Formazione cybersecurity: cosa deve sapere un’azienda per proteggere dati e processi

La formazione cybersecurity insegna alle persone a riconoscere, gestire e segnalare i rischi digitali dentro il lavoro di tutti i giorni: email, password, documenti, dati personali, pagamenti, fornitori, dispositivi, accessi. Non sostituisce firewall, backup, consulenza IT o policy. Serve a far funzionare meglio tutto il resto.

Il punto è abbastanza semplice. Dati e processi non vengono esposti soltanto da un problema tecnico. Il più delle volte il rischio passa da una scelta normale, fatta in fretta: si apre un allegato, si conferma un IBAN, si manda un file al destinatario sbagliato, si riusa la stessa password su tre servizi diversi. Una buona formazione non colpevolizza nessuno. Mette le persone nelle condizioni di fermarsi, verificare e sapere a chi rivolgersi.

Principio guida. Una formazione utile non chiede alle persone di diventare tecnici. Chiede all’azienda di trasformare i rischi in comportamenti chiari, praticabili e verificabili.

Cosa significa davvero, in azienda

In azienda la formazione cybersecurity non è una lezione generale su hacker e malware. È un percorso costruito per ridurre gli errori prevedibili nei punti in cui le persone usano strumenti digitali, accedono a dati, autorizzano attività o gestiscono comunicazioni con l’esterno.

La differenza si vede subito. Un corso generico spiega che il phishing esiste. Un percorso costruito bene mostra cosa succede quando l’amministrazione riceve una richiesta urgente da un fornitore abituale, quando HR apre il CV in allegato di un candidato che nessuno ha mai sentito, quando un commerciale carica un elenco clienti su una piattaforma cloud personale, o quando la direzione riceve una richiesta di autorizzazione che sembra del tutto ordinaria.

Il NIST, nella pubblicazione SP 800-50 Rev. 1 del settembre 2024, descrive i programmi di apprendimento su cybersecurity e privacy come percorsi da gestire lungo un ciclo di vita, orientati al cambiamento dei comportamenti, alla costruzione di una cultura della sicurezza, all’uso di metriche e al miglioramento continuo. È una guida nata per le agenzie federali statunitensi, ma l’impianto è pensato per essere adattato a organizzazioni di dimensioni diverse — ed è esattamente il punto che interessa a un’impresa: non “fare formazione”, ma ottenere comportamenti che restano.

Per questo la prima domanda da porsi non è quante ore dura il corso. È un’altra: quali decisioni sbagliate vogliamo rendere meno probabili, e in quali processi.

Perché dati e processi non si proteggono solo con la tecnologia

La tecnologia serve, e non è opzionale. Backup, autenticazione a più fattori, filtri email, gestione degli accessi, monitoraggio: senza questi strumenti si parte già in svantaggio. Però la tecnologia non copre l’ultimo metro.

C’è sempre un momento in cui qualcuno deve decidere. L’email è credibile? L’allegato si apre? Quel link porta davvero al gestionale o a una copia? Il file con i dati personali può passare da quel canale? La richiesta di pagamento è coerente con la procedura interna? La password si può salvare nel browser del PC condiviso in reception?

Il quadro delle PMI europee è noto da tempo. Nel report Cybersecurity for SMEs del 2021, ENISA individuava tra gli incidenti più frequenti ransomware, dispositivi sottratti, phishing e frodi del CEO, e segnalava difficoltà ricorrenti: budget di sicurezza limitato, mancanza di competenze interne, aumento degli attacchi. Da allora il quadro si è irrigidito. Nel Threat Landscape 2025 la stessa agenzia indica il phishing come principale vettore di accesso iniziale, con circa il 60% dei casi osservati, e segnala il peso ormai dominante delle campagne di social engineering costruite con il supporto dell’intelligenza artificiale — email senza errori di traduzione, contesto plausibile, tempi di risposta rapidi.

Il che non significa che ogni azienda debba diventare un reparto di cybersecurity. Significa che la formazione deve entrare dove il rischio incontra il lavoro reale. Se le procedure restano scritte in un documento che nessuno apre, sotto pressione non le applica nessuno.

Cosa deve includere un percorso serio

Si parte da una base comune. Tutti dovrebbero riconoscere i segnali principali di phishing e social engineering, usare correttamente password e autenticazione, capire perché gli allegati sono un punto critico, sapere come trattare dati personali e documenti aziendali, proteggere i dispositivi e — non è un dettaglio — segnalare un’anomalia senza il timore di aver fatto una figuraccia.

Poi arriva il secondo livello, quello per ruolo. L’amministrazione non corre gli stessi rischi di HR, la direzione non ha lo stesso profilo di esposizione di un commerciale, e l’IT ha obiettivi formativi diversi da chi lavora in produzione.

Per l’amministrazione il tema centrale è di solito la frode nei pagamenti: cambio IBAN, urgenze artificiali, comunicazioni che imitano un fornitore reale, fatture allegate. Per HR il rischio arriva da CV, documenti d’identità, dati particolari, archivi compressi, piattaforme di recruiting. Per la direzione il tema è la governance: chi autorizza, chi verifica, cosa resta tracciato, quali eccezioni non si concedono nemmeno quando c’è fretta.

In tutti i casi servono quattro elementi: casi realistici, una procedura da seguire, una verifica dell’apprendimento e un canale di segnalazione. Senza questi pezzi resta una lezione interessante che non produce effetti nel momento in cui arriva la richiesta sospetta.

Regola pratica. Un dipendente formato non deve intuire cosa fare. Deve riconoscere il dubbio e avere una procedura semplice per gestirlo.

Il punto normativo: GDPR e NIS2, senza promesse facili

Su questo punto conviene essere precisi, perché è quello in cui si dicono più imprecisioni. La formazione cybersecurity ha rilevanza normativa, sì. Ma nessun corso, da solo, mette un’azienda in regola.

Partiamo dal GDPR. L’articolo 32 chiede a titolare e responsabile del trattamento misure tecniche e organizzative adeguate al rischio, e cita, dove appropriato, riservatezza, integrità, disponibilità e resilienza dei sistemi, insieme a procedure per testare e valutare periodicamente l’efficacia di quelle misure. Nello stesso articolo c’è un passaggio che spesso viene letto di sfuggita: chi agisce sotto l’autorità del titolare o del responsabile e ha accesso a dati personali non deve trattarli se non è stato istruito in tal senso. Istruito. Non semplicemente autorizzato.

Questo non significa che un attestato risolva la questione. Significa che la formazione può essere una delle misure organizzative dentro un impianto più ampio, fatto di policy, autorizzazioni, accessi minimi, gestione degli incidenti, istruzioni scritte e controlli.

Sulla NIS2 il quadro è più stringente, e negli ultimi due anni è diventato anche molto più operativo. Il D.Lgs. 138/2024, all’articolo 23, mette in capo agli organi di amministrazione e direttivi dei soggetti essenziali e importanti due cose: seguire una formazione in materia di sicurezza informatica e promuovere periodicamente una formazione analoga per i dipendenti, così che sappiano riconoscere i rischi e valutare le pratiche di gestione adottate.

Il vero cambio di passo, però, è arrivato dopo il decreto. Con la determinazione 164179 del 14 aprile 2025, poi aggiornata dalla 379907 del dicembre 2025, l’Agenzia per la Cybersicurezza Nazionale ha definito le misure di sicurezza “di base” per i soggetti nel perimetro, agganciandole al Framework Nazionale per la Cybersecurity e la Data Protection. Dentro quelle misure la formazione non compare come raccomandazione generica. La sottocategoria dedicata a consapevolezza e formazione richiede un piano formativo sulla sicurezza informatica del personale, organi di amministrazione e direttivi compresi, che sia definito, attuato, aggiornato e documentato, con la pianificazione delle attività, l’indicazione dei contenuti erogati e le eventuali modalità di verifica dell’acquisizione.

Detto in modo diretto: non basta aver formato le persone. Bisogna essere in grado di far vedere che cosa è stato erogato, a chi, con quali contenuti e con quale verifica. Chi ha già affrontato un’ispezione su altri fronti sa quanto pesi la differenza tra “l’abbiamo fatto” e “ecco il piano, il registro e gli esiti dei test”.

Ci sono anche date. Per chi è finito nell’elenco NIS nel 2025, le misure di base vanno adottate entro il 31 ottobre 2026. Per chi ci è entrato per la prima volta nel 2026, la determinazione 127434/2026 ha previsto un calendario differito, con l’adozione delle misure spostata al 31 luglio 2027 e scadenze intermedie per la designazione del referente CSIRT e per l’avvio degli obblighi di notifica.

Resta la distinzione di fondo, ma con un peso diverso rispetto a due anni fa. Per i soggetti nel perimetro la formazione è parte di un sistema di governance con responsabilità personali, evidenze documentali e termini certi. Per le aziende fuori perimetro rimane una buona pratica organizzativa, con un’avvertenza che conviene non ignorare: la sicurezza della catena di approvvigionamento è tra le misure previste, e questo significa che molti fornitori formalmente fuori dal perimetro si vedono comunque arrivare requisiti di sicurezza e di formazione per via contrattuale, dai clienti che dentro ci sono. Capita sempre più spesso in fase di qualifica fornitore o di rinnovo del contratto.

Un ultimo riferimento, che riguarda ormai quasi tutti. Dal 2 febbraio 2025 è applicabile l’articolo 4 dell’AI Act (Regolamento UE 2024/1689): fornitori e utilizzatori professionali di sistemi di intelligenza artificiale devono adottare misure per garantire un livello sufficiente di alfabetizzazione del proprio personale, proporzionato a competenze, esperienza e contesto d’uso. Vale anche per l’azienda che ha semplicemente lasciato entrare un assistente generativo nei flussi di lavoro quotidiani. Non è cybersecurity in senso stretto, ma tocca gli stessi processi — documenti, dati, comunicazioni — e conviene pianificare le due cose insieme, invece di rincorrerle separatamente.

A chi serve: tutti i dipendenti o solo alcuni ruoli?

A tutti, ma non nello stesso modo.

La base comune serve a chiunque usi email, credenziali, file, gestionali, dispositivi o strumenti cloud. Anche un profilo non tecnico può diventare il punto di ingresso di un problema, non per negligenza, ma perché lavora dentro un flusso digitale come tutti gli altri.

Poi ci sono i ruoli che richiedono moduli mirati. Chi gestisce pagamenti e fornitori deve saper riconoscere le manipolazioni procedurali, non solo le email scritte male. Chi tratta dati personali deve conoscere istruzioni operative e limiti di condivisione. Chi autorizza spese deve capire quando l’urgenza è essa stessa un segnale. E chi amministra sistemi, accessi o configurazioni ha bisogno di una formazione tecnica vera, collegata a hardening, monitoraggio e risposta agli incidenti.

HR merita un discorso a parte. Non è solo destinatario della formazione: spesso è la funzione che può coordinare il piano, raccogliere i fabbisogni, gestire la partecipazione e aiutare la direzione a leggere i risultati. Con le misure ACN che chiedono un piano documentato, questo ruolo di regia diventa ancora più concreto. L’IT, dal canto suo, non andrebbe lasciato solo: può indicare rischi e priorità tecniche, ma la formazione produce effetti solo quando i responsabili di processo accettano di cambiare procedure, tempi e abitudini.

Quando NON serve

C’è un caso in cui la formazione cybersecurity è quasi inutile, ed è quando viene usata per coprire un problema che l’azienda ha deciso di non affrontare.

Se l’obiettivo è l’attestato, tanto vale dirselo. Un attestato documenta la partecipazione e in certi contesti serve. Non dimostra che l’amministrazione sappia gestire una richiesta di cambio IBAN arrivata alle 17:40 di un venerdì.

Poi c’è il caso dell’azienda senza procedure. Se nessuno sa a chi inoltrare un’email sospetta, chi autorizza una modifica ai dati di pagamento di un fornitore, come si revoca l’accesso di una persona che se ne va o cosa fare quando sparisce un portatile, il corso finisce per insegnare comportamenti che poi nella pratica non hanno un binario. Meglio scrivere due procedure minime prima, anche brutte, e formare dopo.

Un modulo uguale per tutti può reggere come base iniziale, e per una micro-impresa spesso è il punto di partenza realistico. Diventa un problema quando lo si usa come risposta unica anche per direzione, amministrazione, HR e IT, che vivono esposizioni diverse e hanno bisogno di esempi diversi.

Poi c’è la formazione che serve a spostare la responsabilità sui dipendenti. È riconoscibile dal tono: “state più attenti”. La cultura della sicurezza non nasce così. Nasce quando l’organizzazione rende semplice fare la cosa giusta anche quando c’è fretta — e quando segnalare un dubbio non costa una figuraccia.

Nessun percorso formativo elimina il rischio, e chi lo promette è il primo campanello d’allarme. Riduce errori prevedibili, fa emergere segnalazioni utili, migliora l’applicazione delle procedure. Non azzera nulla.

Infine: se non viene misurata, la direzione vede soltanto presenze. E le presenze, da sole, non raccontano se l’azienda è più preparata di sei mesi fa.

Matrice decisionale: che formazione serve alla tua azienda?

La matrice aiuta a scegliere il livello di formazione più adatto. Non sostituisce l’analisi del fabbisogno, ma evita l’errore più comune: partire dal catalogo invece che dai rischi.

La lettura è questa: più il ruolo può generare impatto su dati, denaro, accessi o continuità operativa, più la formazione deve diventare concreta, specifica e documentata.

Micro-scenario: la richiesta urgente di cambio IBAN

Arriva un’email da un fornitore abituale. Logo corretto, tono professionale, firma della persona giusta. Si chiede di aggiornare l’IBAN per il pagamento della prossima fattura, con una nota in coda: abbiamo urgenza di chiudere entro oggi.

La persona in amministrazione non è sprovveduta. Ha già visto email sospette, sa benissimo che il phishing esiste. Il problema è che questa arriva dentro un processo reale, in una giornata piena, con una scadenza vicina e un fornitore conosciuto da anni.

Una formazione generica direbbe: attenzione alle email sospette. Una formazione utile lavora sul processo. Nessun cambio IBAN si accetta via email senza una verifica su un canale già noto — il numero che avevamo prima, non quello scritto nella firma. L’urgenza non accorcia la procedura, semmai la rende più necessaria. Il referente interno è identificato e reperibile. E la segnalazione non viene vissuta come una perdita di tempo per tutti.

È qui che la formazione protegge davvero dati e processi. Non perché renda le persone infallibili, ma perché toglie ambiguità proprio nei momenti in cui l’errore è più probabile.

Come misurare se la formazione ha funzionato

La partecipazione è la misura minima, e da sola dice poco. Sapere che il 100% dei dipendenti ha completato il modulo dice che il percorso è stato erogato, non che sia servito.

Serve qualcosa in più: test prima e dopo, esercitazioni su casi realistici, domande differenziate per ruolo, analisi degli errori che si ripetono e, dove ha senso, simulazioni controllate di phishing. Il NIST insiste proprio su questo: metriche e metodi di valutazione servono ad aggiornare il programma nel tempo, non a produrre un voto finale. Per i soggetti NIS c’è un motivo in più, visto che le modalità di verifica dell’apprendimento rientrano tra gli elementi da prevedere nel piano.

Gli indicatori devono essere leggibili anche da chi non fa questo mestiere: percentuale di completamento, risultati medi per reparto, capacità di riconoscere email sospette, numero e qualità delle segnalazioni, errori più frequenti nei casi pratici, aderenza alle procedure di verifica, richieste di chiarimento emerse durante il percorso.

Un dato va interpretato con attenzione: se le segnalazioni aumentano subito dopo la formazione, non è un peggioramento. Di solito vuol dire che le persone hanno capito che segnalare un dubbio fa parte del lavoro, e non è un disturbo per l’IT.

Come Innoform costruisce il percorso

Non si parte dalle slide. Si parte dall’analisi del fabbisogno: ruoli, strumenti in uso, dati trattati, processi esposti, incidenti e quasi-incidenti già avvenuti, vincoli organizzativi, modalità di erogazione sostenibili per quell’azienda.

Da lì si costruisce il piano: base comune per tutti, moduli dedicati ai ruoli più esposti, workshop per direzione e responsabili quando serve, verifiche finali e report. La modalità — aula, on-site, live online, e-learning — si sceglie in funzione delle persone e degli obiettivi, non per abitudine.

Per le aziende nel perimetro NIS2 il lavoro comprende anche la parte documentale: piano formativo, contenuti, tracciamento della partecipazione, esiti delle verifiche. Sono gli elementi che poi vanno mostrati, e prepararli a posteriori è sempre più faticoso che impostarli bene all’inizio.

Se cerchi un percorso operativo, il riferimento è la sicurezza informatica per dipendenti. Se invece il bisogno tocca più reparti e livelli di responsabilità, è più adatto un piano formativo su misura.

Vale infine la pena valutare la finanziabilità del percorso tramite fondi interprofessionali, quando l’azienda ha i requisiti e il piano è coerente con le regole del fondo. Qui il condizionale è d’obbligo: la formazione può essere finanziabile, non è gratuita né garantita. Se ne parla caso per caso, partendo dalla formazione finanziata per aziende.

Errori comuni da evitare

Comprare un corso uguale per tutti. È comodo, veloce, spesso costa poco. Il rischio è che non parli a nessuno: troppo tecnico per il commerciale, troppo elementare per l’IT, troppo lontano dai processi reali per chiunque.

Confondere compliance e sicurezza. Una formazione produce evidenze utili — e con le misure di base ACN quelle evidenze sono richieste esplicitamente. Ma non sostituisce analisi del rischio, misure tecniche, procedure, responsabilità e monitoraggio. Vale per il GDPR, vale a maggior ragione per chi è nel perimetro NIS2.

Colpevolizzare le persone. Chi clicca su un link non è automaticamente il problema. Spesso il problema sta a monte: una procedura che non esiste, un carico di lavoro che non lascia margine per verificare, un canale di segnalazione poco chiaro, o una cultura interna che premia la velocità sulla verifica. Il dipendente che clicca è il sintomo, raramente la causa.

Lasciare fuori la direzione. Se i vertici saltano le procedure quando hanno fretta, autorizzano eccezioni o trattano la cybersecurity come materia dell’IT, il messaggio formativo si svuota nel giro di poche settimane. Vale anche al contrario: un amministratore delegato che segue il percorso insieme agli altri sposta il clima più di qualunque slide.

Non aggiornare gli esempi. Cambiano le minacce, ma cambiano soprattutto gli strumenti: nuove piattaforme cloud, lavoro ibrido, fornitori diversi, automazioni, AI generativa usata quotidianamente e spesso senza regole scritte. Un percorso fermo a qualche anno fa risulta formalmente presente e operativamente debole.

FAQ