Simulazioni di phishing per le aziende: organizzarle autonomamente o affidarsi a un partner?

Per la maggior parte delle aziende, il phishing è uno dei metodi più comuni utilizzati dagli hacker per introdursi nei sistemi e, dall’entrata in vigore della direttiva NIS2, molte organizzazioni sono tenute a dimostrare di aver formato adeguatamente i propri dipendenti. Una simulazione di phishingrappresenta il modo più concreto per farlo: si utilizzano e-mail di phishing realistiche ma innocue per verificare come reagiscono i dipendenti, prima che lo faccia un vero hacker.

La vera domanda è: come organizzarlo? Puoi affidarti a un partner che si occupi interamente dei test di phishing al posto tuo, oppure scegliere una soluzione gestita direttamente dalla tua organizzazione. In questo articolo tratteremo entrambe le opzioni, illustrando i tre tipi di aziende che possono aiutarti e i criteri per scegliere tra loro.

Di cosa si occupa un'azienda specializzata in simulazioni di phishing?

Un'azienda specializzata in simulazioni di phishing invia ai vostri dipendenti e-mail di phishing controllate e false. I messaggi sembrano autentici, con oggetti urgenti, mittenti falsificati e link a pagine di accesso contraffatte, ma non succede nulla quando qualcuno ci casca. Al contrario, i risultati vengono misurati: chi ha aperto l'e-mail, chi ha cliccato, chi ha inserito le credenziali.

Questi risultati evidenziano i punti deboli della vostra organizzazione e, cosa ancora più importante, costituiscono il punto di partenza per la formazione. Una simulazione senza un seguito è solo un’istantanea. Il vero valore si ottiene quando i dipendenti che hanno cliccato ricevono una formazione mirata di sensibilizzazione e quando il test viene ripetuto regolarmente, in modo da poter verificare se il comportamento migliora effettivamente.

C'è anche un aspetto formale. Se la vostra organizzazione rientra nell'ambito di applicazione della direttiva NIS2, le simulazioni periodiche, abbinate alla formazione, rappresentano uno dei modi più concreti per dimostrare che il vostro programma di sensibilizzazione esiste davvero e non è solo sulla carta.

Tre tipi di aziende che offrono simulazioni di phishing

Il mercato si divide grosso modo in tre tipologie di fornitori. Questi si sovrappongono per quanto riguarda i servizi offerti, ma si differenziano per quanto riguarda il livello di gestione che ti sollevano dalle tue spalle e il grado di controllo che ti rimane.

1. Consulenti in materia di sicurezza

I consulenti guidano le organizzazioni verso una maggiore sicurezza informatica nel suo complesso. Una simulazione di phishing rientra quindi in un programma più ampio: una valutazione iniziale, campagne di sensibilizzazione, politiche aziendali e, spesso, la preparazione per ottenere certificazioni quali la conformità alla norma ISO 27001 o alla direttiva NIS2. Un’azienda come Fendix opera in questo modo, supportando le organizzazioni in tutti gli aspetti della sicurezza informatica e della protezione dal phishing.

Questo percorso è indicato per le organizzazioni che dispongono di scarse competenze interne in materia di sicurezza, oppure che stanno affrontando un processo di conformità o certificazione e desiderano una guida esperta dall’inizio alla fine.

2. Partner IT e fornitori di servizi gestiti

Molte aziende si avvalgono già di un partner IT di fiducia che gestisce le loro postazioni di lavoro, la rete e l’ambiente Microsoft 365. Un numero crescente di questi partner offre simulazioni di phishing come parte dei propri servizi, solitamente in combinazione con una piattaforma di sensibilizzazione alla sicurezza. Promo Systems è un esempio di partner IT che combina la gestione quotidiana dell’IT con i servizi di sicurezza.

Il vantaggio è quello di avere un unico punto di contatto che conosce già il vostro ambiente IT. La simulazione, il follow-up e le misure tecniche correlate, come il filtraggio delle e-mail e l’autenticazione a più fattori, vengono quindi gestiti da un unico soggetto.

3. Piattaforme di sensibilizzazione alla sicurezza

La terza opzione consiste in una piattaforma che puoi utilizzare autonomamente o in collaborazione con il tuo partner IT. Con Guardey puoi configurare una simulazione realistica di phishing in pochi minuti, vedere esattamente chi clicca e abbinare il test a un corso di formazione sulla sicurezza informatica in chiave ludica, che mantiene vivo l’interesse dei dipendenti settimana dopo settimana.

Questa soluzione è ideale per le organizzazioni che desiderano effettuare test in modo continuativo anziché una volta all’anno e che vogliono mantenere il controllo su tempistiche, modelli e follow-up. È inoltre l’opzione che presenta la minore barriera all’ingresso: nessun progetto, nessun tempo di preparazione, basta iniziare.

Affidare la simulazione di phishing a terzi o occuparsene in prima persona?

Affidare interamente all’esterno la simulazione di phishing, con un test una tantum condotto da un soggetto esterno, fornisce un punto di riferimento. Tuttavia, la resilienza al phishing è una questione di comportamento, e il comportamento cambia solo attraverso la ripetizione. Ecco perché la questione della frequenza è più importante di quella relativa al soggetto che la conduce. Qualunque strada scegliate, assicuratevi che le simulazioni si ripetano nel corso dell’anno e siano collegate alla formazione.

In pratica, molte organizzazioni finiscono per adottare un modello ibrido: una piattaforma per simulazioni e formazione continue, affiancata da un consulente o da un partner IT che si occupi delle politiche, della tecnologia e del quadro generale della sicurezza. I tre tipi di aziende sopra citati non sono tanto concorrenti tra loro quanto piuttosto complementari.

Come scegliere un'azienda specializzata in simulazioni di phishing

Indipendentemente dal tipo di fornitore con cui si entra in contatto, questi sono i criteri che distinguono una buona simulazione di phishing da un semplice esercizio di routine:

• Modelli realistici nella tua lingua. Un modello americano tradotto salta subito all’occhio. Le simulazioni devono rispecchiare le e-mail che i tuoi collaboratori ricevono realmente, in olandese, da mittenti che riconoscono.
• Riferire a livello di squadra, senza puntare il dito contro nessuno. L’obiettivo è imparare, non punire. I professionisti competenti riferiscono a livello di organizzazione e di reparto e trattano i risultati individuali con delicatezza.
• Formazione collegata al test. Un dipendente che clicca dovrebbe ricevere immediatamente un breve momento formativo. Senza quel collegamento, una simulazione si limita a misurare, ma non migliora nulla.
• Frequenza. È possibile eseguire facilmente simulazioni più volte all'anno, con variazioni, oppure ogni test rappresenta un nuovo progetto?
• Privacy e comitato aziendale. Le simulazioni prevedono l'utilizzo dei dati dei dipendenti. Verificate come il fornitore gestisce il GDPR e coinvolgete il vostro comitato aziendale prima di iniziare.
• Reportistica di conformità. Se siete soggetti alle norme NIS2 o ISO 27001, dovrete essere in grado di dimostrare che vengono svolti corsi di formazione sulla sensibilizzazione. Chiedete al fornitore in che modo vi aiuta a fornire tale prova.

Simulazione di phishing nell'ambito dei servizi offerti dalle aziende specializzate in sicurezza informatica

Le simulazioni di phishing raramente vengono utilizzate da sole. Le aziende specializzate in sicurezza informatica le offrono solitamente come parte di un pacchetto più ampio che comprende anche test di penetrazione, monitoraggio della sicurezza e risposta agli incidenti. Se la vostra organizzazione ha bisogno di qualcosa di più della semplice sensibilizzazione, ad esempio perché gestisce dati sensibili o rientra nell’ambito di applicazione della direttiva NIS2 in qualità di entità essenziale, è opportuno considerare il quadro più ampio.

Vale anche il contrario: se il fattore umano è il vostro anello più debole, non è necessario acquistare il pacchetto completo di un’azienda specializzata in sicurezza informatica per iniziare. Una simulazione mirata di phishing, abbinata a un corso di formazione, affronta la via di attacco più utilizzata dai criminali, con uno sforzo minimo.

Domande frequenti

Con quale frequenza è consigliabile eseguire una simulazione di phishing?

Più di una volta all’anno. Un singolo test misura un momento specifico; le simulazioni ricorrenti, distribuite nell’arco dell’anno con scenari diversi, modificano effettivamente il comportamento e ti mostrano se i tassi di clic diminuiscono.

Una simulazione di phishing è consentita ai sensi del GDPR?

Sì, a condizione che la questione venga gestita con cautela. Informate i dipendenti in termini generali che le simulazioni fanno parte della vostra politica di sicurezza, coinvolgete il comitato aziendale e rendete noti i risultati a livello di gruppo, evitando di esporre i singoli individui.

Cosa succede dopo che qualcuno ha cliccato?

Niente di grave. In un contesto ben organizzato, il dipendente riceve subito una breve spiegazione o un momento di formazione. Il clic diventa un’opportunità di apprendimento anziché un incidente.

Che tu decida di collaborare con un consulente, con il tuo partner IT o con una piattaforma, il primo passo è sempre lo stesso: capire qual è la tua situazione attuale. Vuoi prima confrontare i vari fornitori? Dai un’occhiata alla nostra panoramica dei migliori strumenti software per la simulazione di attacchi di phishing.