AFAS è uno dei nomi più importanti nel settore dei software olandesi per la gestione delle risorse umane e delle buste paga, e la sicurezza è sempre stata una questione che l'azienda prende molto sul serio.
Il modo in cui AFAS e Guardey sono entrate in contatto per la prima volta, tuttavia, è stato un po’ insolito. Un cliente comune stava conducendo una simulazione di phishing con Guardey e ha utilizzato un modello di phishing basato su AFAS. Alcuni dipendenti che hanno ricevuto l’e-mail di phishing simulata non l’hanno segnalata al proprio team IT o di sicurezza. Hanno invece contattato direttamente AFAS per avvertirla che venivano inviate e-mail sospette a suo nome.
Per l'AFAS, inizialmente sembrava trattarsi di un vero e proprio incidente di sicurezza.
Ciò ha portato alle prime discussioni tra AFAS e Guardey e, infine, alla definizione di una modalità operativa per l’utilizzo di AFAS nelle simulazioni di phishing. Ha inoltre dato il via a un dibattito più ampio sulla sensibilizzazione alla sicurezza. Poco tempo dopo, AFAS ha adottato il programma di sensibilizzazione alla sicurezza di Guardey all’interno della propria organizzazione.
Oggi il programma coinvolge tutti i 700 dipendenti di AFAS, dagli sviluppatori ai colleghi della cucina e al personale addetto alle pulizie. Ma, come spiegano Ignaece Bliekendaal, CISO di AFAS, e Rik ten Wolde, che lavora nel settore del marketing e della comunicazione interna, l’implementazione di un programma di sensibilizzazione alla sicurezza è solo l’inizio. Coinvolgere le persone e fornire loro un motivo per continuare a partecipare richiede un impegno attivo da parte dell’organizzazione stessa.
Andare oltre la formazione annuale sulla sicurezza
Prima dell’arrivo di Guardey, AFAS disponeva di un sistema di sensibilizzazione alla sicurezza che risulterà familiare a molte aziende: un corso di formazione obbligatorio o un webinar con cadenza approssimativamente annuale, integrato da aggiornamenti occasionali quando si verificava un evento rilevante.
«Le persone non sono mai davvero coinvolte in prima persona in questo senso», spiega Ignaece. «Sul momento pensano: sì, la sicurezza è importante, hai ragione. Una settimana dopo quella sensazione è svanita, e l’anno successivo si potrebbe quasi raccontare di nuovo la stessa storia».
A quel punto, AFAS stava già investendo in modo significativo nella resilienza digitale. L’azienda aveva messo in atto diversi livelli di difesa tecnica per limitare l’impatto degli errori umani. Ad esempio, ai dipendenti era richiesto di utilizzare un gestore di password e potevano accedere alle applicazioni aziendali solo da sistemi gestiti da AFAS. La sensibilizzazione alla sicurezza, tuttavia, non aveva ancora ricevuto l’attenzione che meritava.
Man mano che l'azienda cresceva, quel calcolo ha cominciato a cambiare.
«Si diventa un bersaglio più importante, più rilevante per determinati gruppi», afferma Ignaece. «Dobbiamo persino tenere conto della possibilità che alcuni attori statali siano interessati a noi. Questo cambia le carte in tavola e rende ancora più necessario coinvolgere davvero i propri dipendenti nella sicurezza informatica».
Era proprio questo che lo affascinava dell’approccio di Guardey: anziché affidarsi a un unico grande evento formativo annuale, i dipendenti si confrontano ripetutamente con tematiche relative alla sicurezza attraverso brevi sfide.
«Se fai qualcosa diecimila volte, tendi a diventare bravo a farlo. Questo vale nello sport professionistico e penso che valga anche in questo caso. La ripetizione è davvero l’unico modo per acquisire un’abitudine.»
Se fai qualcosa diecimila volte, di solito diventi bravo a farlo. Questo vale per gli sport professionistici, e penso che valga anche in questo caso.
Un lancio incentrato sul modo in cui AFAS comunica già oggi
AFAS non ha presentato Guardey semplicemente con un’e-mail in cui si annunciava che i dipendenti dovevano ora seguire un altro corso di formazione. L’azienda ha invece utilizzato il suo “Culture Half Hour”, un programma online che AFAS registra nel proprio studio e condivide con tutta l’organizzazione. Quel formato già esistente è diventato uno dei principali strumenti per presentare Guardey.
E invece di iniziare con una spiegazione della piattaforma, AFAS ha esordito con un episodio realmente accaduto. Uno sviluppatore appena assunto era caduto vittima di un tentativo di phishing. Nonostante fosse esperto dal punto di vista tecnico e pensasse di saper riconoscere una situazione del genere, anche a lui era successo. Ha accettato di parlare apertamente di questa esperienza durante la “Culture Half Hour”.
Questo ha permesso ad AFAS di presentare il programma in modo molto più accessibile. Il phishing non era più uno scenario di sicurezza astratto, ma qualcosa che poteva capitare a chiunque all’interno dell’azienda, comprese le persone con competenze tecniche.
AFAS ha dato risalto all'iniziativa attraverso la propria intranet e altri canali interni. L'idea era semplice: affinché la consapevolezza in materia di sicurezza diventasse parte integrante della routine quotidiana delle persone, i dipendenti dovevano innanzitutto comprendere perché fosse importante.
Trovare un incentivo a cui i dipendenti tenessero davvero
La comunicazione era solo una parte dell’iniziativa. AFAS voleva inoltre sfruttare lo spirito competitivo di Guardey per offrire ai dipendenti un motivo in più per partecipare. Ciò ha sollevato una domanda che sembra semplice ma che è diventata fondamentale per il loro approccio:cosa vorrebbero davvero vincere i dipendenti di AFAS?
Il team ha preso in considerazione incentivi già noti, come buoni regalo, AirPods e iPad. Tuttavia, un premio più costoso non è automaticamente più motivante.
«In realtà non si sa se la gente lo stia aspettando», spiega Rik. «Il premio può essere costoso senza per questo essere qualcosa che la gente desidera».
Così, invece di partire da un elenco di premi, AFAS ha preso in considerazione ciò di cui si parlava già all’interno dell’organizzazione. In quel momento, l’argomento era la prossima gita aziendale annuale. Poiché AFAS aveva già prenotato un intero hotel per l’occasione, alcune camere erano naturalmente più lussuose di altre. Una delle camere più belle, dotata anche di vasca idromassaggio, è diventata il premio principale del concorso Guardey.
«Non ci è costato nulla in più», spiega Rik. «Quelle camere facevano già parte dell’hotel che avevamo prenotato. Abbiamo semplicemente deciso di destinare una di esse come premio, invece di assegnarla a caso».
Il risultato è stato un tasso di partecipazione al lancio pari a quasi il 90%. La lezione che AFAS ne ha tratto non è stata che ogni programma di sensibilizzazione alla sicurezza debba prevedere un premio spettacolare, bensì che un incentivo funziona al meglio quando è legato a qualcosa a cui i dipendenti tengono già di per sé.
Dare a più persone un motivo per continuare a giocare
Il primo incentivo ha funzionato bene, ma AFAS ha anche scoperto perché il coinvolgimento non può essere progettato una volta per tutte e poi lasciato a se stesso. Dopo circa dieci settimane, la partecipazione ha cominciato a calare. Con un unico premio importante in palio, i dipendenti che non credevano più di poter raggiungere il primo posto avevano meno motivi per continuare a competere. AFAS ha quindi ampliato le modalità di ricompensa per i dipendenti.
Anziché concentrarsi esclusivamente su chi aveva ottenuto il punteggio più alto, hanno introdotto un premio di squadra, che prevedeva una franchigia bagaglio aggiuntiva per il gruppo che avesse ottenuto il miglior risultato collettivo. Sono stati inoltre previsti premi per la costanza e per il dipendente che aveva registrato il miglioramento più significativo tra una stagione e l’altra.
Quest'ultima categoria era particolarmente importante.
«In realtà non stiamo cercando gli sviluppatori che sono già in cima alla classifica, perché di solito ottengono comunque buoni risultati», spiega Ignaece. «Stiamo cercando di raggiungere anche gli altri gruppi».
Ciò include i colleghi dei reparti di cucina e delle pulizie dell’AFAS, che nel loro lavoro quotidiano interagiscono molto meno con i computer e non hanno necessariamente accesso a sistemi sensibili. Ma ciò non rende la sensibilizzazione alla sicurezza irrilevante per loro.
«Non si tratta solo del vostro lavoro», dice Ignaece ai dipendenti che si chiedono se un argomento sia rilevante per il loro ruolo. «Riguarda anche voi come persone, la vostra situazione personale e la consapevolezza di come affrontate le cose».
Non si tratta solo del tuo lavoro. Riguarda anche te come persona, la tua situazione personale e la consapevolezza di come affronti le cose.
Questa filosofia era già parte integrante dell’approccio di AFAS alla resilienza digitale prima dell’arrivo di Guardey. Ai dipendenti non solo viene richiesto di utilizzare un gestore di password in ambito professionale, ad esempio, ma viene anche data la possibilità di utilizzarlo nella vita privata. La sicurezza è considerata un vantaggio di cui i dipendenti possono beneficiare anche al di fuori dell’ambiente di lavoro.
Il programma Guardey è di per sé obbligatorio, ma l’AFAS ha deliberatamente scelto di non imporre la partecipazione attraverso restrizioni tecniche, come ad esempio il blocco dell’accesso ai sistemi fino al completamento della formazione.
«Funzionerebbe, ma non è in linea con la nostra cultura», afferma Ignaece. «Preferiamo raggiungere l’obiettivo in modo positivo».
Rendere la formazione chiaramente identificabile come AFAS
Lo stesso principio vale anche per i contenuti stessi. Guardey mette a disposizione sfide, campagne e modelli di comunicazione già pronti, ma il consiglio di AFAS alle altre organizzazioni è di non limitarsi ad accettare tutto così com’è. Personalizzateli.
«È proprio questo che mi entusiasma ancora sinceramente: la possibilità di personalizzare ogni corso di formazione in base alle esigenze della propria organizzazione», afferma Ignaece.
AFAS ha sostituito gli esempi generici con il proprio software e ha sostituito le immagini di repertorio con le proprie fotografie. Si tratta di piccole modifiche, ma che rendono gli scenari più vicini all’ambiente reale dei dipendenti.
«Le persone non sempre si rendono conto che un corso di formazione sia davvero utile per loro», dice Rik. «Ma quando ci metti il tuo tocco personale, se ne rendono conto».
AFAS vorrebbe farlo in modo ancora più costante. Trovare il tempo all’interno dell’azienda per personalizzare i contenuti non è sempre stato facile, ma sia Ignaece che Rik lo considerano un modo importante per rendere la sensibilizzazione più pertinente e meno generica.
Lo stesso vale per i modelli di comunicazione, i programmi di ambasciatori e le idee per le campagne di Guardey. Questi possono costituire un punto di partenza, ma spetta comunque all’organizzazione decidere in che modo tali idee si adattino alla propria cultura.
«Prendete le idee, prendete i modelli», dice Ignaece, «ma fateli vostri. Applicateli a ciò che funziona davvero all’interno della vostra organizzazione, non a ciò che ha funzionato nella nostra».
Le persone non sempre si rendono conto che un corso di formazione sia davvero utile per loro. Ma quando ci metti il tuo tocco personale, se ne rendono conto.
La sensibilizzazione alla sicurezza non si gestisce da sola
Dopo aver superato le prime stagioni, AFAS continua a valutare quali iniziative possano mantenere vivo il coinvolgimento dei dipendenti in futuro. La gita aziendale ha rappresentato un forte elemento di richiamo per il lancio, ma la sua rilevanza derivava da ciò che stava accadendo all’interno di AFAS in quel preciso momento. Il prossimo incentivo potrebbe dover essere completamente diverso.
E questa è forse la lezione più utile che si può trarre dall’esperienza di AFAS fino ad ora. La gamification, la competizione e le brevi sfide ricorrenti possono fornire alle organizzazioni gli strumenti necessari per rendere la sensibilizzazione alla sicurezza più coinvolgente. I modelli e le campagne già pronte possono facilitare l’implementazione. Ma nulla di tutto ciò elimina la necessità di comprendere i propri dipendenti.
AFAS ha utilizzato la storia vera di un dipendente perché rendeva tangibile il rischio. Ha presentato il programma attraverso canali a cui le persone prestavano già attenzione. Ha collegato la competizione a qualcosa che già suscitava l’entusiasmo dei dipendenti. E quando un unico modo di premiare la partecipazione non è più riuscito a motivare tutti, ha creato nuove opportunità di successo per le persone e i team.
Non esiste un unico incentivo, una campagna di lancio o un modello di comunicazione in grado di mantenere per sempre alto il livello di coinvolgimento di tutti i dipendenti. Le organizzazioni che traggono il massimo beneficio dalla sensibilizzazione alla sicurezza sono quelle che continuano a porsi la stessa domanda che si pone AFAS:
Cosa funzionerà per la nostra gente in questo momento?
Siamo sempre a disposizione, promesso!
Registratevi ora gratuitamente e non preoccupatevi più dei crimini informatici.
Iniziare la prova gratuita di 14 giorni
