È ottobre, e ciò significa che numerose aziende stanno celebrando il Mese della sensibilizzazione sulla sicurezza informatica ( ) con la solita routine: i dipendenti accedono ai portali, guardano video animati o presentazioni e rispondono a quiz su e-mail di phishing. Tali procedure hanno lo scopo di rendere più sicure le reti e i dati.
E la realtà? Non funziona.
Le ricerche dimostrano che questo approccio comune è insufficiente e gli esperti raccomandano una profonda revisione del processo di formazione — che comprenda lo sviluppo delle competenze e un coinvolgimento costante — al fine di migliorare il riconoscimento e la segnalazione di truffe di phishing di tipo “ ” (sempre più alimentate dall’intelligenza artificiale), di compromissione delle e-mail aziendali e altre attività sospette.
Un recente studio condotto dall’UC San Diego Health ha messo in luce in modo inequivocabile i limiti del vecchio approccio. Circa 20.000 dipendenti hanno ricevuto otto serie di e-mail di phishing simulate nell’arco di otto mesi. Alcuni di coloro che hanno abboccato all’esca e hanno cliccato su un link di phishing incorporato sono stati reindirizzati a materiale formativo sull’anti-phishing e informati di essere caduti nella trappola di un’e-mail di phishing simulata, mentre altri, il gruppo di controllo, sono stati reindirizzati a una pagina senza uscita 404 (errore “Pagina non trovata”). Dopo aver ripetuto il test per verificare se i dipendenti avrebbero nuovamente cliccato sulle esche di phishing, il tasso di insuccesso dei dipendenti “formati” è risultato migliore solo del 1,7% rispetto a quello dei dipendenti che non avevano ricevuto alcuna formazione.
Una spiegazione? La maggior parte delle persone ha chiuso le pagine di formazione pochi secondi dopo averle ricevute. Più di un terzo non ha nemmeno guardato.
«È emerso che molte persone non dedicano tempo alla formazione», ha affermato Ariana Mirian, coautrice e attualmente ricercatrice senior in materia di sicurezza presso Censys. «In sostanza, la pagina si è aperta e loro l’hanno chiusa, il che fa supporre che in realtà non stessero seguendo la formazione.»
Formazione in materia di sicurezza per i dipendenti: la causa principale (e la storia) del problema
Tale approccio è rimasto pressoché immutato negli ultimi due decenni, nonostante il volume delle e-mail, la sofisticazione delle truffe e la tecnologia sottostante siano tutti aumentati in modo esponenziale.
“È come se a ogni organizzazione venisse consegnata una confezione di pillole che, secondo quanto affermato, risolverebbe i loro problemi di phishing. Continuano a prescriverli, ma… in realtà non individuano il vero problema.”Arun Vishwanath, consulente in materia di sicurezza e autore della guida anti-phishing *The Weakest Link*
Nel 2007, i cadetti di West Point che avevano seguito corsi sul phishing erano ancora altrettanto inclini a cadere vittime di truffe alcuni giorni dopo. Nel 2009, i ricercatori della Carnegie Mellon hanno riscontrato che i consigli anti-phishing inviati via e-mail venivano ignorati, mentre le lezioni integrate hanno dato risultati solo leggermente migliori. E nel 2022, l’ , l’Istituto Nazionale di Standard e Tecnologia (NIST ) ha concluso che la maggior parte dei programmi di sensibilizzazione «non riesce a produrre miglioramenti significativi e a lungo termine nei comportamenti relativi alla sicurezza».
In particolare, l’ NIST e ha contribuito a consolidare proprio quelle pratiche che criticava. Le sue linee guida esortano le organizzazioni a realizzare programmi di sensibilizzazione e raccomandano lo svolgimento di simulazioni di phishing seguite da attività di formazione. Molti responsabili della sicurezza informatica (CISO) si attengono di default a tali linee guida, partendo dal presupposto che NIST sappia cosa è meglio, nonostante gli attacchi di phishing siano aumentati del 202% nella seconda metà del 2024 e nonostante vi siano prove che suggeriscano che tali metodi siano difettosi.
«I CISO si attengono alle linee guida dell’ NISTe e ad altre norme standard perché non hanno tempo per fare molto altro», ha affermato Arun Vishwanath, consulente di sicurezza e autore di * * e *The Weakest Link: How to Diagnose, Detect, and Defend Users from Phishing*. «È come se a ogni organizzazione venisse consegnata una confezione di pillole che, secondo quanto le è stato detto, risolverà i suoi problemi di phishing.» Continuano a prescriverli, ma così facendo non individuano realmente il problema. Pertanto, non possono assolutamente risolverlo. «Senza una diagnosi, si finisce per generalizzare il problema.»
Vishwanath ritiene che accademici, fornitori e organizzazioni debbano dedicare più tempo all’analisi di e dei motivi per cui gli utenti cliccano in primo luogo su. La sua ricerca individua come cause principali le abitudini, le scorciatoie e la fiducia riposta in modo errato . Le persone gestiscono le e-mail in modo automatico, si affidano a rapidi indizi visivi come loghi o nomi familiari e spesso mettono da parte i propri sospetti quando sono distratte.
Senza affrontare tali comportamenti di fondo, la formazione non potrà mai modificare i risultati, ha affermato.
Employee security training 2,0 goes beyond compliance theater
Per affrontare tali comportamenti è necessario, in parte, rivoluzionare la formazione stessa: è proprio questo l’obiettivo che si è prefissato un recente studio del MITRE intitolato “ ” ( ).
Redatto dai ricercatori Deanna Caputo, Lura Danley e Nathaniel Ratcliff, l’articolo 2024 ha esaminato le “suggestioni malevole”, una forma sofisticata di ingegneria sociale che utilizza conversazioni ordinarie per estrarre informazioni sensibili. I dipendenti sono stati suddivisi in due gruppi: uno ha seguito una formazione tradizionale incentrata sulla sensibilizzazione, mentre l’altro ha partecipato a un nuovo modello basato sulle competenze. Anziché utilizzare delle diapositive, il gruppo di formazione si è esercitato a individuare conversazioni sospette in contesti realistici e ha ricevuto un feedback. È emerso che la formazione professionale ha migliorato la capacità di individuazione e segnalazione, con effetti che sono durati almeno un anno.
Il modo in cui viene impartita la formazione è importante. Negli ultimi anni, le aziende specializzate nella formazione in materia di sicurezza hanno cercato di migliorare la propria offerta realizzando video formativi più coinvolgenti , caratterizzati da una narrazione cinematografica degna di Netflix e da effetti speciali. Anche la questione della “frequenza” è importante, ha affermato Lance Spitzner, direttore della formazione in materia di sicurezza informatica per il personale presso il SANS Institute.
«L’errore più comune è quello delle organizzazioni che organizzano un corso di formazione una volta all’anno e pensano di aver fatto il loro dovere», ha affermato. «Questo non funziona.»
Ciò che funziona, ha affermato, è l’impegno costante. Breve, semplice, nel corso del tempo. Podcast, infografiche, microvideo, simulazioni di phishing. «Deve far parte della cultura», ha affermato Spitzner.
“Una volta e basta” non significa “basta”: le nuove norme relative alla formazione in materia di sicurezza dei dipendenti
La formazione deve inoltre rispecchiare la realtà del lavoro quotidiano, in cui i dipendenti hanno spesso questioni più urgenti a cui pensare piuttosto che attenersi a misure di sicurezza ragionevoli, ha avvertito Spitzner.
«Ho un cliente che riceve da 400 a 500 e-mail ogni settimana», ha affermato Vishwanath. «Chiedere a una persona di imparare a esaminare tutte queste e-mail e a individuare ogni singolo caso di phishing è davvero troppo.»
I clic accidentali sono inevitabili e non dovrebbero mai comportare alcuna sanzione. In alcune organizzazioni, è così. Un programma efficace, ribatte Spitzner, incoraggia la trasparenza, considera gli errori come opportunità di apprendimento e, , rende i dipendenti partner nella difesa.
«Nessuno dovrebbe essere rimproverato», ha affermato. «Una parte importante della sensibilizzazione alla sicurezza consiste nel creare una cultura in cui le persone si sentano libere di segnalare gli errori, qualora dovessero verificarsi.» «Non è opportuno adottare un approccio punitivo.»
Inoltre, non è consigliabile affidarsi esclusivamente alla formazione. Anche ai dipendenti con un buon livello di istruzione capita di trascurare alcune cose. Prenda quel signore sommerso da centinaia di e-mail.
«Nessun tipo di formazione potrà contribuire a ridurre tale carico», ha affermato Vishwanath. «Ha assolutamente bisogno di un supporto tecnico per ridurre l’attrito e il carico cognitivo.»
L’importanza della tecnologia: perché la formazione sulla sicurezza dei dipendenti va oltre la semplice formazione
La tecnologia deve supportare i lavoratori con strumenti quali l'autenticazione a più fattori (MFA) , filtri antispam efficaci e il rilevamento delle anomalie .
La formazione dovrebbe costituire uno dei livelli di una strategia di difesa a più livelli, non il fondamento, ha affermato. I sistemi dovrebbero essere progettati tenendo conto della fallibilità umana. Non si dovrebbe partire dal presupposto che i dipendenti individuino sempre la minaccia, bensì che alcuni potrebbero non accorgersene e che il sistema provvederà a contenere il danno.
Tale esigenza progettuale non ha fatto che rafforzarsi con l’avvento dell’intelligenza artificiale generativa . Le e-mail di phishing sono ormai scritte in modo fluente, persuasive e poco costose da produrre su larga scala. Gli attacchi si stanno inoltre spostando verso nuovi canali: messaggi di testo, telefonate (, phishing vocale, noto anche come “vishing”), e persino voci deepfake che si spacciano per i colleghi e i superiori di un dipendente.
Il problema del Mese della sensibilizzazione alla sicurezza informatica
A che punto si trova, quindi, il Mese della sensibilizzazione sulla sicurezza informatica? Di per sé, questa ricorrenza annuale rischia di rafforzare la mentalità del “spuntare le caselle”. Si rispolverano i moduli di formazione, si aggiornano i registri di conformità e le organizzazioni si rassicurano sul fatto di essere più sicure. Poi, a novembre, si torna alla normalità e la formazione in materia di sicurezza non viene sottoposta a un esame approfondito per un anno.
”L’errore più comune è quello delle organizzazioni che organizzano un corso di formazione una volta all’anno e ritengono di aver adempiuto al proprio dovere. Questo non funziona.”Lance Spitzner, direttore del programma di formazione sulla sicurezza informatica per il personale presso il SANS Institute
Quella routine non è più sufficiente. I ricercatori sollecitano sempre più spesso che la formazione venga sostituita o integrata con approcci basati sulle competenze, da attuare in modo continuativo durante tutto l’anno. Questo approfondimento, da effettuare ogni poche settimane o mesi, consentirà ai dipendenti di fare pratica, ricevere un riscontro e consolidare quanto appreso. Sostengono che debba essere un processo continuo, articolato in piccole parti e integrato nei flussi di lavoro quotidiani. I dipendenti dovrebbero essere incoraggiati a segnalare gli errori, anziché essere puniti per essi. Inoltre, le organizzazioni dovrebbero trovare un equilibrio tra la formazione del personale e misure di tutela sistemiche più solide.
Tale cambiamento avverrà solo quando i contesti si evolveranno, ha affermato Vishwanath.
«Finché NIST continuerà a consigliare alle persone di seguire corsi di formazione sulla sensibilizzazione al phishing, i CISO continueranno ad acquistarli», ha affermato. «È più facile seguire la lista di controllo.»
A onor del vero, per quanto riguarda “ NIST”, non c’è nulla di sbagliato in una lista di controllo, di per sé. La vera sfida, sostengono gli esperti, consiste nel liberarsi da quella mentalità basata su una lista di controllo in stile “ ” e nel considerare la sicurezza come una pratica in continua evoluzione.
«Un buon addestramento è un processo continuo. «È una questione culturale», ha affermato Spitzner. «Non si tratta di perfezione. “Si tratta di migliorare.”
