Cosa succede tra la firma e la prima campagna

Il contratto è già firmato e l’accesso alla piattaforma è stato consegnato lo stesso giorno. La prima campagna, invece, tarda a partire.

Quell’intervallo tra la firma e la partenza della prima campagna è dove si decide buona parte di ciò che verrà dopo, e di solito resta fuori da qualsiasi pianificazione. Lo standard, al contrario, lo considera lavoro a tutti gli effetti. La revisione 1 di NIST SP 800-50, Building a Cybersecurity and Privacy Learning Program, pubblicata dal NIST (National Institute of Standards and Technology) nel settembre 2024, organizza il programma secondo le cinque fasi del modello ADDIE (analisi, progettazione, sviluppo, implementazione e valutazione). Le prime due si chiudono prima che un solo contenuto raggiunga una persona.

In SMARTFENSE vediamo quel tratto ogni settimana, in rollout di organizzazioni di dimensioni molto diverse. Il tempo che passa dalla firma al primo invio non dipende quasi mai dalla piattaforma. Dipende da decisioni che può prendere soltanto l’organizzazione che sottoscrive il contratto.

Quanto tempo serve davvero per avviare un programma di Cybersecurity awareness?

Dipende da quelle decisioni, non dal rollout tecnico.

Creare l’ambiente, caricare il catalogo dei contenuti e rendere operativa la piattaforma è questione di ore. Ciò che allunga il calendario è tutto il resto. Chi entra nel programma, con quali dati, con l’autorizzazione di chi e con quale messaggio interno.

Un team che arriva con l’elenco delle persone già ripulito, la sponsorizzazione definita e il via libera dell’IT può partire in pochi giorni. Quando quei tre fattori si iniziano a risolvere dopo la firma, l’avvio diventa un progetto con un calendario proprio. La differenza tra un caso e l’altro non sta nel software.

Cosa risolve il fornitore e cosa può risolvere solo la tua organizzazione?

La divisione è più netta di quanto sembri, e conviene metterla per iscritto prima della riunione di avvio.

Lo risolve il fornitore	Lo risolve solo la tua organizzazione
Ambiente, catalogo dei contenuti e configurazione della piattaforma	Chi fa parte del programma e come viene raggruppato
Template di simulazione, report e automazioni	La qualità e l’aggiornamento dell’anagrafica delle persone
Documentazione tecnica sulla recapitabilità	L’applicazione di quella configurazione alla tua posta e alla tua rete
Affiancamento, formazione degli amministratori e supporto	La sponsorizzazione interna e il messaggio con cui si annuncia
Buone pratiche di calendario e frequenza	Le date che la tua organizzazione riesce a sostenere

La lettura pratica di quella tabella è che la colonna di destra non si delega. Un fornitore può fornire consulenza, documentare e affiancare. Non può decidere chi entra nel programma né ottenere al posto tuo il sostegno della direzione.

Perché l’elenco degli utenti è il collo di bottiglia più frequente?

Perché è l’unico dato che nessuno tranne l’organizzazione può produrre, e quasi sempre è messo peggio di quanto si creda.

Il NIST colloca questo compito nel secondo passo della fase di analisi, prima di qualsiasi contenuto: identificare il pubblico del programma. Nella pratica quell’identificazione porta a galla cose rimaste nascoste. Persone che non lavorano più nell’organizzazione e sono ancora in directory. Caselle condivise da un intero reparto. Fornitori esterni di cui nessuno sa se debbano ricevere formazione. Sedi con il campo paese vuoto, che poi impediscono, per esempio, di segmentare per lingua.

Niente di tutto questo è un problema della piattaforma, eppure tutto questo arriva sulla piattaforma. Se l’anagrafica entra sporca, i primi report descriveranno un problema di dati e non un problema di comportamento, che è esattamente ciò che il programma voleva misurare.

Conviene risolverlo prima del primo invio e non dopo. Definire il pubblico target di un programma di awareness con criterio, anche a costo di due settimane, fa risparmiare un anno di metriche indifendibili.

Cosa va chiuso con l’IT prima della prima simulazione?

Tre cose, e tutte e tre vivono fuori dalla piattaforma di awareness.

1. Recapitabilità. Le email di simulazione devono arrivare in posta in arrivo. Questo richiede che il team che amministra il server di posta autorizzi gli invii del programma e li escluda dal filtraggio, con il perimetro concordato per iscritto.
2. Navigazione. Le pagine di destinazione delle simulazioni devono aprirsi dalla rete aziendale. Se il filtro web le blocca, la simulazione misura la configurazione del proxy invece della reazione delle persone.
3. Dominio di invio. Conviene decidere presto sotto quale dominio escono le notifiche del programma, perché incide sulla fiducia del pubblico di riferimento. Lo abbiamo approfondito in perché il dominio proprio spinge l’adozione del programma.

Queste tre attività sono di solito brevi per l’IT e lente da calendarizzare. È questo il vero motivo per cui diventano il blocco più costoso dell’avvio: non per difficoltà, ma perché finiscono nella coda di un altro team che ha le sue priorità.

Chi deve essere d’accordo prima che parta la prima email?

Più persone di quante di solito si presentino alla riunione iniziale.

L’area sicurezza spinge il programma, ma raramente controlla i canali attraverso cui arriva. Le risorse umane hanno voce in capitolo su qualsiasi attività obbligatoria per il personale. La comunicazione interna decide come viene annunciato. In alcune organizzazioni le rappresentanze dei lavoratori devono essere informate prima che una simulazione venga eseguita, e in diversi paesi quel passaggio non è facoltativo.

Nessuna di queste conversazioni è lunga se si apre per tempo. Tutte diventano lunghe se si aprono quando la prima campagna è già programmata. Quando un programma parte senza accordo interno, il primo incidente non è tecnico. È una lamentela che arriva alla direzione e blocca l’intero calendario.

Per questo la figura dello sponsor conta così tanto. Non serve che venga dall’area sicurezza. Serve che abbia l’autorità per convocare quelle tre aree nella stessa stanza e uscirne con una decisione.

Conviene aprire con la formazione o con una simulazione?

Con la formazione, salvo che tu abbia una ragione concreta per fare il contrario.

Una simulazione come primo contatto arriva prima che qualcuno sappia che esiste un programma. Misura bene, perché fotografa una linea di base senza distorsioni, ma lascia le persone con la sensazione di essere state valutate senza preavviso. Quell’avvio costa caro in fiducia, e la fiducia è ciò che regge il programma per il resto dell’anno.

Aprire con un contenuto formativo, annunciato dallo sponsor, mette in ordine le aspettative. Le persone sanno che ci sarà un programma, a cosa serve e cosa ci si aspetta da loro. La simulazione arriva dopo, su un terreno preparato, e i suoi risultati si leggono senza rumore.

C’è un’eccezione ragionevole. Quando la direzione chiede una misurazione iniziale per giustificare l’investimento, la linea di base va presa prima di qualsiasi formazione, perché dopo non è più una linea di base. In quel caso conviene concordare in anticipo cosa si farà con i risultati ottenuti e cosa no, un tema che affrontiamo in il tuo programma di awareness sta misurando ciò che conta.

Anche l’avvio fa parte del programma

Le settimane che precedono il primo invio non sono tempo perso in attesa che il programma prenda il via. Sono la prima fase del programma, e il NIST le tratta come tali.

Quando quella fase è fatta bene, il resto dell’anno somiglia a quanto pianificato. La segmentazione funziona, i report si leggono senza obiezioni e il calendario di campagne regge senza rinegoziazioni mensili. Quando la si salta, ritorna più avanti sotto forma di dati che nessuno difende e di campagne che slittano.

Se stai per partire, la conversazione utile non riguarda la piattaforma. Riguarda l’anagrafica, la sponsorizzazione e l’agenda dell’IT. Una volta risolto questo, il resto è questione di giorni.

Domande frequenti

Quanto tempo passa tra la sottoscrizione di una piattaforma di awareness e il primo invio?
Dipende da quante decisioni interne sono già prese al momento della firma. Il rollout tecnico si risolve in ore. A determinare i tempi sono l’elenco delle persone già ripulito, uno sponsor con autorità e le attività di recapitabilità calendarizzate con l’IT.

Che cos’è la fase di analisi di un programma di Cybersecurity awareness?
È la prima delle cinque fasi del modello ADDIE che il NIST SP 800-50 Rev. 1 applica a questi programmi. Comprende l’identificazione dei fabbisogni formativi, la definizione del pubblico, l’incrocio tra i due, la valutazione del livello di conoscenza attuale e l’individuazione dei divari. Si chiude prima che venga distribuito il contenuto.

Perché il caricamento iniziale degli utenti va storto?
Perché la directory aziendale quasi mai è pensata per segmentare la formazione. Di solito contiene persone che hanno lasciato l’organizzazione, caselle condivise, fornitori esterni senza criterio definito e campi vuoti che impediscono di raggruppare per sede o per lingua.

Cosa deve configurare l’IT prima di una simulazione di phishing?
Autorizzare gli invii del programma perché arrivino in posta in arrivo, consentire la navigazione verso le pagine di destinazione dalla rete aziendale e concordare il dominio da cui escono le comunicazioni.

È meglio iniziare con una simulazione o con la formazione?
Con la formazione nella maggior parte dei casi, perché mette in ordine le aspettative prima di qualsiasi valutazione. La simulazione come punto di partenza ha senso solo quando serve una linea di base senza distorsioni, e conviene concordare in anticipo come verranno usati i risultati ottenuti.