La maggior parte delle organizzazioni propone e gestisce già qualche programma di sensibilizzazione o di formazione sulla sicurezza informatica. Tuttavia, molte continuano a registrare incidenti ricorrenti, comportamenti incoerenti e scetticismo da parte del personale.
Perché la formazione generica sulla sicurezza informatica non è sufficiente
Il problema è solitamente di progettazione, non di intenzioni. Una formazione generica e uguale per tutti non può affrontare i rischi specifici di ogni ruolo. Si pensi a uno specialista dei libri paga che lavora con i dettagli dei bonifici diretti e i dati fiscali rispetto a un responsabile delle strutture che coordina i fornitori esterni e i sistemi degli edifici. Entrambi devono individuare i tentativi di phishing e proteggere i propri account, ma gli scenari che devono affrontare, i sistemi che utilizzano e le conseguenze di un errore sono molto diversi. Trattarli come “utenti finali” identici crea pericolose lacune.
Un modello più efficace è la formazione sulla sicurezza informatica basata sui ruoli, costruita su tre livelli:
- Consapevolezza di base per tutti.
- Approfondimento specifico per ruolo, ove necessario.
- Percorsi avanzati per i professionisti della sicurezza informatica.
Questo approccio stratificato rispetta i vincoli temporali e allo stesso tempo allinea le competenze al rischio. È anche più facile spiegare ai consigli di amministrazione, ai revisori e agli organismi di controllo che ogni ruolo ha responsabilità e aspettative di apprendimento ben definite.
Adottare una vera formazione sulla sicurezza informatica significa andare oltre il compito obbligatorio annuale
Molte organizzazioni trattano ancora la sicurezza informatica come una casella da spuntare ogni anno. Organizzano un corso di e-learning obbligatorio, inviano alcuni test di phishing e considerano la forza lavoro “formata”. I dipendenti vivono questa esperienza come una mera formalità e dimenticano rapidamente i contenuti.
Un approccio migliore consiste nel considerare la formazione sulla sicurezza informatica come un investimento continuo, rafforzato in piccoli momenti rilevanti, come l’inserimento dei nuovi assunti, i cambiamenti di ruolo, le riunioni di gruppo, l’avvio dei progetti, l’inserimento dei fornitori e le valutazioni delle prestazioni. Quando le organizzazioni adottano questo cambiamento, spesso notano segnalazioni più tempestive di attività sospette, domande più pertinenti sui nuovi strumenti e discussioni più approfondite sui rischi durante le riunioni di pianificazione. Questi segnali sottili indicano una cultura della sicurezza informatica più forte.
Nel prossimo articolo vedremo i passi concreti che possono fare le aziende per adottare un programma di formazione sulla sicurezza informatica che sia adeguata ai ruoli. Nel frattempo puoi contattarci per conoscere le certificazioni CompTIA.
