Il 91% degli attacchi informatici inizia con un'email di phishing. Non con un exploit sofisticato, non con un hacker che buca il firewall — con un dipendente che clicca sul link sbagliato. Questa statistica, da sola, spiega perche la formazione in cybersecurity e probabilmente la misura di sicurezza con il miglior rapporto costo-efficacia.
La NIS2 lo ha capito e ha inserito la formazione tra gli obblighi espliciti, con una particolarita: non basta formare i dipendenti operativi. La normativa richiede che anche gli organi direttivi — CdA, amministratori delegati, direttori generali — seguano formazione specifica in materia di cybersicurezza. Non possono delegare e basta.
Cosa richiede la NIS2 sulla formazione
- Formazione del management — gli organi direttivi devono acquisire conoscenze sufficienti per comprendere i rischi cyber e supervisionare le misure di sicurezza
- Security awareness per tutti — tutti i dipendenti devono ricevere formazione di base sulla sicurezza informatica
- Formazione periodica — non basta un corso una tantum, la formazione deve essere continua
- Documentazione — le attivita formative devono essere tracciate e documentate
Formazione per il management: cosa deve sapere il CdA
La NIS2 e chiara: gli organi direttivi non possono cavarsela dicendo "ci pensa l'IT". Devono capire i rischi, approvare le misure e rispondere in caso di violazioni. Ma questo non significa che il CdA debba diventare esperto di malware analysis — serve una formazione mirata.
Il management deve comprendere: il panorama delle minacce nel proprio settore, le implicazioni delle decisioni di investimento sulla sicurezza, gli obblighi normativi e le sanzioni, il ruolo della governance nella protezione cyber, le procedure di gestione degli incidenti. Una formazione di 8-16 ore, con aggiornamenti annuali, e generalmente sufficiente.
Security awareness per i dipendenti
La formazione di base per tutti i dipendenti deve coprire i rischi quotidiani: riconoscere il phishing, gestire le password, proteggere i dispositivi, segnalare attivita sospette, lavorare in sicurezza da remoto. Ma attenzione: le classiche slide PowerPoint da 200 pagine lette una volta l'anno non funzionano.
I programmi di security awareness piu efficaci usano approcci diversi: micro-learning (pillole da 5 minuti), simulazioni di phishing, gamification, casi reali del settore, video brevi. La chiave e la frequenza e la varieta: meglio 5 minuti alla settimana che 8 ore una volta l'anno.
Simulazioni di phishing: pro e contro
Le simulazioni di phishing — inviare email false ai dipendenti per testare la loro reattivita — sono uno strumento potente ma controverso. Funzionano bene per misurare il livello di consapevolezza e per sensibilizzare chi clicca. Ma se gestite male possono creare un clima di sfiducia e paura.
Il consiglio: usa le simulazioni come strumento educativo, non punitivo. Chi clicca sul phishing simulato non va sanzionato ma formato. Condividi i risultati aggregati, non individuali. E non rendere le simulazioni troppo ingannevoli — l'obiettivo e insegnare, non umiliare.
Misurare l'efficacia della formazione
Come sai se la formazione funziona? Ecco i KPI da monitorare:
- Tasso di click su phishing simulato — dovrebbe diminuire nel tempo (target: sotto il 5%)
- Tasso di segnalazione — i dipendenti segnalano le email sospette? (target: sopra il 30%)
- Tempo di segnalazione — quanto velocemente segnalano? (target: entro 10 minuti)
- Incidenti causati da errore umano — dovrebbero diminuire nel tempo
- Completamento dei corsi — chi ha fatto la formazione? (target: 100%)
Formazione specifica per ruoli
Oltre alla formazione di base, servono percorsi specifici per ruolo. Il team IT ha bisogno di formazione tecnica su gestione vulnerabilita, incident response e configurazioni sicure. Gli sviluppatori devono conoscere il secure coding. Il team HR deve sapere gestire i rischi legati all'onboarding e all'offboarding. L'ufficio acquisti deve saper valutare la sicurezza dei fornitori.
Budget e risorse per la formazione
Il costo della formazione cybersecurity e molto variabile. Piattaforme di e-learning come KnowBe4, Proofpoint o Cyber Guru costano tra 15 e 40 euro per dipendente all'anno. La formazione del management tramite consulenti specializzati costa tra 2.000 e 10.000 euro per sessione. Per una PMI con 100 dipendenti, un budget annuale di 5.000-15.000 euro copre formazione di base e simulazioni.
E un investimento che si ripaga rapidamente: basta un attacco phishing evitato per coprire anni di formazione.