Queste non sono certo le recensioni che ci si aspetterebbe di sentire dai dipendenti riguardo a un video formativo obbligatorio sulla sensibilizzazione alla sicurezza.
“Divertente ed emozionante!!!”
“Una narrazione eccellente.”
«Intenso.»
Sono stati espressi numerosi commenti positivi riguardo a una serie di filmati prodotta da Living Security, azienda leader nella realizzazione di contenuti dedicati alla gestione dei rischi legati alle persone. Più simile a “ ” e alla serie “ ” di Bourne che a un noioso tutorial aziendale, “Born Secure: Training Grounds” segue le avventure di Jacob Webb, un normale impiegato trasformato in un operatore informatico d’élite, reclutato in stile “ ” e “Matrix”da una squadra di super-hacker etici che operano in segreto. Nel trailer della serie, mentre risuona una musica minacciosa, vediamo Jacob scrutare con sospetto una telecamera di sicurezza. Qualcuno sta correndo, una sedia si ribalta, i droni ronzano in alto nel cielo e Jacob irrompe da una porta di sicurezza alla luce accecante del sole.
È ben lontano dalla tipica noiosa presentazione in PowerPoint che rischia di suscitare al massimo qualche occhiata di disapprovazione, piuttosto che portare a cambiamenti concreti nel comportamento in ufficio.
Adottata dal 97% delle organizzazioni , la formazione sulla consapevolezza in materia di sicurezza troppo spesso si limita a utilizzare contenuti fine a se stessi, e tale approccio non funziona, afferma Drew Rose, fondatore, CSO e responsabile dello sviluppo strategico presso Living Security. «Era solo per spuntare una casella», afferma Rose. Il dipendente ha svolto l’incarico, ma il suo coinvolgimento si è limitato a questo. Tali sessioni svolte in modo superficiale non solo sono noiose — e quindi inefficaci, secondo gli analisti — ma mancano anche di parametri di valutazione che consentano di stabilire se i partecipanti abbiano effettivamente appreso qualcosa.
«La formazione e lo sviluppo raggiungono la massima efficacia quando vengono offerti attraverso simulazioni continue e coinvolgenti di situazioni di crisi reali», spiega Bec McKeown, direttrice del dipartimento di scienze umane presso Immersive Labs, un centro di formazione con sede nel Regno Unito e uffici a Boston, che verifica e misura le competenze informatiche e la resilienza della forza lavoro.
La speranza è che, rendendo tali contenuti formativi divertenti e interattivi, i datori di lavoro possano stimolare i dipendenti a discutere della sessione di formazione durante le pause e incoraggiarli a prendere più sul serio la sicurezza informatica.
Gli esseri umani rappresentano l’anello più debole
È ormai da tempo riconosciuto che le persone rappresentano l’anello più debole nella difesa informatica di un’organizzazione, ma una formazione adeguata può contribuire a porre rimedio a questa situazione: aumentando la consapevolezza e la vigilanza nei confronti dei potenziali rischi, migliorando il morale e facendo sì che i dipendenti si sentano più preparati riguardo al proprio ruolo nella strategia complessiva di sicurezza informatica dell’organizzazione.
«. L’apprendimento e lo sviluppo raggiungono la massima efficacia quando vengono offerti attraverso simulazioni continue e coinvolgenti di situazioni di crisi reali.»Bec McKeown, direttrice del dipartimento di scienze umane presso Immersive Labs
«Le aziende stanno prendendo sempre più coscienza del fatto che i propri strumenti e le proprie tecnologie non sono più sufficienti a garantire la resilienza; le capacità dei singoli e dei team sono altrettanto importanti», afferma il dott. John Blythe, psicologo abilitato e direttore del dipartimento di psicologia della forza lavoro nel settore informatico presso Immersive Labs. «Molti dipendenti provano stanchezza a causa di presentazioni noiose, mentre altri sono sfiniti dai corsi di e-learning ormai triti e ritriti che seguono clic dopo clic, senza imparare nulla nonostante le ore di formazione.»
E il problema, a quanto pare, ha origine prima di quanto si possa pensare.
Spesso i lavoratori sono già scoraggiati all’idea di seguire corsi di formazione sulla sicurezza informatica, ancor prima di assistere a quelle presentazioni noiose e di seguire quei corsi di e-learning. Tutto ha inizio con il divario esistente tra i dipendenti del settore tecnologico e quelli degli altri settori all’interno dell’azienda.
Rose ammette che nel mondo della tecnologia alcuni tendono a considerare i colleghi che non provengono da quel settore come meno esperti e informati. Se i dipendenti non esperti di tecnologia non si sentono rispettati, è meno probabile che si rivolgano ai team IT e di sicurezza in caso di problemi.
Poiché gli utenti finali hanno un impatto così rilevante sul rischio aziendale, secondo gli esperti è necessario impegnarsi maggiormente nella costruzione di relazioni tra il settore tecnologico e quello non tecnologico. In quest’ottica, i dirigenti aziendali stanno ricorrendo a tecniche quali la gamification e i concorsi con premi molto allettanti, al fine di avvicinare le due parti, migliorare la comunicazione e, nel lungo periodo, mitigare i rischi in modo più efficace.
Tali dirigenti stanno inoltre riesaminando i contenuti formativi con occhio più critico, abbandonando le presentazioni PowerPoint a favore di contenuti che potrebbero sembrare più adatti, per così dire, a Netflix.
Andiamo al cinema!
L’obiettivo di un buon video formativo sulla sensibilizzazione alla sicurezza è duplice, afferma Perry Carpenter, Chief Evangelist e Strategy Officer di KnowBe4’s . I responsabili della sicurezza necessitano di un prodotto in grado di rafforzare il rapporto tra il proprio team e i dipendenti; ciò si ottiene dimostrando ai lavoratori che avete a cuore i loro interessi. È inoltre importante interagire con loro a livello umano ed emotivo, poiché così facendo si aumenta la possibilità di una maggiore memorizzazione delle informazioni.
“Abbiamo sentito storie di dipendenti che cambiano lavoro ma si iscrivono al nostro servizio solo per poter continuare a seguire gli episodi.”Perry Carpenter, responsabile della promozione e della strategia, KnowBe4
Al fine di realizzare materiali di sensibilizzazione alla sicurezza più efficaci, aziende del settore come KnowBe4 e Living Security hanno analizzato le modalità con cui i dipendenti trascorrono il tempo libero e il tipo di contenuti a cui si dedicano. Spoiler: Alla gente piace guardare film e seguire le serie TV senza sosta. Non vi era alcun motivo per cui i filmati di formazione sulla sensibilizzazione alla sicurezza non potessero simulare lo stesso tipo di intrattenimento.
Ispirandosi a serie quali “ ” di Showtime (Homeland ) e “24” di Fox (), la KnowBe4 ha sviluppato “The Inside Man”, una serie pluristagionale che segue un formato tipicamente episodico, con un cast di personaggi ricorrenti e trame incentrate su diversi rischi per la sicurezza. La stagione 4 ha avuto come protagonisti un attacco ransomware ai danni di una società energetica internazionale e le vicissitudini di un influencer di fama mondiale vittima di un deepfake. A gennaio è stato pubblicato il trailer di “ ” dedicato alla stagione 5 .
Ninjio, un’azienda specializzata nella formazione in materia di sicurezza con sede a Westlake Village, in California, ha optato per l’animazione. L’azienda produce video di 3-4 minuti in stile anime su argomenti che spaziano da la compromissione delle e-mail aziendali alla protezione delle password, scritti da sceneggiatori di Hollywood che vantano nel proprio curriculum serie televisive quali “CSI: NY” e “Hawaii Five-0” .
[Read also: The top cybersecurity trends for 2023]
I video di Living Security, dal canto loro, offrono contenuti adatti praticamente a tutti. Le piacciono i reality show? Allora potrebbe interessarLe “: The Cyber Race,”, un omaggio al fenomeno vincitore di un Emmy “ ” e a “Amazing Race”, in cui coppie di viaggiatori in giro per il mondo cercano indizi e affrontano sfide legate all’identità digitale, al phishing e ad altre questioni di sicurezza. Gli appassionati di programmi di cucina potranno approfondire le loro conoscenze in materia di sicurezza informatica mentre preparano nuove ricette con “Cyber Kitchen”. Vi sono inoltre parodie di talk show in seconda serata, film di successo, sitcom e un documentario in stile “true crime” incredibilmente realistico che illustra agli spettatori i segnali delle minacce interne.
La formazione sulla sensibilizzazione alla sicurezza inizia con una bella storia
Gli esperti di comportamento organizzativo lodano da tempo il potere della narrazione come mezzo efficace per coinvolgere le parti interessate. Gli psicologi hanno scoperto che gli insegnamenti contenuti in una storia ben raccontata vengono ricordati più a lungo e con maggiore precisione rispetto a quelli tratti da fatti e cifre. Inoltre, alcuni ricercatori della Johns Hopkins University hanno recentemente riconosciuto che la narrazione costituisce uno strumento utile per indurre i pazienti affetti da cancro, diabete e ipertensione a modificare il proprio comportamento.
«La formazione sulla sensibilizzazione alla sicurezza si sta spostando dal modello “cos’è la sicurezza” a quello “perché la sicurezza è importante”.»Drew Rose, fondatore, CSO e responsabile dello sviluppo strategico di Living Security
Il motivo per cui il filmato formativo in stile cinematografico funziona, sostengono i suoi sostenitori, è che gli utenti non lo considerano una perdita di tempo. È un’occasione per guardare qualcosa di divertente nell’ambito del lavoro. Gli spettatori potrebbero persino appassionarsi alla serie.
«Riceviamo e-mail dai team di sicurezza in cui ci comunicano che i loro collaboratori chiedono informazioni sul prossimo episodio o sulla prossima stagione», afferma KnowBe4’s Carpenter. «Abbiamo sentito parlare di dipendenti che cambiano lavoro ma si iscrivono al nostro servizio solo per poter continuare a seguire gli episodi.»
Rose, di Living Security, ritiene che il passaggio ai film cinematografici rappresenti il passo logico successivo nella formazione sulla sensibilizzazione alla sicurezza.
«La formazione sulla sensibilizzazione sta passando dal modello “cos’è la sicurezza” a quello “perché la sicurezza è importante”», afferma Rose. È risaputo cosa siano (phishing), e (ransomware) . Questi filmati, afferma, illustrano in modo più dettagliato l’impatto che gli incidenti informatici hanno su un’organizzazione. Dimostrano inoltre l’evoluzione del settore, passando dal concetto di “formazione sulla consapevolezza in materia di sicurezza” a quello di “gestione del rischio umano”. I dipendenti sono consapevoli dell'importanza della sicurezza. È giunto il momento di gestire il loro rischio.
In questo modo, afferma Carpenter, i responsabili aziendali e della sicurezza possono influenzare non solo il comportamento dei dipendenti, ma anche l’intera cultura organizzativa.
Pertanto, sebbene questi titoli non figurino tra i candidati ai premi della cerimonia degli Oscar di questa settimana né alla trasmissione degli Emmy prevista per la fine dell’anno, contribuiranno in modo significativo a garantire la sicurezza della vostra organizzazione. E questo vale più di qualsiasi trofeo.
