Cybersecurity awareness: non basta informare i dipendenti, serve allenare comportamenti sicuri

La cybersecurity awareness è la capacità dell’azienda di far riconoscere alle persone i rischi digitali del lavoro quotidiano e di trasformare questa consapevolezza in comportamenti verificabili.

Non è un corso tecnico per trasformare tutti in specialisti IT. Serve a far capire a chi usa email, documenti, gestionali, cloud, smartphone e dati aziendali quali segnali osservare, quando fermarsi e a chi segnalare un dubbio. La tesi è semplice: la tecnologia riduce molti rischi, ma non sostituisce il comportamento delle persone. Un percorso di awareness funziona quando parte dai ruoli reali, non da slide uguali per tutti.

Cos’è la cybersecurity awareness, in termini operativi

La parola “awareness” viene spesso tradotta come consapevolezza, ma in azienda la sola consapevolezza non basta. Sapere che il phishing esiste non significa riconoscere una richiesta credibile di cambio IBAN. Sapere che le password vanno protette non significa usare correttamente l’autenticazione a più fattori. Sapere che i dati personali sono delicati non significa evitare l’invio di un allegato al destinatario sbagliato.

Per questo una buona awareness non si limita a spiegare cosa può succedere. Lavora sul comportamento: cosa guardare, cosa evitare, cosa fare quando qualcosa non torna. Il NIST, nelle indicazioni rivolte alle piccole imprese, richiama la necessità di insegnare ai dipendenti a riconoscere e segnalare tentativi di phishing o sospetti incidenti. Fonte: NIST

La cybersecurity awareness non misura quante persone hanno ascoltato una lezione, ma quante sono più pronte a riconoscere un rischio e ad attivare la procedura giusta. Principio guida Innoform

Perché serve: il rischio non è solo tecnico

Molte aziende partono da una domanda legittima: “Abbiamo già antivirus, firewall, backup e policy. Perché dovremmo formare tutti?”

La risposta è che la sicurezza informatica non vive solo nei sistemi. Vive anche nei gesti quotidiani: aprire un allegato, confermare un pagamento, rispondere a un messaggio urgente, usare un file condiviso, salvare credenziali, autorizzare un accesso, trasferire dati a un fornitore.

Il dato va letto con prudenza, ma è utile per inquadrare il problema: nello Small and Medium-Sized Business Snapshot del Verizon Data Breach Investigations Report 2025, il coinvolgimento dell’elemento umano nelle violazioni resta intorno al 60%. Non significa che la colpa sia dei dipendenti. Significa che persone, procedure e strumenti devono essere progettati insieme. Fonte: Verizon DBIR 2025 SMB Snapshot

Un percorso di awareness non sostituisce controlli tecnici, gestione accessi, backup, monitoraggio o incident response. Riduce però il terreno su cui gli attacchi fanno leva: fretta, fiducia automatica, pressione gerarchica, scarsa chiarezza sulle procedure, confusione tra canali personali e aziendali.

La buona pratica è formare le persone senza spaventarle. L’allarmismo genera attenzione per qualche ora, poi stanchezza. Il metodo genera abitudini.

Cybersecurity awareness e formazione tecnica: la differenza da chiarire

Awareness e formazione tecnica non sono la stessa cosa.

La cybersecurity awareness riguarda tutte le persone che usano strumenti digitali per lavorare. Include amministrazione, HR, commerciale, operations, direzione, assistenza clienti, logistica e personale che usa dispositivi aziendali anche in modo non specialistico. L’obiettivo non è spiegare come configurare un firewall, ma far capire quando una situazione operativa richiede prudenza, verifica o segnalazione.

La formazione tecnica, invece, serve a figure con responsabilità specifiche: IT, sistemisti, amministratori di rete, referenti sicurezza, SOC, incident response, compliance o ruoli che devono applicare controlli, configurazioni e procedure più complesse.

Confondere i due livelli crea due problemi. Se si dà formazione troppo tecnica a tutti, molte persone si disconnettono perché non vedono il legame con il proprio lavoro. Se si dà solo awareness anche ai ruoli tecnici, si lascia scoperto chi deve gestire aspetti più profondi.

Un buon piano formativo separa i livelli, ma li tiene collegati. Le persone non tecniche devono sapere quando segnalare. I referenti tecnici devono sapere come ricevere, classificare e gestire quelle segnalazioni.

Cosa dovrebbe imparare un dipendente

Un dipendente non deve diventare un analista cyber. Deve acquisire criteri pratici.

Nel lavoro quotidiano, questo significa riconoscere richieste insolite, verificare l’identità di chi chiede informazioni o pagamenti, usare in modo corretto password e autenticazione a più fattori, trattare con attenzione allegati e link, gestire i dati personali secondo le policy aziendali, separare strumenti personali e aziendali quando richiesto, capire come comportarsi in smart working o in mobilità.

Il phishing resta uno dei terreni più adatti per spiegare l’awareness perché non arriva solo via email. NIST ricorda che messaggi sospetti possono arrivare anche tramite SMS, social media, telefonate, voicemail, fax o altri canali, spesso con tono urgente o richiesta di azione immediata. Fonte: NIST

Qui la formazione deve essere concreta. Non basta dire “non cliccare link sospetti”. Serve mostrare esempi realistici, distinguere segnali forti e segnali deboli, chiarire cosa fare quando il messaggio arriva da un fornitore noto, da un collega o da un dirigente.

Quando serve davvero un percorso di cybersecurity awareness

Un percorso di cybersecurity awareness serve quando il rischio digitale attraversa più reparti.

Serve se l’amministrazione gestisce pagamenti, IBAN, fatture e fornitori. Serve se HR riceve CV, documenti di identità, certificati, dati sensibili e allegati da persone esterne. Serve se il commerciale scambia offerte, contratti e dati cliente. Serve se la direzione autorizza spese, accede a dashboard o riceve richieste riservate. Serve se operations e logistica usano gestionali, dispositivi mobili, portali fornitori o strumenti cloud.

Serve anche quando l’azienda è cresciuta più velocemente delle sue procedure. Spesso non manca la buona volontà. Mancano istruzioni chiare: chi si avvisa? In che canale? Entro quanto tempo? Cosa non va fatto da soli? Una persona formata ma senza procedura resta esposta, perché deve improvvisare nel momento peggiore.

Per le PMI, ENISA mette a disposizione materiali e guide che toccano temi molto pratici: sicurezza email, malware, furto d’identità, lavoro da remoto e sicurezza durante gli spostamenti. Sono segnali utili perché mostrano che la cultura cyber non è solo questione da grandi aziende o reparti IT strutturati. Fonte: ENISA

Quando NON serve

Un percorso di cybersecurity awareness non serve se viene usato come scorciatoia.

Non serve se l’obiettivo è solo esibire un attestato in caso di audit. L’attestato documenta una partecipazione, non prova da solo che l’azienda abbia cambiato comportamento.

Non serve se il contenuto è identico per tutti. Un amministrativo che gestisce pagamenti, un commerciale che usa CRM e un magazziniere che accede a un palmare non hanno lo stesso rischio. Alcuni concetti sono comuni, ma gli esempi devono cambiare.

Non serve se l’azienda pensa che basti per essere in regola con NIS2, GDPR o altri obblighi. La formazione può essere una componente di governance, ma non sostituisce valutazione dei rischi, misure tecniche, ruoli, procedure, gestione incidenti e documentazione.

Non serve se nessuno misura il risultato. La presenza in aula è un dato organizzativo, non un indicatore di apprendimento.

Non serve se diventa una colpevolizzazione dei dipendenti. Una cultura di sicurezza matura non dice “se sbagli è colpa tua”. Dice “ti metto nelle condizioni di riconoscere, fermarti e segnalare”.

Non serve, infine, se l’IT non è coinvolto. L’awareness crea segnalazioni. Se nessuno le riceve o le gestisce, le persone smettono di segnalare.

Come formare i dipendenti: percorso, non lezione singola

La formazione efficace parte dall’analisi del fabbisogno. Prima di scegliere durata, formato e contenuti, bisogna capire dove il rischio si manifesta: pagamenti, gestione dati, accessi, fornitori, smart working, dispositivi, ruoli apicali, reparti più esposti.

Da lì si costruisce un percorso per livelli. Una base comune può spiegare i concetti essenziali e le regole aziendali. Poi servono moduli per ruolo: amministrazione e frodi sui pagamenti, HR e allegati, direzione e richieste urgenti, commerciale e dati cliente, operations e dispositivi, IT e gestione delle segnalazioni.

Il formato può essere live online, in presenza o on-site. La scelta non dovrebbe dipendere solo dalla comodità, ma dal tipo di interazione richiesta. Se il gruppo deve discutere casi reali, procedure interne e responsabilità, la modalità sincrona aiuta. Se serve coprire molti dipendenti su nozioni base, si può integrare con moduli brevi e verifiche.

Il punto delicato è la continuità. Un’unica sessione può avviare il lavoro, ma difficilmente cambia abitudini radicate. Meglio prevedere richiami, micro-esercitazioni, aggiornamenti periodici e una verifica leggibile.

Nel percorso di sicurezza informatica per dipendenti, l’awareness dovrebbe inserirsi in una logica di metodo: analisi del fabbisogno, progettazione su misura, erogazione, verifica e report.

Asset decisionale: matrice ruolo, rischio, contenuto formativo

Questa matrice aiuta Direzione, HR e IT a decidere dove concentrare la formazione. Non sostituisce una valutazione del rischio, ma dà un primo criterio operativo.

Micro-scenario: la richiesta urgente di cambio IBAN

È venerdì pomeriggio. L’amministrazione sta chiudendo una serie di pagamenti. Arriva un’email da un fornitore conosciuto: tono cortese, firma plausibile, logo corretto, richiesta di aggiornare l’IBAN prima dell’emissione della prossima fattura. Il messaggio non contiene errori evidenti. Anzi, sembra scritto bene.

Senza awareness, la persona potrebbe inoltrare la richiesta al collega o aggiornare il dato nel gestionale, soprattutto se il rapporto con quel fornitore è abituale.

Con un buon percorso, invece, accadono tre cose. La persona riconosce la combinazione tra urgenza, modifica di dati finanziari e richiesta ricevuta via email. Non risponde direttamente al messaggio. Usa un canale separato già previsto dalla procedura, per esempio una telefonata a un contatto verificato o l’apertura di un ticket interno. Se il dubbio resta, coinvolge il referente indicato.

Questo non richiede competenze tecniche avanzate. Richiede una procedura semplice, provata almeno una volta in formazione e sostenuta dall’organizzazione.

Il punto non è insegnare ai dipendenti a sospettare di tutto. È insegnare a sospendere l’automatismo quando un’azione può generare un danno.

Come misurare se l’awareness sta funzionando

La misurazione deve essere proporzionata. Non tutte le aziende hanno bisogno di piattaforme complesse o simulazioni continue. Tutte, però, dovrebbero evitare la formula “abbiamo fatto il corso, quindi siamo a posto”.

Gli indicatori più utili sono quelli che mostrano un cambiamento osservabile. Prima del percorso si può somministrare un test breve per capire il livello iniziale. Dopo il percorso, lo stesso tipo di verifica misura il miglioramento. In parallelo si possono tracciare partecipazione, completamento, domande emerse, casi segnalati e capacità di applicare la procedura in scenari simulati.

Per il phishing, NIST ha sviluppato la Phish Scale, un metodo pensato per chi implementa programmi di phishing awareness e vuole valutare la difficoltà umana di rilevazione di un’email. Questo riferimento è utile perché sposta l’attenzione da “quante persone hanno cliccato” a “quanto era difficile riconoscere quel messaggio”. Fonte: NIST Phish Scale User Guide

Il dato più utile non è solo chi ha cliccato, ma quanto era riconoscibile il messaggio e quale procedura è stata applicata dopo il dubbio. Lettura operativa ispirata alla Phish Scale del NIST

Un report serio per Direzione, HR e IT non deve colpevolizzare i reparti. Deve indicare cosa è stato appreso, dove restano dubbi, quali procedure vanno chiarite e quali ruoli richiedono un approfondimento.

Awareness, NIS2 e compliance: cosa dire senza promettere troppo

La formazione cybersecurity può avere anche un valore di governance, ma va spiegata con precisione.

A livello europeo, la Direttiva NIS2 prevede che gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione del rischio cyber e seguano una formazione, incoraggiando anche una formazione regolare per i dipendenti. Il riferimento è l’articolo 20 della Direttiva (UE) 2022/2555. Fonte: EUR-Lex

In Italia, la Direttiva NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1 ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Fonte: Gazzetta Ufficiale ACN indica inoltre il quadro NIS nazionale e il proprio ruolo di Autorità competente NIS e punto di contatto unico. Fonte: ACN

Questo non significa che ogni azienda sia automaticamente soggetta alla NIS2. Non significa nemmeno che un corso di awareness basti a soddisfare un obbligo. La regola corretta è un’altra: se l’azienda rientra nel perimetro NIS o opera in filiere che richiedono maggiore maturità cyber, la formazione va inserita in un sistema documentato di gestione del rischio.

Per le aziende fuori da obblighi specifici, l’awareness resta una buona pratica. Può aiutare a ridurre errori operativi, rafforzare la cultura interna e rendere più coerente l’uso delle procedure. Ma non va venduta come garanzia di conformità.

Come si inserisce nel percorso Innoform

Un percorso Innoform di cybersecurity awareness dovrebbe partire da una domanda concreta: quali comportamenti vogliamo rendere più sicuri nei prossimi tre o sei mesi?

Da questa domanda discende il metodo. Prima si analizza il fabbisogno: ruoli, strumenti usati, processi esposti, storico di errori o quasi incidenti, presenza di policy e procedure. Poi si progetta il percorso, scegliendo contenuti comuni e moduli specifici. L’erogazione può avvenire online live, in presenza o on-site. La verifica chiude il ciclo con test, esercitazioni, simulazioni o casi guidati. Il report finale restituisce alla direzione non solo chi ha partecipato, ma cosa è emerso.

Il collegamento con la formazione cybersecurity per aziende è naturale: l’awareness è il livello diffuso, mentre altri percorsi possono riguardare risk management, compliance NIS2, hardening, monitoraggio o incident response.

Dove ci sono i requisiti, il percorso può essere valutato anche rispetto al supporto sui fondi interprofessionali. La formulazione corretta è prudente: in molti casi la formazione può ridurre o azzerare il costo per l’azienda, ma dipende da fondo, adesione, requisiti, approvazione e documentazione.

Errori comuni da evitare

Il primo errore è comprare un corso a catalogo e chiamarlo cultura della sicurezza. Può essere utile per una base comune, ma non basta se l’azienda ha reparti, dati e processi molto diversi.

Il secondo errore è parlare solo di minacce. Ransomware, phishing e furto credenziali sono temi importanti, ma una persona cambia comportamento quando capisce cosa deve fare nel proprio contesto.

Il terzo errore è usare un tono punitivo. “Non cliccare” non è una strategia. Una strategia è: riconosci il dubbio, interrompi l’azione, verifica, segnala, ricevi feedback.

Il quarto errore è escludere la direzione. Se i vertici non partecipano, il messaggio implicito è che la sicurezza riguarda solo chi esegue. In realtà molte decisioni ad alto rischio partono proprio da autorizzazioni, priorità, eccezioni e urgenze.

Il quinto errore è non aggiornare il percorso. L’awareness non deve diventare un appuntamento ripetuto in automatico. Ogni ciclo dovrebbe recepire nuovi strumenti, nuove procedure, incidenti evitati, dubbi emersi e cambiamenti organizzativi.

FAQ