Il maggior numero di attacchi informatici nei confronti di un’azienda si basa principalmente su tecniche di social engineering che, come spiegato nell’ articolo introduttivo, sfruttano la disattenzione umana per introdursi all’interno della struttura organizzativa e appropriarsi dei dati e delle informazioni aziendali. 

Accade infatti che per poca consapevolezza o per noncuranza: 

• si clicchi su un link all’interno di una mail che sembrava lecita,
• si apra un allegato proveniente da un mittente sconosciuto,  
• si controlli il contenuto di una chiavetta USB di cui non si conosce la provenienza.

Queste azioni possono sembrare tutte di poco conto, invece sono potenziali varchi di accesso per soggetti non autorizzati che potrebbero raccogliere informazioni sensibili.

Pertanto, chiunque utilizzi un dispositivo con accesso alla rete interna deve possedere un soddisfacente grado di cyber security awareness.  

Cyber security awareness: cosa significa? 

Con questo termine si fa riferimento al concetto di consapevolezza del personale in forza dell’azienda rispetto a quelle che sono le caratteristiche, i contenuti e le criticità della sicurezza IT interna. 

Avere un adeguato livello di consapevolezza informatica significa conoscere:

• i rischi in cui si può incorrere
• le relative conseguenze
• i metodi di prevenzione o di mitigazione

In quest’ambito, i lavoratori assumono il ruolo di figure centrali per il mantenimento della sicurezza informatica aziendale poiché, quotidianamente, dovrebbero applicare quanto disciplinato nelle policy security aziendali. 

È importante sottolineare che questo riguarda tutto il personale, tanto i dipendenti quanto le figure manageriali che, assumendosi un alto livello di responsabilità richiesto dalla loro carica, hanno accesso ad un elevato numero di informazioni sensibili relative al business aziendale. 

La formazione come strumento di garanzia della sicurezza IT aziendale

L’azienda deve garantire una formazione continua al personale attraverso percorsi che si sviluppino adeguatamente, fornendo anche materiale completo e aggiornato, nonché predisponendo periodiche esercitazioni per testare ed aumentare la cultura della cybersecurity. 

Questo permette all’azienda una maggiore proattività nel rilevare e rispondere agli incidenti. 

Inoltre, è fondamentale che vengano condivise con tutto il personale policy aziendali chiare, semplici e complete, unitamente ad un continuo confronto con il personale IT volta a chiarire dubbi e ad approfondire eventuali casistiche rischiose. 

In base al profilo organizzativo dell’azienda, la formazione potrà essere strutturata su più livelli: dapprima verranno condivise le informazioni base più comuni (per esempio come devono essere protetti i computer, come conservare le credenziali di accesso al proprio account o come comportarsi in caso di e-mail sospette), per poi focalizzarsi su tematiche più complesse (come l’individuazione delle soluzioni di controllo e prevenzione più adeguate, oppure come rispondere efficacemente ad un attacco hacker). 

Lo scopo del tool 

Sottoponendo questo tool, composto da 15 domande a risposta multipla, ad un campione di lavoratori (indistintamente tra dipendenti e manager) sarà possibile determinare il grado di consapevolezza in ambito cybersecurity ed eventualmente valutare l’adozione di un piano formativo mirato.