La formazione sulla sicurezza che non fa sbadigliare nessuno

La settimana scorsa abbiamo ricostruito la cronologia di un attacco ransomware, fase per fase, e abbiamo chiuso notando che in ognuna delle quattro fasi c'è una persona: chi riusa la password, chi apre l'allegato, chi vede qualcosa di strano e non sa se dirlo. Proseguendo il mese della sicurezza, oggi parliamo di loro. Non di cosa insegnare — i segnali dell'email sospetta li trovate nei sette punti che abbiamo pubblicato ad aprile, e le truffe più costruite nel pezzo sul finto CEO e il cambio di IBAN — ma di come farlo perché resti qualcosa.

Perché il corso annuale non lascia niente

Il problema del corso di due ore non è il contenuto, spesso corretto. È la forma. Concentra in un pomeriggio una quantità di nozioni che nessuno trattiene, le presenta in astratto, lontano dal momento in cui serviranno, e poi non le richiama più per dodici mesi. Si dimentica in fretta ciò che non si usa, e la maggior parte di quello che si ascolta in aula sparisce nel giro di qualche settimana.

C'è poi un effetto collaterale meno visibile: il corso annuale insegna che la sicurezza è un argomento, una cosa di cui ci si occupa una volta l'anno e poi si torna al lavoro vero. Esattamente il messaggio opposto a quello che serve. La sicurezza, per chi lavora in ufficio, non è una materia da studiare: è un riflesso da allenare. E i riflessi si allenano con poco, spesso.

Una formazione funziona quando cambia quello che le persone fanno il martedì mattina, non quando produce un attestato.

Dieci minuti, dentro una riunione che esiste già

L'alternativa più efficace è anche la più economica: dieci minuti al mese, agganciati a un momento che c'è già. La riunione di reparto del lunedì, l'aggiornamento mensile dello studio, il briefing prima del servizio. Niente evento dedicato, niente sala prenotata, niente «ci vediamo venerdì per la sicurezza», che in molte agende è il primo appuntamento a saltare.

Dieci minuti bastano per un solo tema, raccontato con un caso concreto. Una mail vera arrivata in azienda la settimana prima, con il mittente oscurato. Un messaggio WhatsApp ricevuto da un collega. Una telefonata strana che qualcuno ha avuto il buon senso di raccontare. Il caso reale funziona meglio di qualunque esempio da manuale, perché è successo qui, a noi, e la domanda «tu cosa avresti fatto?» ha una risposta che interessa a tutti.

Un tema al mese fa dodici temi l'anno, ripassati nel contesto giusto. È più di quanto entri in qualsiasi corso di due ore, e soprattutto si ripete: il messaggio che passa è che la sicurezza fa parte del lavoro ordinario, come la riunione in cui se ne parla.

La simulazione di phishing: utile, se usata bene

Lo strumento più diffuso, dopo il corso, è la campagna di phishing simulato: si mandano ai dipendenti email finte, costruite come quelle vere, e si osserva chi clicca. Fatta bene è preziosa, perché allena le persone nelle condizioni reali: in mezzo alla posta di tutti i giorni, con la fretta di tutti i giorni. Fatta male fa più danni di quanti ne eviti.

Mai per valutare le persone. Il risultato della simulazione non entra nelle valutazioni individuali, non diventa un richiamo, non finisce in una classifica. Se le persone capiscono che la simulazione è un esame, impareranno a passare l'esame — magari girando ai colleghi l'avviso «occhio, oggi è arrivata quella finta» — e non a riconoscere l'attacco vero.

Mai per umiliare chi clicca. Il nome di chi ci è cascato letto in riunione, la battuta alla macchinetta del caffè, la mail a tutti con «ecco chi non ha fatto attenzione». Sembra innocuo, ed è l'errore più costoso di tutti: il primo dipendente messo alla berlina è l'ultima segnalazione che riceverai. Il giorno in cui una persona cliccherà su un link vero, se ricorda la figura fatta dal collega, starà zitta e spererà che non succeda niente. E quel silenzio, come abbiamo visto con il ransomware, regala all'attaccante giorni o settimane.

Difficoltà crescente e varia. Una campagna che manda sempre lo stesso finto corriere insegna a riconoscere quel finto corriere. Meglio alternare: la notifica di un documento condiviso, la richiesta urgente di un fornitore, l'avviso di casella piena, la finta fattura. E partire facili, per poi alzare l'asticella.

Chi clicca impara subito, in privato. Il momento migliore per spiegare è l'istante dopo il clic: una pagina breve che dice «era una simulazione, ecco i due dettagli che potevano metterti in allarme», visibile solo a chi ha cliccato. Nessuna vergogna, massima efficacia.

Il numero che conta: quanto in fretta qualcuno segnala

Quasi tutte le campagne di simulazione producono un numero solo: la percentuale di chi ha cliccato. È il numero sbagliato su cui concentrarsi. Nessuna formazione porterà mai i clic a zero, e un'azienda con il 5% di clic invece del 10% non è al sicuro: su cinquanta dipendenti, un paio cliccheranno comunque. L'attacco vero non ha bisogno di tutti, gliene basta uno.

Il numero che conta è un altro: quanto tempo passa fra l'arrivo della mail e la prima segnalazione. Se la stessa email arriva a venti persone, due cliccano ma una la segnala dopo sei minuti, chi gestisce l'IT può ritirarla dalle caselle di tutti, bloccare il mittente, verificare subito i due account coinvolti e cambiare le password prima che vengano usate. Il clic c'è stato, il danno no. Se invece nessuno segnala, il primo indizio arriverà settimane dopo, nella forma peggiore.

Da qui discendono due cose molto pratiche. La prima: segnalare deve essere facilissimo. Un pulsante «Segnala» dentro Outlook, che in Microsoft 365 si attiva senza costi aggiuntivi, oppure un indirizzo unico e semplice da ricordare. Niente moduli, niente ticket da compilare, niente «chi devo chiamare?». La seconda: chi segnala riceve sempre una risposta, anche quando la mail era innocua. «Grazie, era una newsletter vera, ma hai fatto benissimo a chiedere.» Ogni segnalazione ringraziata è una segnalazione in più la prossima volta.

E una regola vale più di tutte le altre, e va detta esplicitamente, meglio se dal titolare: chi segnala di aver cliccato non viene rimproverato, mai. «Ho aperto un allegato e poi mi è sembrato strano» deve essere una frase che si pronuncia in trenta secondi, non dopo una notte insonne.

Chi si forma per primo

Non tutti i ruoli sono esposti allo stesso modo, e se il tempo è poco conviene partire da chi, cadendo in trappola, farebbe più danni.

Amministrazione e chi dispone i pagamenti. Sono il bersaglio delle frodi più redditizie: la fattura modificata, il fornitore che «ha cambiato banca», la richiesta urgente di bonifico. Per loro la formazione non è solo riconoscere la mail, ma conoscere a memoria la procedura di verifica e sentirsi autorizzati ad applicarla anche quando la richiesta sembra venire dall'alto.

La direzione. Per due motivi. Il nome del titolare è quello che gli attaccanti usano per dare autorità alle richieste false, e la sua casella è quella che vale di più se viene violata. E poi perché l'esempio parte da lì: se il titolare salta la formazione «perché non ha tempo», tutti gli altri capiscono quanto conta davvero.

Chi è appena entrato. Non conosce ancora le persone, le procedure, i fornitori; non sa distinguere una richiesta normale da una anomala, e ha ancora meno coraggio degli altri nel dire «non mi torna». Le prime settimane sono il momento in cui è più esposto: i dieci minuti mensili sono il modo naturale per agganciarlo fin da subito.

Chi ha accessi amministrativi. Il tecnico interno, il referente informatico, chi gestisce il gestionale. Pochi, ma con le chiavi di casa: per loro vale la pena qualcosa di più specifico, sull'uso separato degli account amministrativi e sui segnali di un accesso anomalo.

Come capire se sta funzionando

Dopo qualche mese, i segnali che la formazione sta lavorando non sono negli attestati, ma nella posta di chi gestisce l'IT. Arrivano più segnalazioni, anche di mail innocue: è un buon segno, non un fastidio. Arrivano prima: il tempo fra la mail sospetta e la prima segnalazione si accorcia. Arrivano da tutti, non solo dai due colleghi più attenti. E cominciano ad arrivare anche le segnalazioni scomode, quelle che iniziano con «credo di aver fatto un errore»: sono la prova più chiara che le persone si fidano abbastanza da dirlo.

Per chi ha obblighi formali, come le aziende che rientrano nella NIS2, la formazione va anche documentata: ma un registro che dice «dodici incontri da dieci minuti, temi trattati, segnalazioni ricevute» racconta una formazione molto più convincente di un attestato di due ore.

In sintesi

Il corso annuale di due ore produce un attestato e poco altro. Funziona di più una formazione breve e frequente, dieci minuti al mese dentro una riunione che esiste già, costruita su casi veri successi in azienda. Le simulazioni di phishing sono utili se servono ad allenare, mai a valutare o a umiliare: il primo dipendente messo alla berlina è l'ultima segnalazione che riceverai. Il numero da guardare non è quanti cliccano, ma quanto in fretta qualcuno segnala, e per questo segnalare deve essere facile, ringraziato e mai punito. Si parte da chi dispone i pagamenti, dalla direzione e da chi è appena arrivato.

Una segnalazione rapida, però, serve solo se dall'altra parte qualcuno sa cosa fare. Chi decide se staccare la rete? Chi si chiama, e a quale numero? Chi parla con i clienti? Martedì prossimo, continuando il mese della sicurezza, passiamo dalle persone al piano: chi chiami alle due di notte, e perché il piano di risposta agli incidenti che funziona sta tutto in una pagina.

Vuoi una formazione che le tue persone non subiscano ma usino? Contattaci: impostiamo il pulsante di segnalazione, il calendario dei dieci minuti mensili con casi reali e campagne di simulazione pensate per allenare, non per dare i voti.

Articoli collegati: Il giorno del ransomware · Phishing: 7 segnali · Le truffe che arrivano in autunno