Valutazione iniziale del livello di consapevolezza in materia di sicurezza: scopri a che punto è la tua organizzazione

Una valutazione di riferimento sul livello di consapevolezza in materia di sicurezza illustra come i vostri dipendenti affrontano attualmente il phishing e altre minacce digitali, prima ancora che abbia inizio qualsiasi attività di formazione. In pratica, essa combina una simulazione di phishing a sorpresa con una breve verifica delle conoscenze. Il risultato costituisce il vostro punto di partenza: l’insieme di dati con cui verranno confrontate tutte le valutazioni successive.

Se tralasci questo punto di partenza, finirai per gestire un programma di sensibilizzazione alla sicurezza basandoti solo sull’istinto. Potrai comunque svolgere la formazione, ma non potrai dimostrare quali cambiamenti essa comporti. In questo articolo spieghiamo in cosa consiste una misurazione di riferimento, quali dati sono rilevanti e come effettuarla in cinque passaggi.

Che cos’è una misurazione di riferimento della consapevolezza in materia di sicurezza?

Una valutazione iniziale è la prima analisi strutturata volta a determinare il reale livello di consapevolezza in materia di sicurezza della propria organizzazione. Essa risponde a due domande: cosa sanno i dipendenti delle minacce digitali e come si comportano effettivamente quando ne ricevono una nella propria casella di posta? Si misurano separatamente la conoscenza e il comportamento, poiché raramente i due aspetti coincidono. Molte persone, pur essendo in grado di descrivere perfettamente il phishing, finiscono comunque per cliccare su un’e-mail fasulla particolarmente convincente.

Una misurazione di riferimento completa è quindi costituita da due o tre componenti:

• Una simulazione di phishing. Un’e-mail di phishing fittizia, realistica ma innocua, che permette di valutare il comportamento effettivo degli utenti: chi clicca, chi inserisce le credenziali e chi segnala il messaggio.
• Una verifica delle conoscenze. Un breve quiz su argomenti quali il phishing, le password e il lavoro da remoto in sicurezza, che mette in luce eventuali lacune nelle conoscenze.
• Facoltativo: un breve sondaggio sulla cultura aziendale. Le persone osano segnalare un errore? Considerano la sicurezza parte integrante del proprio lavoro? L’atteggiamento è indicativo di come si evolveranno i dati in seguito.

Perché iniziare con una misurazione di riferimento?

Il motivo principale è semplice: senza un dato di riferimento non è possibile dimostrare i progressi compiuti. “La consapevolezza è aumentata” è un’opinione. “Il tasso di clic è sceso da uno su quattro a uno su venti” è un risultato. Questa differenza è importante quando si richiede un budget alla direzione, ed è importante anche per i revisori.

• Rende visibile l'effetto della formazione. Ogni misurazione successiva viene confrontata con il valore di riferimento, in modo da poter verificare se il comportamento cambia effettivamente, anziché limitarsi a supporlo.
• Fornisce prove di conformità. Standard quali NIS2 e ISO 27001 richiedono alle organizzazioni di formare i dipendenti e di dimostrare l’efficacia della formazione. Una linea di base, unita a misurazioni periodiche, costituisce proprio tale prova.
• Indica dove concentrare gli sforzi. I risultati per dipartimento e per tema consentono di capire chi ha bisogno di cosa, in modo che l’impegno formativo sia indirizzato dove porta i risultati migliori.
• Questo crea un senso di urgenza. È facile ignorare le statistiche generiche; i dati relativi alla propria organizzazione, invece, no. Secondo il “Data Breach Investigations Report” di Verizon, il fattore umano gioca un ruolo in circa sei casi su dieci di violazioni dei dati. Una misurazione di riferimento mostra cosa ciò significhi nello specifico per la propria organizzazione.

Cosa si misura? I quattro numeri che contano

Una buona misurazione di riferimento fornisce una serie ridotta di dati che è possibile monitorare nel tempo. Quattro indicatori svolgono la maggior parte del lavoro:

• Tasso di clic. La percentuale di destinatari che cliccano sul link contenuto nell'e-mail di phishing simulata. È il dato più citato, ma non il più importante.
• Tasso di inserimento dei dati. La percentuale di utenti che compie un ulteriore passo e inserisce le proprie credenziali nella pagina di accesso contraffatta. È qui che si verificherebbe il vero danno.
• Tasso di segnalazione. La percentuale di dipendenti che segnalano le e-mail sospette. L’indicatore più sottovalutato di tutti: un solo dipendente attento che segnala tempestivamente protegge tutti i colleghi che hanno ricevuto lo stesso messaggio.
• Punteggio relativo alle conoscenze. Il punteggio medio ottenuto nella valutazione delle conoscenze, idealmente suddiviso per argomento, in modo da capire se le lacune riguardano il phishing, le password o un altro ambito ancora.

Effettuare le misurazioni a livello di gruppo: per team, reparto o sede. L’obiettivo di una misurazione di riferimento è migliorare l’organizzazione, non mettere in evidenza i singoli individui. Questa scelta consente inoltre di rimanere tranquillamente nel rispetto della normativa sulla privacy.

Come eseguire una misurazione di riferimento in cinque passaggi

1. Definisci l’ambito di applicazione e metti ordine sugli aspetti fondamentali. Decidi chi deve partecipare, preferibilmente tutti coloro che dispongono di una casella di posta elettronica, compresa la dirigenza. Assicurati che la tua politica di sicurezza menzioni in termini generali che le simulazioni di phishing ne fanno parte e coinvolgi il comitato aziendale. Comunica la politica, mai il momento specifico.
2. Esegui una simulazione di phishing a sorpresa. Utilizza un pretesto realistico e attuale e distribuisci l’invio nell’arco di diversi giorni, in modo che i colleghi non possano avvisarsi a vicenda e l’effetto sorpresa rimanga intatto. Un buon strumento di simulazione di phishing gestisce questa randomizzazione al posto tuo e tiene traccia automaticamente dei clic, dei dati inseriti e genera i report.
3. Aggiungi una breve verifica delle conoscenze. Sono sufficienti da dieci a quindici domande sui temi principali. Cerca di essere conciso: l’obiettivo è ottenere un alto tasso di risposta, non fare un esame. Sei curioso di sapere quali strumenti possono aiutarti in questo? Ne abbiamo confrontati nove nella nostra panoramica sulle valutazioni di sensibilizzazione alla sicurezza.
4. Analizzare per dipartimento e per tema. Combinare il comportamento (la simulazione) con le conoscenze (la valutazione). Un dipartimento che ottiene un punteggio elevato nelle conoscenze ma continua a commettere errori richiede un follow-up diverso rispetto a uno che semplicemente non ha mai sentito parlare di “quishing”.
5. Fissate degli obiettivi e programmate una nuova misurazione. Ad esempio: aumento del tasso di segnalazione, diminuzione del tasso di inserimento dati. Pianificate una nuova misurazione ogni trimestre, utilizzando gli stessi indicatori e con un livello di difficoltà comparabile, in modo da poter confrontare elementi simili tra loro.

Dal punto di partenza al programma: far muovere i numeri

Una misurazione iniziale senza follow-up è solo un’istantanea costosa. Il valore emerge quando la misurazione si integra in un programma. La formula vincente è l’opposto della sessione annuale di sensibilizzazione: brevi momenti di formazione ricorrenti che mantengono vivo l’argomento settimana dopo settimana. È esattamente così che è strutturata la moderna formazione sulla sicurezza informatica: sfide di pochi minuti, elementi di gamification per mantenere alta la partecipazione e scenari sempre nuovi che seguono l’evoluzione reale del panorama delle minacce.

Quindi effettua una nuova misurazione a intervalli regolari. Aspettati che il tasso di clic e quello di inserimento dati diminuiscano e, cosa altrettanto importante, che il tasso di segnalazione aumenti. Condividi i risultati del gruppo con l’intero team e festeggia chi ha effettuato le segnalazioni: un aumento del tasso di segnalazione è il segno più evidente che la consapevolezza si sta trasformando in comportamento.

Errori comuni nella misurazione di riferimento

• Annunciare il momento esatto. In questo modo si misura il livello di attenzione delle persone durante una settimana in cui è stato annunciato un test, non come si comportano in un normale martedì.
• Denuncia pubblica. Rendere noti i risultati relativi alle singole uccisioni mina la cultura della segnalazione che state cercando di instaurare e, per di più, crea problemi di privacy.
• Concentrarsi esclusivamente sul tasso di clic. Il tasso di segnalazione la dice lunga sulla vostra resilienza molto più di quanto non faccia il tasso di clic. Un’organizzazione in cui nessuno effettua segnalazioni è fragile, per quanto basso possa essere il tasso di clic.
• Considerarla come un caso isolato. Una misurazione di riferimento merita questo nome solo se seguita da una seconda misurazione. I numeri perdono rapidamente di attualità.
• Rendere la prima simulazione estrema. Un’e-mail di spear phishing impossibile o palesemente falsa produce dati inutili. Scegliete un livello di difficoltà intermedio che rispecchi ciò che la vostra organizzazione riceve effettivamente.

Domande frequenti sulla valutazione di riferimento della consapevolezza in materia di sicurezza

Con quale frequenza è consigliabile ripetere la misurazione?

Una volta al trimestre è una frequenza comune e praticabile. Ripetete le stesse misurazioni con un livello di difficoltà comparabile, altrimenti l’andamento non è significativo. Dopo un anno avrete cinque dati: il valore di riferimento più quattro nuove misurazioni, e un quadro della situazione che potrete illustrare alla direzione e ai revisori.

Sono consentite le simulazioni di phishing senza preavviso?

Sì, a condizione che vengano gestite con attenzione. Assicurati che i dipendenti sappiano, in linea generale, che le simulazioni fanno parte della politica di sicurezza, comunica i risultati a livello di gruppo e non applicare mai sanzioni in caso di clic errato. Coinvolgi il comitato aziendale prima di iniziare. Se gestita in questo modo, una simulazione è uno strumento di formazione e rientra nei principi del GDPR.

Qual è un buon tasso di clic per una prima misurazione?

Non esiste un parametro di riferimento universale: il risultato dipende in larga misura dalla difficoltà della simulazione e dal settore. I valori a due cifre non sono un’eccezione in una prima misurazione, quindi non lasciatevi sorprendere dal numero. Il valore di riferimento non è un voto, ma un punto di partenza. Ciò che conta è l’andamento delle misurazioni successive.

Quanto tempo richiede una misurazione di riferimento?

Considerate un periodo complessivo compreso tra due e quattro settimane: una simulazione distribuita su diversi giorni, una settimana per la valutazione delle conoscenze e un po’ di tempo per l’analisi. L’allestimento vero e proprio è rapido grazie agli strumenti moderni; il lasso di tempo previsto serve principalmente a garantire che la valutazione avvenga a sorpresa e sia rappresentativa.

La valutazione iniziale è la parte meno appariscente di un programma di sensibilizzazione alla sicurezza, ma è in realtà quella più importante. Sostituisce le supposizioni con i numeri e trasforma la formazione da un semplice obbligo da spuntare a qualcosa che si può effettivamente guidare. Prima si misura, poi si forma: tutto ciò che si fa in seguito funziona meglio proprio grazie a questo.