Quando parliamo di Cybersecurity awareness pensiamo di solito al corso annuale, all\u2019incontro obbligatorio, al modulo da completare entro fine mese. Tutto questo \u00e8 formazione, il mezzo. La awareness \u00e8 ci\u00f2 che resta dopo, quando la persona ha chiuso il corso e torna a una casella di posta piena di email. \u00c8 l\u00ec che si gioca l\u2019intero programma, in un giorno qualunque, e quel giorno non finisce su nessun cruscotto.<\/p>\n
Per questo un\u2019organizzazione pu\u00f2 avere il 100% della formazione completata ed essere comunque vulnerabile. Il certificato dice che la formazione \u00e8 avvenuta. Non dice nulla su ci\u00f2 che le persone fanno il resto dell\u2019anno, nella loro casella di posta reale.<\/p>\n
La Cybersecurity awareness \u00e8 la capacit\u00e0 di una persona di riconoscere un rischio digitale nel momento in cui si presenta e di reagire bene sul momento, senza fermarsi a ragionarci. Si vede meno in ci\u00f2 che qualcuno sa spiegare sulla sicurezza e di pi\u00f9 in ci\u00f2 che fa quando arriva l\u2019email strana un marted\u00ec alle cinque del pomeriggio, con quindici cose in sospeso e la voglia di finire.<\/p>\n
Questa distinzione conta perch\u00e9 l\u2019attacco non arriva in formato esame. Arriva travestito da qualcosa di normale, un avviso della banca, una fattura, un messaggio del capo. E la persona non lo affronta con la parte della testa che ha studiato il corso, lo affronta con il riflesso, che \u00e8 rapido e non consulta gli appunti. Allenare quel riflesso \u00e8 il vero lavoro della awareness.<\/p>\n
Ed \u00e8 una cosa collettiva. Una persona attenta circondata da un team che inoltra qualsiasi cosa senza guardare resta esposta allo stesso modo. Per questo il focus \u00e8 la cultura del gruppo, pi\u00f9 che la formazione individuale. La awareness vive in ci\u00f2 che il gruppo considera normale, nel fatto che chiedere \u201c\u00e8 vero questo?\u201d sia visto come ragionevole o come una perdita di tempo per gli altri.<\/p>\n
Molti programmi restano a met\u00e0 perch\u00e9 misurano ci\u00f2 che \u00e8 facile da contare. Contano quante persone hanno completato il corso, quante ore sono state dedicate, che voto hanno preso al questionario. Tutto questo conferma che la formazione c\u2019\u00e8 stata. Nulla di tutto ci\u00f2 conferma che il comportamento sia cambiato.<\/p>\n
Il caso pi\u00f9 comune \u00e8 il corso annuale. Una volta all\u2019anno raccogliamo tutto ci\u00f2 che c\u2019\u00e8 da sapere, lo comprimiamo in un modulo lungo e diamo l\u2019argomento per coperto. La persona lo completa, lo supera, e nel giro di pochi giorni la curva dell\u2019oblio si \u00e8 gi\u00e0 portata via gran parte (non per disinteresse, \u00e8 cos\u00ec che funziona la memoria con ci\u00f2 che usiamo poco). Undici mesi dopo ci aspettiamo una reazione impeccabile a un attacco reale con quel poco che \u00e8 sopravvissuto.<\/p>\n
L\u2019altro classico \u00e8 trattare la awareness come un adempimento di conformit\u00e0 pi\u00f9 che come un cambiamento di abitudini. Si fa per mostrare il certificato all\u2019audit. Avere il certificato va benissimo, ma un programma pensato solo per l\u2019audit si nota subito, annoia, non connette. E ci\u00f2 che annoia non si trattiene. Un corso che la persona dimentica appena lo chiude \u00e8, in pratica, una falla di sicurezza a forma di casella spuntata.<\/p>\n
C\u2019\u00e8 un terzo punto, pi\u00f9 di fondo. Molti programmi partono da un\u2019idea che non aiuta, quella secondo cui la persona \u00e8 l\u2019anello pi\u00f9 debole. Se il messaggio di base \u00e8 che il problema sono gli esseri umani, la formazione diventa un rimprovero travestito e le persone imparano a nascondere gli errori invece di segnalarli (e un errore nascosto \u00e8 proprio quello che non possiamo correggere in tempo). La awareness che funziona fa il contrario, tratta la persona come la prima linea di difesa e le d\u00e0 con cosa difendersi. L\u2019obiettivo \u00e8 che qualcosa la protegga e che possa continuare a lavorare serena.<\/p>\n
Tra il sapere e il fare c\u2019\u00e8 un vuoto che la formazione da sola non colma. Possiamo capire perfettamente cos\u2019\u00e8 il phishing e cliccare comunque, perch\u00e9 nel momento del clic non stiamo analizzando, stiamo smaltendo compiti con il pilota automatico.<\/p>\n
Lo abbiamo gi\u00e0 sviluppato in perch\u00e9 il phishing non \u00e8 un problema di conoscenza<\/a>: la maggior parte delle trappole non riesce per mancanza di informazioni, ci coglie con la guardia bassa. Quindi il lavoro vero \u00e8 che le persone riconoscano la trappola quando ce l\u2019hanno davanti. Questo si allena con la ripetizione in contesto, mettendole di fronte alla trappola finch\u00e9 il riflesso la registra, molto pi\u00f9 che accumulando definizioni per un esame che non arriva mai.<\/p>\n Il modo pi\u00f9 onesto di allenare quel riflesso \u00e8 lasciare che la persona sbagli in un posto dove sbagliare non costa nulla. Una simulazione ben fatta insegna pi\u00f9 di un avvertimento, perch\u00e9 ci lascia inciampare, capire perch\u00e9 siamo caduti e uscirne con quel segno addosso (lo raccontiamo in imparare dagli errori giocando<\/a>). La volta successiva, il riflesso porta gi\u00e0 l\u2019esperienza dentro di s\u00e9.<\/p>\n C\u2019\u00e8 una questione di tono che cambia parecchio il risultato. Un riflesso allenato dalla paura genera paralisi. La persona dubita di assolutamente tutto, si sfinisce, e spesso finisce per spegnere l\u2019allarme interno pur di lavorare in pace. Uno allenato riconoscendo la trappola per averla vista prima genera criterio, che \u00e8 l\u2019opposto della paralisi. La persona sa dove guardare e va avanti con la sua giornata senza vivere sul chi va l\u00e0.<\/p>\n Una cultura della sicurezza dura quando la awareness smette di essere un evento annuale e diventa qualcosa di continuo, breve e ben collocato nel tempo. Invece di un\u2019unica dose enorme una volta all\u2019anno, molti piccoli contatti distribuiti nei mesi.<\/p>\n Tre cose aiutano a farla funzionare, e nessuna \u00e8 complicata:<\/p>\n Aiuta molto, inoltre, che il contenuto parli a ciascuno nella sua lingua. Non ha bisogno di avere in mente le stesse cose una persona del reparto finanziario, che convive con fatture e bonifici, e qualcuno del supporto, che riceve richieste di accesso e credenziali tutto il giorno. Quando l\u2019esempio somiglia al lavoro reale di chi lo riceve, l\u2019idea arriva in modo diverso e resta pi\u00f9 a lungo.<\/p>\n La cultura appare quando queste cose diventano parte del paesaggio. Nessuno deve ricordarsi di \u201cfare sicurezza\u201d perch\u00e9 la sicurezza \u00e8 gi\u00e0 intessuta nella giornata, in dosi che non pesano.<\/p>\n La awareness funziona quando cambia ci\u00f2 che le persone fanno, quindi \u00e8 questo che va misurato. Non quante hanno completato il corso, ma come rispondono a un tentativo reale nel tempo: se segnalano di pi\u00f9, se cascano di meno, se esitano prima di consegnare una credenziale.<\/p>\n L\u2019indicatore che vale \u00e8 la tendenza nel corso dei mesi, pi\u00f9 che la fotografia di un singolo giorno. Un\u2019organizzazione che migliora ha sempre pi\u00f9 persone che riconoscono e segnalano, e sempre meno che abboccano. Quel dato, inoltre, \u00e8 quello che si pu\u00f2 portare a un comitato di direzione senza far girare la testa a nessuno (abbiamo preparato una guida per questo in reporting per il comitato di direzione<\/a>). Se il report del tuo programma si concentra sulle ore e lascia fuori il comportamento, probabilmente misura lo sforzo e si perde il risultato.<\/p>\n Cosa guardare in concreto? Il tasso di segnalazione delle email sospette \u00e8 di solito il miglior termometro, perch\u00e9 mostra le persone che individuano e segnalano, la parte attiva del programma. Serve anche vedere quanto tempo impiega il team a dare il primo allarme di fronte a una campagna simulata. Se quel tempo scende, il riflesso \u00e8 pi\u00f9 affilato. Ed \u00e8 saggio diffidare di una singola metrica presa da sola: il tasso di clic guardato in modo isolato spinge a progettare simulazioni facili perch\u00e9 il numero venga bello, che \u00e8 esattamente ci\u00f2 che non vogliamo.<\/p>\n In SMARTFENSE abbiamo costruito la piattaforma attorno a questa idea. Gli strumenti di awareness<\/a> non inseguono la sufficienza a un esame, puntano a far sviluppare alla persona abitudini sicure con contenuti che non annoiano, nel momento in cui servono, e con dati che mostrano se il comportamento si \u00e8 mosso. Il fattore umano resta tra le cause pi\u00f9 frequenti delle violazioni, secondo il report Verizon DBIR<\/a>, e nessun incontro annuale basta a spostarlo. A spostarlo \u00e8 una cultura che si prende cura di s\u00e9, sostenuta nel tempo.<\/p>\n La Cybersecurity awareness si gioca nel giorno qualunque, nella micro-decisione di guardare due volte prima di cliccare, molto pi\u00f9 che nel corso. L\u00ec a rispondere \u00e8 il riflesso che abbiamo allenato. La teoria resta in aula. E un riflesso si allena con la pratica, nel contesto e senza annoiare, perch\u00e9 ci\u00f2 che annoia non si trattiene, e ci\u00f2 che non si trattiene non protegge nessuno.<\/p>\n","protected":false},"excerpt":{"rendered":" La Cybersecurity awareness non si misura in ore di formazione. Cos’\u00e8 davvero, perch\u00e9 tanti programmi restano a met\u00e0 e come farla durare nel tempo.<\/p>\n","protected":false},"author":17,"featured_media":43833,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,339],"tags":[2151,1640,2153,2255],"class_list":["post-43837","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-cambio-de-comportamiento","tag-cultura-de-seguridad-it","tag-concienciacion","tag-fattore-umano"],"acf":[],"yoast_head":" \nCome si costruisce una cultura della sicurezza che duri?<\/h2>\n
\n
Come si capisce se la awareness sta funzionando?<\/h2>\n
In una riga<\/h2>\n