Come formare il personale per contrastare gli attacchi informatici

Alcuni studi di cybersecurity affermano che il 66% delle aziende è esposto ad attacchi informatici di varia natura e che, in media, ogni giorno si verificano 25.000 violazioni. Oggi, gli attacchi informatici costituiscono una delle principali minacce del pianeta e il loro costo globale è stato stimato, per l’anno 2021, in circa 8 trilioni di dollari.

Nessuno riesce ad essere immune: privati, piccole imprese, enti pubblici e multinazionali subiscono ogni giorno intrusioni, violazioni, furti di dati e richieste di riscatti. Le conseguenze sono note: interruzione del servizio, danni economici e danni reputazionali. Nei casi peggiori, un attacco informatico può compromettere definitivamente le sorti di un’intera azienda.

Sembrerebbe un fenomeno incontrastabile ma, in realtà, nell’85-90% dei casi l’origine dell’intrusione o della violazione dei sistemi informativi viene riscontrata in comportamenti ingenui e inappropriati delle persone; comportamenti che potrebbero essere evitati attraverso un’adeguata preparazione.

Il personale delle aziende confida molto sul fatto che il reparto IT, attraverso i propri sistemi di sicurezza, possa “impedire l’accesso agli estranei”. Ma, per quanto avanzato possa essere il sistema di sicurezza aziendale, gli attacchi informatici assumono forme sempre diverse e inaspettate.

Certo, le imprese devono dotarsi di appropriate misure di sicurezza, ma l’erogazione di una solida formazione a tutti i dipendenti può fare la differenza.

È una guerra: non basta che le persone abbiano completato i programmi formativi sulla cybersecurity, occorre essere certi che siano realmente preparate a prevenire e affrontare trappole e attacchi del nemico.

Vediamo, dunque, quali possono essere le linee guida e le strategie da adottare per fornire ai dipendenti una solida preparazione.

1. Rendere la formazione sulla cybersecurity obbligatoria e prioritaria

Malgrado gli attacchi informatici possano compromettere il funzionamento dell’intera azienda, non si riesce a comprendere come mai questa materia viene spesso posta in secondo piano rispetto ad altri programmi di formazione aziendale. Dal momento che non è possibile prevedere le modalità dell’attacco, la preparazione di tutti i dipendenti sulla “prevenzione di base” e la conoscenza delle trappole più diffuse è indispensabile.

2. Non accontentarsi

Il completamento del corso e il superamento del classico test finale servono a poco se non testiamo sul campo i comportamenti del personale. In questo settore è necessario fare qualcosa di più rispetto agli standard dei nostri programmi formativi. Ogni realtà aziendale ha le sue peculiarità e, quindi, delle vulnerabilità che meritano un’attenzione specifica. Occorre integrare i contenuti di carattere generale con esemplificazioni e simulazioni che possano replicare il contesto di riferimento.

3. Testare i comportamenti reali

Quando un dipendente svolge un test di apprendimento sulla cybersecurity, ha “le antenne alzate” e, dunque, è probabile che sia molto più diffidente e sospettoso nel valutare situazioni che nella normalità del quotidiano passerebbero inosservate. Per testare i comportamenti reali, i quiz non bastano; occorre fare di più. Possiamo, ad esempio, accordarci con il nostro dipartimento IT affinché predisponga delle simulazioni di attacchi informatici o phishing e valuti le reazioni dei dipendenti. Naturalmente, sulla base dei comportamenti emersi, si procederà allo sviluppo di nuove iniziative formative che possano colmare le falle riscontrate.

4. Non abbassare la guardia: repetita iuvant

Per evitare che il livello di attenzione diminuisca con il passare del tempo, occorre realizzare programmi formativi che riprendano i concetti appresi e introducano nuove tematiche attraverso la formazione continua. Se non vogliamo progettare nuovi percorsi formativi, possiamo comunque mantenere vivo l’interesse per la materia e aggiornare continuamente il personale adottando le soluzioni che più si prestano alla nostra realtà (microlearning, newsletter, piccoli articoli, “how to…”, blog, link e molto altro).

5. Monitorare periodicamente contenuti e competenze

Trattandosi di un contesto in continua evoluzione, oltre ad aggiornare o revisionare i contenuti formativi è importante predisporre un monitoraggio periodico delle competenze, per essere certi che il livello di preparazione del personale sia sempre adeguato.

6. Valutare l’evoluzione del rischio nel tempo

Gli assessment e le simulazioni devono essere aggiornati e ripetuti nel tempo per fornirci un quadro evolutivo del rischio. Ad esempio, possiamo verificare quale percentuale di dipendenti “abbocca” ad una simulazione di phishing effettuata oggi, al termine del programma formativo e tra un anno.

7. Investire sulla preparazione degli esperti interni

Gli esperti interni di cybersecurity, naturalmente, sono le persone che possono fornire all’azienda preziose indicazioni sulle misure di sicurezza più appropriate per combattere i crimini informatici. Ma la loro preparazione può diventare rapidamente obsoleta. Sulla preparazione di queste persone è inopportuno risparmiare!

8. Affidarsi a fornitori qualificati

La formazione sulla cybersecurity non può, per sua natura, essere gestita solo internamente. Occorre che venga affidata a fornitori che abbiano una visione globale e sempre aggiornata sui potenziali rischi e sulle possibili azioni di contenimento.

Per concludere, possiamo dire che il settore dei crimini informatici, purtroppo, è in continua evoluzione e non è possibile prevedere tutte le iniziative criminali. Tuttavia, con una attenta ed efficace formazione del personale, possiamo quantomeno limitare il rischio e sventare gli attacchi effettuati modalità già note.