Il punto di partenza: un cavaliere che non avrebbe vinto la battaglia
Quando Elske van der Horst è stata nominata CISO presso il Comune di Nunspeet, ha ereditato un programma di sensibilizzazione alla sicurezza che era già in atto da anni: una domanda alla settimana, posta da un personaggio animato chiamato “il Cavaliere”, affiancata da diversi moduli di e-learning.
Sulla carta, il programma sembrava funzionare bene. Nella pratica, però, la partecipazione era scesa a circa il 50% e non superava quella soglia, nonostante tutti i tentativi di Elske. Dai colloqui con i dipendenti è emerso subito che quell’approccio non era più in linea con l’organizzazione, proprio in un momento in cui le nuove esigenze richiedevano, in realtà, un maggiore impegno in materia di sicurezza delle informazioni e privacy.
«L’ho capito subito: non riuscirò a vincere questa battaglia contro il Cavaliere.»
Così, insieme al responsabile della privacy dell’epoca, Elske ha iniziato a cercare un’alternativa. Hanno esplorato il mercato con una serie di requisiti ben definiti: nessun corso di formazione che facesse ampio ricorso ai video, poiché era improbabile che i dipendenti che lavoravano in un ufficio open space attivassero l’audio. Inoltre, desideravano contenuti di ampio respiro che coprissero non solo la sicurezza delle informazioni e la privacy, ma anche argomenti quali l’AI Act e l’Open Government Act.
Più importante di qualsiasi requisito specifico, però, era una cosa sola: doveva adattarsi all’organizzazione stessa.
Quando Elske scoprì Guardey e venne a sapere che un altro comune lo stava già utilizzando con successo, Nunspeet decise di avviare un progetto pilota con alcuni rappresentanti provenienti da diversi settori dell’organizzazione. Tutti i partecipanti si mostrarono subito entusiasti. Per Elske, quello fu il momento in cui capì che avevano trovato la soluzione giusta.
Perché questo approccio ha funzionato
Una delle prime cose che ha colpito è stata quanto tutto sembrasse familiare. Anziché ricorrere a distanti immagini di repertorio, le illustrazioni mostrano persone in situazioni che i dipendenti riconoscono dalla loro quotidianità lavorativa: controllare il cellulare, stare seduti davanti a uno schermo o affrontare una situazione lavorativa familiare. Elske ha apprezzato anche la diversità dei personaggi, con la rappresentazione di generi e tonalità di pelle diversi, il che rende più facile per le persone riconoscersi in ciò che vedono.
Ma ciò che ha davvero dato slancio a questo approccio è stata la componente ludica.
Il Comune di Nunspeet è un’organizzazione per natura competitiva, e non ci è voluto molto perché questo venisse alla luce. Squadra contro squadra, colleghi più giovani contro quelli più anziani, dipendenti che confrontavano i propri punteggi e si sfidavano a vicenda per non restare indietro. Elske non doveva più rincorrere le persone di persona, perché i colleghi lo facevano già l’uno per l’altro.
E i dipendenti non si sono limitati a rispondere alle domande per poi passare oltre. Hanno iniziato a discuterne.
Alcuni si sono rivolti a Elske perché non capivano perché avessero risposto in modo errato a una domanda. Altri hanno ammesso apertamente di aver cercato la risposta o di aver chiesto aiuto a un collega. Per Elske, era proprio questo il punto. Le persone riflettevano attivamente sui contenuti invece di limitarsi a spuntare l’ennesimo requisito formativo.
"Siamo un'organizzazione competitiva, e questo si è visto fin da subito. Squadra contro squadra, giovani contro anziani, tutti a confrontare i punteggi. Non devo più stare alle calcagna di nessuno, ci pensano i colleghi a farlo tra di loro. E non si limitano a rispondere alla domanda e passare oltre, ma ne discutono davvero."
L'adozione non avviene da sola
Il Comune di Nunspeet ha avviato l’utilizzo di Guardey nel marzo 2026, ma Elske sapeva che la semplice introduzione di una nuova piattaforma non avrebbe automaticamente portato a una maggiore partecipazione.
Insieme al CISO, al responsabile della protezione dei dati, al responsabile della privacy, all’amministratore di sistema e persino al coordinatore comunale per la legge sull’Open Government, ha pianificato con cura l’implementazione. I modelli di comunicazione di Guardey hanno fornito un punto di partenza, ma il team ha riscritto tutto adattandolo allo stile comunicativo proprio del comune e ha creato almeno due momenti di comunicazione a settimana nel periodo precedente al lancio.
Anche la dirigenza è stata coinvolta fin dall’inizio. A ogni responsabile di squadra è stata fatta una breve presentazione ed è stato chiaramente spiegato che avrebbe avuto un ruolo da svolgere nel coinvolgere i propri team. Alla dirigenza è stato chiesto di sostenere il lancio attraverso la comunicazione interna e, cosa altrettanto importante, di partecipare in prima persona.
E poi c'era il premio.
Il Comune di Nunspeet ha messo in palio un barbecue di squadra per la squadra con il maggior numero di punti. Non si trattava di un premio simbolico, ma di qualcosa che tutti desideravano davvero vincere. A Nunspeet il cibo è una cosa seria, quindi all’improvviso tutti volevano quel barbecue. I colleghi si sono incoraggiati a vicenda a portare a termine le sfide perché volevano che la loro squadra arrivasse prima.
Da allora l'approccio si è evoluto. Anziché premiare ogni volta la squadra con le migliori prestazioni, ora può vincere un premio la persona che ottiene il punteggio più alto all'interno di ciascuna squadra, creando così una sana competizione anche all'interno dei gruppi.
A metà della prima stagione, Nunspeet ha aggiunto un ulteriore stimolo: un premio di incoraggiamento “intermedio”, le tavolette di cioccolato Tony’s Chocolonely con la scritta “Winnaar Aanmoedigingsprijs Guardey”. Secondo Elske, un piccolo premio come quello a metà stagione è un ottimo modo per motivare tutti a continuare ad allenarsi.
Il ricco premio ha contribuito a dare il via all’iniziativa, ma dopo la prima stagione Elske ha notato qualcosa di ancora più importante: i dipendenti avevano bisogno di sempre meno incoraggiamento. Stava diventando un’abitudine. Il martedì aveva semplicemente iniziato a significare:“È martedì, è l’ora di Guardey”.
Il risultato: da una partecipazione del 50% a quella dell'86%
Prima dell’arrivo di Guardey, la partecipazione alla Gemeente Nunspeet si era attestata intorno al 50%. Oggi si attesta all’86%.
Elske è molto soddisfatta di questo dato, soprattutto se si considera che ci saranno sempre dipendenti assenti per periodi più lunghi o collaboratori esterni che lavorano per il Comune solo poche ore alla settimana.
Anche le simulazioni di phishing mostrano un netto cambiamento. Durante la prima simulazione, il 40% dei dipendenti ha ancora cliccato sui link. Dopo una stagione con Guardey, tale percentuale è scesa al 20%, un miglioramento significativo in soli tre mesi.
Ma il cambiamento più significativo non è necessariamente visibile nei numeri.
In passato, i dipendenti si rivolgevano raramente a Elske per chiedere chiarimenti su e-mail sospette o incidenti di sicurezza. C’era una certa confusione riguardo alla differenza tra spam, phishing, incidenti di sicurezza e violazioni dei dati, e i dipendenti non segnalavano attivamente tali episodi.
Ora i colleghi la chiamano o passano dalla sua scrivania per chiederle se un’e-mail sia autentica. Sanno che possono segnalare i messaggi sospetti in Outlook e si scambiano opinioni su ciò che hanno imparato grazie a Guardey. A volte discutono persino di come mettono in pratica queste conoscenze a casa.
Quel momento in più di consapevolezza fa tutta la differenza per Elske. Le persone si informano prima di agire, e lei è sinceramente felice quando lo fanno. La sicurezza informatica è passata dall’essere un compito che i dipendenti dovevano svolgere a qualcosa che fa semplicemente parte del lavoro quotidiano.
Sensibilizzazione alla sicurezza dall'alto verso il basso
Questo cambiamento non riguarda solo i dipendenti.
Il direttore operativo partecipa ogni settimana e ora anche il nuovo consiglio direttivo del comune si è unito a Guardey. L'importanza di questo aspetto è emersa con particolare chiarezza durante una campagna di phishing, quando il Comune di Nunspeet ha notato che le persone prive di un account Guardey hanno ottenuto risultati nettamente inferiori rispetto ai colleghi che avevano già seguito la formazione.
Elske ha sfruttato questa intuizione all’interno dell’azienda per ribadire un messaggio semplice: tutti devono partecipare, compresi il consiglio di amministrazione e i dirigenti. Ognuno di noi può rappresentare l’anello debole e più ci si allena, meno probabilità si ha di cadere vittima di un attacco.
Questo coinvolgimento da parte della dirigenza ha contribuito a trasformare la sensibilizzazione alla sicurezza in una responsabilità condivisa da tutta l'organizzazione, anziché in un compito di esclusiva competenza del CISO.
"Prima di iniziare a utilizzare Guardey, abbiamo effettuato un test di phishing e il quaranta per cento dei nostri dipendenti ha cliccato sul link. Dopo una stagione di sfide settimanali con Guardey, abbiamo ripetuto lo stesso tipo di test e solo il venti per cento ha cliccato. Si tratta di un calo della metà in tre mesi. È stato allora che ho capito che questo approccio funziona davvero, non solo sulla carta."
Partire da ciò che funziona
Il Comune di Nunspeet sta ora utilizzando le informazioni fornite da Guardey per rendere ancora più mirato il proprio approccio generale alla sensibilizzazione in materia di sicurezza.
Per le simulazioni di phishing, ad esempio, il team di sicurezza può utilizzare modelli specifici per i diversi gruppi e analizzare i risultati per individuare le aree che richiedono maggiore attenzione. I team che incontrano difficoltà su un argomento specifico possono quindi ricevere una formazione più mirata.
Elske continua inoltre a integrare le sfide settimanali proposte da Guardey con sessioni di gruppo e formazione mirata per ruoli specifici. L'obiettivo non è semplicemente portare a termine la formazione, ma mantenere aggiornate le conoscenze e continuare a simulare situazioni che i dipendenti potrebbero effettivamente affrontare nel loro lavoro.
Il suo consiglio alle altre organizzazioni che intendono avviare un programma di sensibilizzazione alla sicurezza deriva direttamente dall’esperienza positiva del Comune di Nunspeet: non considerare l’implementazione come un aspetto secondario. Scegliete un incentivo per cui le persone abbiano davvero voglia di competere e coinvolgete la dirigenza fin dall’inizio, in modo che la sensibilizzazione non diventi “il progetto del CISO”.
E coinvolgete gli ambasciatori provenienti da tutta l'organizzazione. Questi possono condividere le proprie esperienze con i colleghi, il che, secondo Elske, spesso funziona meglio che ascoltare il messaggio solo dal CISO.
Quando la sicurezza diventa argomento di conversazione davanti alla macchinetta del caffè
Forse il segno più evidente del progresso non si trova affatto in un cruscotto, ma proprio davanti alla macchina del caffè.
I dipendenti confrontano i punteggi, discutono delle domande a cui hanno risposto in modo errato e si ricordano a vicenda di portare a termine la sfida settimanale. La sensibilizzazione alla sicurezza è diventata un argomento di cui i colleghi parlano tra loro, piuttosto che qualcosa che Elske deve costantemente sollecitare.
Oggigiorno, le chiacchierate davanti alla macchinetta del caffè vertono più spesso sul fatto che tu abbia già completato la sfida di Guardey o su cosa ne pensi di quella domanda particolarmente complicata.
Ed è proprio questo l'obiettivo di Elske in materia di sensibilizzazione alla sicurezza: che diventi parte integrante delle discussioni, parte integrante della giornata lavorativa e una responsabilità condivisa da tutta l'organizzazione.
"Il cambiamento più grande non è nella dashboard, ma alla mia scrivania. Prima di Guardey, nessuno mi aveva mai chiesto se un'e-mail sembrasse autentica. Le persone non sapevano nemmeno distinguere tra spam e un vero incidente di sicurezza. Ora i colleghi passano a trovarmi o mi chiamano per verificare prima di cliccare, e si scambiano informazioni su ciò che hanno imparato, a volte anche su come queste conoscenze li aiutino anche a casa."
Sei curioso di sapere come potrebbe presentarsi un tasso di partecipazione dell'86% nella tua organizzazione? Prenota una demo e te lo illustreremo, oppure avvia una prova gratuita e scoprilo tu stesso.
