Le 8 principali cause del fallimento dei progetti di Cyber Security Awareness
È ormai chiaro a tutti che contro la crescita esponenziale delle minacce cyber non può esserci strategia valida senza una formazione continua e aggiornata. Perché ad aprire le porte agli hacker è ancora l’errore umano. Ed è proprio quest’ultimo che va eliminato con degli efficaci percorsi formativi di Cyber Security Awareness.
Gianni Baroni, CEO di Cyber Guru, intervenendo alla Cybertech Europe, ha evidenziato le 8 principali cause del fallimento dei progetti di Cyber Security Awareness e cosa si deve fare per evitarle.
- Mancanza di sostegno da parte del CEO
È necessario che tutti i dipendenti sappiano che il CEO è il primo a credere che per difendersi dagli attacchi cyber serve trasformare i comportamenti umani. Se viene a mancare la giusta consapevolezza a tutti i livelli aziendali sull’importanza di questi percorsi formativi il progetto è destinato a fallire.
- Uno scarso coinvolgimento degli utenti
Per evitarlo è fondamentale che le piattaforme formative siano facili da usare, utilizzino tecnologie e metodologie innovative, si basino su argomenti rilevanti per gli utenti, su una localizzazione accurata e una Gamification coinvolgente.
- Percorsi formativi di breve durata
La modifica del comportamento degli utenti è un percorso complesso che richiede tempo per essere metabolizzato e adottato. La formazione sui rischi cyber non può essere rapida e di breve durata. Mentre è necessario che sia costantemente aggiornata e segua l’evoluzione degli attacchi cyber.
- Assenza di un’analisi concreta delle performance
Il monitoraggio continuo del coinvolgimento degli utenti e dei loro cambiamenti comportamentali durante il percorso di apprendimento è un elemento fondamentale. Se questo aspetto è carente o non viene sorvegliato con l’attenzione che merita, tutta la formazione può esserne compromessa.
- Affidamento sul “white phishing”
Inviare delle finte mail di phishing uguali per tutti i dipendenti e vedere se cadono nella trappola è una modalità formativa troppo grossolana, rispetto alla complessità del mondo cyber. Altra cosa è procedere con mail di complessità diversa, ma anche diverse per ogni utente.
- Affidarsi ad attività di Risk Assessment basate su questionari
L’aspetto determinante che fa la differenza in un percorso formativo è la prontezza di reazione pratica. La capacità di rispondere prontamente ad un attacco cyber non si misura con delle domande, ma misurando le reazioni a stimoli quanto più verosimili.
- Pensare: “i miei dipendenti sono diversi”
L’esperienza di Cyber Guru porta a concludere che la stragrande maggioranza degli utenti finali commette gli stessi errori di base. È su questi errori che bisogna lavorare. L’efficacia formativa dipende dalla sua accuratezza, dalla sua capacità di utilizzare strumenti diversi, coinvolgendo gli utenti anche nelle reazioni emotive.
- Team sottorganico
I team di sicurezza sono sempre sovraccarichi di lavoro e prima di intraprendere un percorso formativo di Cyber Security Awareness è fondamentale comprendere l’impegno necessario per gestirlo. È per questa ragione che è importante scegliere soluzioni che minimizzino i costi di gestione e massimizzino l’efficacia dei risultati formativi.
