidare di chi si spaccia per un altro. Corretta, completa, dimenticabile. La storia di Abagnale mostra come si vede da dentro quella sostituzione di identità: la divisa presa in prestito, il tono sicuro, il sorriso che apre le porte. La prossima volta che arriverà un messaggio della “banca” o una richiesta firmata da un capo che non scrive così, torna quell’immagine prima di qualsiasi definizione, e con lei il riflesso di fermarsi un secondo e confermare chi c’è dall’altra parte.

Quel secondo di dubbio ben piazzato è buona parte di ciò che cerchiamo nella awareness. E lo allena l’aver visto la trappola da dentro, anche solo su uno schermo del cinema, molto più dell’aver letto la regola che la vieta.

Cosa succede alla mente quando seguiamo una storia?

C’è un fenomeno che la psicologia cognitiva chiama trasporto narrativo. Quando una storia ci cattura, smettiamo di esaminarla con distanza critica ed entriamo dentro di essa. Abbassiamo la guardia analitica perché siamo occupati a voler sapere cosa farà il personaggio. E mentre seguiamo la trama, elaboriamo e ordiniamo in silenzio l’informazione che la storia porta con sé.

È l’effetto contrario a quello di una slide con quindici punti elenco. Davanti alla lista, la mente che decide in fretta sfiora appena il testo e tira dritto. Davanti a una storia, quella stessa mente resta, si coinvolge e lavora senza accorgersi di stare imparando. L’apprendimento entra dalla porta dell’attenzione, ed è la storia ad aprirla.

Lo si vede con un esempio minimo. Dire “verifica sempre l’identità di chi ti chiede qualcosa al telefono” è un’informazione corretta che entra da un orecchio ed esce dall’altro. Raccontare la scena di qualcuno dell’assistenza che chiama, sa il tuo nome, sa in quale edificio lavori e con tutta naturalezza ti chiede la password per “sbloccare” il tuo account lascia qualcosa di diverso. La prossima volta che squillerà un telefono con quel copione, torna la scena prima della regola, e con lei l’istinto sano di riattaccare e richiamare su un canale conosciuto. È tutta qui la differenza tra sapere una cosa e avere il riflesso allenato.

Cosa distingue una storia che insegna da una che intrattiene soltanto?

Qui conviene essere onesti. Non tutti i racconti a lieto fine educano. Un film su un truffatore intrattiene sempre; insegna qualcosa solo quando è costruito per lasciare criterio. La differenza sta in quattro elementi che devono essere presenti:

• Un conflitto riconoscibile. La richiesta urgente di un presunto dirigente, la telefonata della falsa assistenza, il messaggio della banca una domenica sera. Situazioni che la persona ha già vissuto o potrebbe vivere domani.
• Un protagonista che le somiglia. Più la persona si riconosce in chi vive la scena, più sente propria la lezione. Funziona meglio qualcuno che esita proprio come lei che un eroe impeccabile.
• Una decisione che pesa. Il momento in cui il protagonista deve scegliere, e potrebbe sbagliare. Quel bivio è dove la storia diventa allenamento del riflesso.
• Una conseguenza che si vede. Conta mostrare cosa è successo dopo, più che fare la predica su cosa è andato storto. Quando la conseguenza si vede, resta; quando si spiega soltanto, si perde tra gli altri avvisi.

L’elemento più sottovalutato è il terzo. Una storia in cui il protagonista ci azzecca sempre rassicura, ma non lascia nulla. Per questo le storie che funzionano meglio lasciano che il personaggio sbagli e mostrano come si rialza. Imparare dall’errore dentro una scena sicura è tra i modi più potenti per fissare una lezione, perché la persona prova l’inciampo senza pagarne il costo reale.

E c’è un dettaglio di mestiere che si nota: la storia deve rispettare l’intelligenza di chi la riceve. Nel momento in cui diventa morale travestita, la persona la smaschera e si stacca. Le si parla come a qualcuno che sa pensare, e la storia fa il resto.

C’è anche qualcosa che spesso sfugge. Il protagonista può essere chiunque nel team, non sempre la persona dell’amministrazione che approva i pagamenti né quella dell’area tecnica che già sa. Le storie che proteggono meglio un’organizzazione distribuiscono i ruoli: a volte chi rischia di cadere è qualcuno alla reception, a volte qualcuno della dirigenza con troppa fretta e poco tempo per esitare. Quando ogni persona si vede, prima o poi, al posto del protagonista, la lezione smette di sembrare qualcosa che capita agli altri.

Come si porta lo storytelling in un programma di awareness?

La buona notizia è che una storia non ha bisogno di un budget da Hollywood. Ha bisogno di un conflitto chiaro e di un formato che la sostenga. I veicoli che le si addicono di più sono quelli che lasciano seguire la trama senza attriti:

• Il fumetto, che mostra la micro-decisione in una vignetta e la conseguenza in quella successiva. Per questo i fumetti funzionano così bene nella awareness: comprimono un’intera scena in qualcosa che si legge in corridoio.
• Il video breve, che sfrutta voce, ritmo ed espressione per mettere la persona dentro la situazione in meno di un minuto.
• La newsletter, che può portare una storia a episodi e tornare sugli stessi personaggi, così che la trama diventi abitudine.
• Lo scenario di una simulazione, dove la persona interpreta la storia invece di leggerla, e l’email di phishing simulata è il conflitto che la costringe a decidere davvero.

Nessuno di questi formati compete con gli altri; si alternano a seconda di ciò che la persona può ricevere quel giorno. Lo stesso conflitto, qualcuno che si spaccia per chi non è, può vivere come fumetto questa settimana, come scena video il mese prossimo e come simulazione il trimestre dopo. La ripetizione smette di sembrare ripetizione perché la storia cambia pelle.

Un catalogo di contenuti vivo che combina fumetto, video, newsletter e simulazione rende molto più di un’unica sessione maratona, perché distribuisce l’apprendimento in dosi che si ricordano. Lo vediamo nella pratica ogni giorno in SMARTFENSE. È anche il cuore del microlearning, poche storie ben raccontate distribuite nel tempo. La libreria di scene pronte all’uso vive nei contenuti e multicataloghi della piattaforma, e la newsletter interna è il canale che tiene quelle storie nella casella della persona per il resto dell’anno.

Raccontare meglio perché protegga di più

Ricordiamo ancora un truffatore di un film di più di vent’anni fa perché ce lo hanno raccontato come storia, con il suo protagonista, le sue decisioni e le sue conseguenze bene in vista. Nessuna circolare sul furto d’identità ha mai ottenuto qualcosa di simile. Il compito di un buon programma di awareness è fabbricare quelle scene di proposito, nel modo giusto, prima che l’inganno arrivi davvero.

Perché una persona non riconosce la trappola per aver letto che esiste. La riconosce perché una volta l’ha vista arrivare in una storia e le è rimasta impressa. Se vuoi che quel riflesso compaia il giorno in cui serve, comincia col raccontare qualcosa che valga la pena ascoltare.