{"id":45756,"date":"2026-09-09T19:24:46","date_gmt":"2026-09-09T17:24:46","guid":{"rendered":"https:\/\/smartfense.com\/?p=45756"},"modified":"2026-09-09T19:25:13","modified_gmt":"2026-09-09T17:25:13","slug":"triage-delle-segnalazioni-phishing-manuale-o-automatico","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/triage-delle-segnalazioni-phishing-manuale-o-automatico\/","title":{"rendered":"Da venti ore a tre, cosa cambia quando il triage non \u00e8 pi\u00f9 manuale"},"content":{"rendered":"

Il mese di cui parla questa serie ha avuto 183 email segnalate dai dipendenti stessi. Il pezzo precedente<\/a> ha seguito una di quelle email dal pulsante fino alla decisione del team di sicurezza, e quel percorso ha richiesto quattro minuti. Questo pezzo guarda lo stesso mese dall\u2019altro lato della scrivania, quando il triage delle segnalazioni di phishing era ancora lavoro manuale e quelle 183 email si aprivano una per una. I numeri vengono da un\u2019organizzazione concreta, la stessa dei pezzi precedenti, e non sono medie di settore.<\/p>\n

Quanto tempo richiede classificare a mano una email segnalata?<\/h2>\n

Ogni segnalazione chiedeva esattamente la stessa cosa. Aprire l\u2019email originale. Controllare gli header e l\u2019autenticazione del mittente. Verificare la reputazione del dominio e di ogni link, uno per uno. Analizzare gli allegati. E solo allora classificare.<\/p>\n

Ogni segnalazione richiedeva tra i cinque e i quindici minuti, a seconda di quanto fosse ambiguo il caso. Sommavano circa venti ore al mese, mezza settimana lavorativa dedicata in larghissima parte a confermare che 160 email erano innocue.<\/p>\n

Il primo passo di quella lista \u00e8 anche quello che nessuno vuole fare. Aprire l\u2019email originale significa maneggiare a mano il file che qualcuno ha segnalato proprio perch\u00e9 gli sembrava pericoloso, con la cautela che questo richiede e sul computer di chi lo sta esaminando.<\/p>\n

C\u2019\u00e8 qualcosa di peggio del totale delle ore, ed \u00e8 l\u2019ordine. Una coda che si processa per data di arrivo tratta allo stesso modo l\u2019email del nuovo fornitore e l\u2019attacco mirato, perch\u00e9 finch\u00e9 nessuno le apre non c\u2019\u00e8 modo di sapere quale sia quale. La priorit\u00e0 non esiste prima della classificazione, quindi la classificazione \u00e8 la prima cosa da togliere di mezzo.<\/p>\n

Quale lavoro resta quando il triage \u00e8 automatico?<\/h2>\n

Le segnalazioni entrano in console gi\u00e0 risolte. Ognuna arriva con il suo verdetto, con un punteggio di rischio da 0 a 100 che indica anche a quale fascia appartiene, e con il dettaglio di quello che \u00e8 stato controllato per arrivarci. L\u2019elenco resta ordinato per data, come qualsiasi casella, ma ora si pu\u00f2 filtrare per verdetto e leggere la gravit\u00e0 a colpo d\u2019occhio, senza aprire niente.<\/p>\n

\n

Il tuo team smette di classificare email e comincia a esaminare decisioni.<\/p>\n<\/blockquote>\n

Il mese cambia forma. Si esaminano a fondo quelle marcate come phishing, che sono poche e arrivano gi\u00e0 con l\u2019evidenza pronta, e si fa un passaggio sui falsi allarmi per controllare che siano classificati bene. Tre ore. Le altre diciassette restano per indagare sulle minacce confermate, che \u00e8 il lavoro per cui quella persona \u00e8 stata assunta.<\/p>\n

Quel punteggio non va confuso con il punteggio di rischio umano<\/a> della persona che ha segnalato. Uno misura quanto \u00e8 pericolosa una email. L\u2019altro misura il comportamento nel tempo, e segnalare pesa a favore.<\/p>\n

Chi ha l\u2019ultima parola sul verdetto?<\/h2>\n

L\u2019analisi propone e il tuo team decide, e questo poggia sulla meccanica e non su una promessa. Qualsiasi segnalazione si conferma o si corregge a mano dal suo dettaglio, con un clic. Se qualcuno corregge il verdetto mentre l\u2019analisi \u00e8 ancora in corso, vince la correzione della persona.<\/p>\n

Nemmeno la console perde di vista chi ha deciso cosa. Ogni segnalazione mostra con un\u2019icona se il verdetto lo ha lasciato l\u2019analisi automatica o una persona, e la stessa distinzione arriva nell\u2019elenco esportato. Il nome, l\u2019ora e la classificazione precedente al cambio restano nella traccia di audit della segnalazione.<\/p>\n

\u00c8 questo che risponde alla domanda che arriva sei mesi dopo, quando qualcuno vuole sapere perch\u00e9 una email \u00e8 stata classificata in un certo modo. La risposta \u00e8 registrata, con autore e data, e quando l\u2019autore \u00e8 stato l\u2019analisi anche questo lo dice il registro.<\/p>\n

Cosa succede quando l\u2019analisi sbaglia?<\/h2>\n

Sbaglia, come sbaglia l\u2019email security e come sbaglia una persona alle sei di sera di un venerd\u00ec. Quello che decide se sia un problema \u00e8 quanto costa poco correggere quell\u2019errore e quanto resta visibile il cambio.<\/p>\n

Il passaggio di controllo sui falsi allarmi \u00e8 quel presidio, e rende di pi\u00f9 con un criterio esplicito. Una email pericolosa archiviata come falso allarme costa molto pi\u00f9 di un falso allarme trattato come phishing, quindi la revisione si concentra su un solo lato e non sul discutere le decisioni corrette.<\/p>\n

Quando qualcuno corregge un verdetto, quella segnalazione smette di contare come risolta dall\u2019analisi e comincia a contare come risolta da una persona. \u00c8 la lettura che corrisponde ed \u00e8 quella che tiene pulito il conteggio del mese, perch\u00e9 quello che la dashboard presenta come classificazione automatica \u00e8 esattamente ci\u00f2 che nessuno ha dovuto toccare.<\/p>\n

Come si evita che gli alert saturino il team?<\/h2>\n

Gli alert si governano con tre avvisi indipendenti, ognuno con il proprio interruttore.<\/p>\n