Formazione dei dipendenti sulla sicurezza informatica: come organizzarla davvero

La formazione dei dipendenti funziona quando è breve, ripetuta, concreta e priva di colpevolizzazione: pochi minuti ogni mese su situazioni reali (email di finto fornitore, richiesta urgente di bonifico, link per "reimpostare la password") battono un corso di quattro ore all'anno. L'obiettivo non è trasformare tutti in esperti, ma ottenere tre comportamenti: riconoscere i segnali di allarme, fermarsi prima di agire e segnalare subito. Un'azienda in cui segnalare un errore è sicuro scopre gli incidenti in minuti anziché in settimane.

Perché serve, anche con buoni strumenti

I filtri di posta e le protezioni delle postazioni bloccano molto, ma non tutto. Molti attacchi si basano sull'inganno di una persona: una fattura falsa, un messaggio che sembra del direttore, una pagina di accesso contraffatta. Gli strumenti riducono i casi, la formazione riduce l'efficacia di quelli che passano. Inoltre la formazione è richiesta o attesa da diverse norme: per i soggetti NIS2 è prevista anche per gli organi di amministrazione, e il GDPR richiede che le persone autorizzate al trattamento siano istruite (articolo 29 e articolo 32).

Che cosa insegnare: i contenuti prioritari

Tema	Obiettivo pratico
Phishing e smishing (SMS)	Riconoscere mittenti, urgenza, link e allegati sospetti
Truffa del finto fornitore o del finto dirigente	Verificare ogni cambio di IBAN o richiesta di pagamento con un secondo canale
Password e MFA	Usare password uniche e lunghe, un gestore di password, non approvare richieste MFA non avviate
Dispositivi e aggiornamenti	Installare gli aggiornamenti, bloccare lo schermo, non collegare chiavette sconosciute
Dati e riservatezza	Sapere cosa è confidenziale, a chi si può inviare, come condividere in modo sicuro
Lavoro fuori sede	Reti pubbliche, VPN, riservatezza in luoghi pubblici
Segnalazione	Come e a chi riportare un dubbio o un errore

Tre regole semplici funzionano bene nelle PMI: non cliccare quando c'è urgenza, verificare con una telefonata a un numero già noto, segnalare sempre.

Frequenza e formato

Una struttura sostenibile:

Accoglienza dei nuovi assunti: 30-45 minuti entro la prima settimana, con accessi e regole di base.
Micro-formazione mensile: un video o un testo di cinque minuti, con una domanda finale.
Simulazioni di phishing periodiche (vedi sotto).
Sessione annuale in presenza o a distanza con casi reali e novità.
Formazione mirata per ruoli esposti: amministrazione e contabilità (truffe sui pagamenti), segreteria (allegati), IT (procedure di accesso), direzione (spear phishing, responsabilità).

Esempio illustrativo: per un'azienda di 30 persone, cinque minuti al mese per persona sono due ore e mezza di lavoro all'anno a testa se si sommano tutte le micro-lezioni, oltre a una sessione annuale di un'ora. È una quantità sostenibile e superiore, per efficacia, a una singola giornata formativa annuale.

Le simulazioni di phishing

Le simulazioni inviano ai dipendenti messaggi falsi, creati dall'azienda o da un fornitore, per misurare quanti cliccano o segnalano. Per usarle bene:

Annuncia il programma in generale (senza dire quando), spiegando che l'obiettivo è imparare, non sanzionare.
Parti da messaggi facili e aumenta gradualmente la difficoltà.
Dopo il clic, mostra subito una pagina educativa che spiega i segnali che si potevano riconoscere.
Non umiliare né sanzionare chi cade, e non pubblicare risultati individuali.
Valorizza chi segnala: il tasso di segnalazione è un indicatore migliore del tasso di clic.
Evita temi che sfruttano emozioni sensibili (premi, ritardi nei pagamenti degli stipendi, lutti), per correttezza verso i lavoratori.

Privacy e rapporti di lavoro

Le simulazioni trattano dati personali (chi ha cliccato, chi ha segnalato) e possono incidere sui rapporti di lavoro. Alcune accortezze: informare i dipendenti con un'informativa sul trattamento, definire la base giuridica e lo scopo (sicurezza e formazione), limitare i dati raccolti, preferire report aggregati, conservare i dati per il tempo necessario e non usarli a fini disciplinari. Se la piattaforma può comportare un controllo a distanza dell'attività lavorativa, considera le garanzie dell'articolo 4 dello Statuto dei lavoratori e coinvolgi il consulente privacy e il consulente del lavoro. Se il fornitore della piattaforma tratta dati per tuo conto, serve la nomina a responsabile del trattamento.

Come misurare i risultati

Scegli pochi indicatori semplici e confrontali nel tempo:

Tasso di segnalazione dei messaggi sospetti (da far crescere).
Tasso di clic nelle simulazioni (da far calare).
Tempo medio di segnalazione dall'arrivo del messaggio.
Partecipazione alle attività formative.
Numero di incidenti legati al fattore umano e loro gravità.

Esempio illustrativo: se in una simulazione su 40 persone 12 cliccano (30 per cento) e 4 segnalano (10 per cento), l'obiettivo del trimestre successivo potrebbe essere portare i clic sotto il 20 per cento e le segnalazioni sopra il 25 per cento. Sono obiettivi di esempio, da adattare alla propria realtà.

Il ruolo della direzione

La cultura della sicurezza parte dall'alto. Se il titolare chiede di saltare le regole "perché ha fretta", il messaggio è che le regole non contano. Alcune azioni concrete: partecipare alla formazione, adottare per primi l'autenticazione a più fattori, ringraziare pubblicamente chi segnala un errore, includere la sicurezza negli incontri periodici. Per i soggetti NIS2 il coinvolgimento degli organi di amministrazione è anche un obbligo; vedi la guida NIS2 per le PMI.

Errori frequenti

Corso unico annuale dimenticato dopo una settimana.
Linguaggio tecnico che allontana le persone non specialiste.
Sanzioni per chi segnala un errore: il risultato è che nessuno segnala.
Formazione uguale per tutti, senza considerare i ruoli a maggior rischio.
Mancanza di un canale di segnalazione chiaro (un indirizzo, un numero, un pulsante).

Domande frequenti

La formazione è obbligatoria?

Per il trattamento dei dati personali le persone autorizzate devono essere istruite; per i soggetti NIS2 la formazione è parte delle misure e riguarda anche gli organi di amministrazione. In generale è comunque una misura di sicurezza consigliata.

Le simulazioni di phishing sono lecite?

Possono esserlo se condotte con trasparenza, finalità di formazione, minimizzazione dei dati e nel rispetto dei diritti dei lavoratori. Chiedi un parere al consulente privacy e del lavoro.

Ogni quanto vanno ripetute?

Una cadenza mensile o trimestrale funziona meglio di eventi annuali isolati.

Come motivo i dipendenti?

Con casi vicini al loro lavoro, esempi di truffe reali anche nella vita privata, riconoscimento per chi segnala e assenza di colpevolizzazione.

Fonti ufficiali

Agenzia per la Cybersicurezza Nazionale — materiali e indicazioni sulla consapevolezza di cybersicurezza.
Garante per la protezione dei dati personali — trattamento dei dati e controllo a distanza dei lavoratori.
Polizia Postale e delle Comunicazioni - Commissariato di PS online — informazioni su truffe e raggiri online.