{"id":44960,"date":"2026-08-31T19:25:47","date_gmt":"2026-08-31T17:25:47","guid":{"rendered":"https:\/\/smartfense.com\/?p=44960"},"modified":"2026-08-31T19:25:58","modified_gmt":"2026-08-31T17:25:58","slug":"continuita-del-programma-quando-se-ne-va-il-responsabile","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/continuita-del-programma-quando-se-ne-va-il-responsabile\/","title":{"rendered":"Cosa si rompe nel tuo programma di Cybersecurity awareness quando se ne va chi lo gestiva"},"content":{"rendered":"

C\u2019\u00e8 una conversazione che si ripete nelle implementazioni e comincia sempre pi\u00f9 o meno allo stesso modo. Dall\u2019altra parte c\u2019\u00e8 qualcuno che ha appena ereditato un programma di Cybersecurity awareness, chiede l\u2019accesso a una piattaforma che non ha configurato e scopre che l\u2019account di amministratore \u00e8 intestato a una persona che non lavora pi\u00f9 nell\u2019organizzazione.<\/p>\n

Lo scenario di fondo \u00e8 noto. Si \u00e8 dimesso chi teneva in piedi il programma, la ricerca del sostituto richieder\u00e0 qualche mese e nel frattempo qualcuno deve decidere cosa fare del piano. Nessuno decide di sospenderlo. Semplicemente smette di comparire nella lista di attivit\u00e0 di qualcuno.<\/p>\n

Il costo si vede pi\u00f9 tardi. Quando arriva l\u2019audit e viene richiesta l\u2019attivit\u00e0 del periodo, c\u2019\u00e8 un tratto senza nulla. Quel buco non si spiega con un organigramma, ed \u00e8 esattamente quello che l\u2019auditor segnaler\u00e0.<\/p>\n

La continuit\u00e0 del programma di Cybersecurity awareness \u00e8 la capacit\u00e0 di continuare ad assegnare attivit\u00e0 e a produrre registrazioni anche quando nessuno lo sta spingendo. Una posizione scoperta per tre mesi \u00e8 la prova pi\u00f9 onesta che esista per capire se il tuo programma ce l\u2019ha.<\/p>\n

Cosa cade davvero quando se ne va la persona che gestiva il programma?<\/h2>\n

Conviene separare tre livelli, perch\u00e9 si rompono in momenti diversi e si sistemano in modi diversi.<\/p>\n

Il primo \u00e8 l\u2019operativit\u00e0. Qualcuno costruisce le campagne, controlla chi non ha completato, risponde alla mail della funzione che chiede una proroga. \u00c8 il livello pi\u00f9 visibile e quello che tutti danno per risolto distribuendo il lavoro tra chi resta.<\/p>\n

Il secondo \u00e8 l\u2019intestazione tecnica. L\u2019account di amministratore, il token che usa l\u2019integrazione con la dashboard della direzione, l\u2019applicazione registrata nel provider di identit\u00e0, l\u2019indirizzo da cui partono le email del programma, i destinatari dei report automatici. Tutto questo \u00e8 stato legato a una persona in un certo momento dell\u2019implementazione e da allora nessuno l\u2019ha rivisto.<\/p>\n

Il terzo \u00e8 la serie di evidenze. Ogni mese in cui il programma ha assegnato qualcosa lascia una registrazione, e ogni mese in cui non ha assegnato niente ne lascia una anche lui, per assenza. Quella serie \u00e8 l\u2019unica cosa che un terzo pu\u00f2 leggere senza ascoltare la spiegazione.<\/p>\n

Distribuire l\u2019operativit\u00e0 nel team, che \u00e8 la prima cosa che si prova, copre il primo livello. Il secondo non si nota finch\u00e9 qualcosa non si guasta. E quando si guasta, il terzo ha gi\u00e0 il suo buco.<\/p>\n

Perch\u00e9 distribuire il compito nel team dura due settimane?<\/h2>\n

La distribuzione informale funziona finch\u00e9 il tema \u00e8 ancora fresco. Poi inizia a competere con lavoro che invece ha un titolare, e perde sempre.<\/p>\n

Un incidente di sicurezza ha qualcuno che lo reclama. Un requisito di audit ha una data. Una campagna di awareness non inviata questo mese non genera nessuna telefonata. Nessuno nel business nota la differenza, la funzione che l\u2019avrebbe ricevuta ringrazia in silenzio e l\u2019indicatore si muove solo due trimestri dopo. \u00c8 l\u2019unico compito dell\u2019area il cui mancato svolgimento non fa rumore nel breve periodo.<\/p>\n

Quello che si perde con la distribuzione non \u00e8 solo attivit\u00e0. \u00c8 il criterio. La persona che se n\u2019\u00e8 andata sapeva perch\u00e9 quel gruppo aveva una campagna diversa, cosa aveva concordato con le operations per non pestare i piedi alla chiusura di mese e perch\u00e9 era in vigore un\u2019eccezione. Chi arriva a coprire la posizione trova un periodo senza attivit\u00e0 e, soprattutto, senza le ragioni. Ricostruire quello richiede pi\u00f9 tempo che eseguire il piano originale.<\/p>\n

Il piano non cade per una decisione. Cade perch\u00e9 ha smesso di stare nella lista di qualcuno.<\/p>\n

Quale parte del programma di Cybersecurity awareness pu\u00f2 andare avanti senza nessuno dietro?<\/h2>\n

Quella che era gi\u00e0 automatizzata prima della vacanza. Un programma di awareness alla cybersicurezza automatizzato<\/a> \u00e8 un insieme di campagne gi\u00e0 sequenziate che si assegnano da sole a un pubblico per un periodo che va da uno a tre anni, con configurazioni generali e specifiche che si definiscono una volta sola. Finch\u00e9 c\u2019\u00e8 un pubblico, continua ad assegnare, con o senza qualcuno che guardi la console.<\/p>\n

Qui sta la differenza pratica rispetto a un calendario costruito a mano. Il calendario manuale ha bisogno che ogni mese qualcuno lo esegua. Il programma automatizzato ha bisogno che qualcuno l\u2019abbia deciso una volta. Quando quella decisione \u00e8 gi\u00e0 presa, la vacanza colpisce la supervisione, non la consegna. In SMARTFENSE questo \u00e8 anche il meccanismo dietro il piano di conformit\u00e0 che si esegue da solo ogni giorno<\/a>, che risponde alla stessa domanda dal lato della norma.<\/p>\n

C\u2019\u00e8 una dipendenza che invece conviene guardare, e riguarda da dove arriva il pubblico. Un programma che si assegna da solo su una lista che qualcuno aggiornava a mano diventa, in poche settimane, un programma che gira in modo impeccabile sull\u2019organizzazione del trimestre scorso. Chi \u00e8 entrato durante la vacanza non compare in nessuna assegnazione, e l\u2019indicatore resta verde perch\u00e9 anche il denominatore \u00e8 rimasto vecchio.<\/p>\n

Se l\u2019importazione degli utenti \u00e8 automatizzata contro la directory aziendale, quel rischio se ne va con la vacanza. Se dipendeva da un file che qualcuno caricava ogni mese, la continuit\u00e0 dura quanto dura quel file. \u00c8 lo stesso meccanismo per cui i nuovi assunti muovono la conformit\u00e0 durante tutto l\u2019anno<\/a>, aggravato dal non avere nessuno che lo guardi.<\/p>\n

Conviene dire cosa non risolve, perch\u00e9 presentarlo come una risposta completa sarebbe vendere fumo. L\u2019automazione non negozia con una funzione che chiede di spostare un\u2019attivit\u00e0, non interpreta un risultato strano, non decide di cambiare approccio quando il contesto \u00e8 cambiato e non gestisce l\u2019eccezione della persona che \u00e8 stata in congedo per sei mesi. Tutto questo torna quando arriva il sostituto. Quello che l\u2019automazione garantisce \u00e8 che torni su una serie continua e non su un vuoto.<\/p>\n

\"Un<\/p>\n

Cosa \u00e8 rimasto intestato a una persona e non all\u2019organizzazione?<\/h2>\n

Questo \u00e8 il livello che quasi nessuno verifica prima di averne bisogno, e quello che come CTO vedo cedere pi\u00f9 spesso. Durante un\u2019implementazione le cose si creano in fretta, con l\u2019account che si aveva a portata di mano, e quell\u2019account \u00e8 di solito quello di chi porta avanti il progetto.<\/p>\n

Cosa conviene rivedere, idealmente prima che ci sia una lettera di dimissioni sul tavolo:<\/p>\n