Negli ultimi anni le organizzazioni hanno investito enormemente nella sicurezza tecnologica. Firewall di nuova generazione, autenticazione multifattore, sistemi di monitoraggio, piattaforme di protezione degli endpoint e servizi SOC sono diventati elementi sempre più diffusi anche nelle realtà di dimensioni medio-piccole. Parallelamente, i framework normativi hanno innalzato il livello delle misure richieste, imponendo processi strutturati di gestione del rischio, monitoraggio continuo e capacità di risposta agli incidenti.
Eppure, osservando le principali analisi internazionali sugli incidenti informatici, emerge un dato che si ripete con sorprendente costanza: una parte significativa delle violazioni continua ad avere origine da comportamenti umani. Non necessariamente da azioni dolose, ma molto più spesso da decisioni prese in fretta, automatismi consolidati o semplice mancanza di consapevolezza.
È per questo che la formazione sta assumendo un ruolo completamente diverso rispetto al passato. Non rappresenta più un’attività accessoria o un obbligo da soddisfare periodicamente, ma uno degli strumenti attraverso cui l’organizzazione costruisce la propria capacità di gestire il rischio.
La tecnologia protegge i sistemi, le persone prendono decisioni
Quando si parla di cybersecurity, l’immaginario collettivo continua a concentrarsi sugli aspetti tecnologici. Si pensa agli hacker, ai malware, alle vulnerabilità software o agli attacchi ransomware. In realtà, molti di questi eventi riescono ad avere successo perché incontrano un comportamento favorevole lungo il loro percorso.
Un messaggio di phishing viene aperto perché sembra credibile. Un allegato viene scaricato perché arriva in un momento di particolare pressione lavorativa. Una password viene riutilizzata perché è più semplice ricordarla. Un documento contenente dati personali viene inviato al destinatario sbagliato perché la procedura quotidiana prevale sull’attenzione.
La tecnologia può ridurre la superficie di attacco, ma sono le persone a prendere continuamente decisioni che influenzano il livello di esposizione dell’organizzazione. Per questo motivo la formazione non dovrebbe limitarsi a trasferire conoscenze teoriche: dovrebbe aiutare a riconoscere situazioni di rischio all’interno del lavoro quotidiano, trasformando comportamenti corretti in abitudini consolidate.
GDPR: la formazione è una misura organizzativa
Il Regolamento (UE) 2016/679 affronta questo tema in modo molto chiaro. L’articolo 32 richiede l’adozione di misure tecniche e organizzative adeguate al rischio, mentre l’articolo 39 attribuisce al DPO anche il compito di sensibilizzare e formare il personale coinvolto nei trattamenti.
Questi riferimenti dimostrano come la protezione dei dati personali non possa essere garantita esclusivamente attraverso strumenti tecnologici. Procedure, consapevolezza e competenze diventano parte integrante del sistema di sicurezza.
È sufficiente osservare i data breach notificati alle autorità per rendersi conto che molte violazioni derivano da errori apparentemente banali: un’e-mail inviata al destinatario sbagliato, un allegato condiviso senza verifiche, un accesso con credenziali compromesse, una configurazione errata. Situazioni diverse, accomunate da un elemento ricorrente: il fattore umano.
NIS2 e la security awareness come processo continuo
Anche la Direttiva NIS2 dedica grande attenzione alle persone. Le misure di gestione del rischio previste dall’articolo 21 comprendono infatti attività di formazione e sensibilizzazione del personale, riconoscendo che la resilienza di un’organizzazione dipende tanto dalle tecnologie quanto dalla capacità delle persone di utilizzarle correttamente.
Negli ultimi anni molte aziende hanno introdotto campagne di phishing simulation, esercitazioni pratiche e percorsi di cyber awareness. L’obiettivo non è verificare chi commette errori, ma creare familiarità con situazioni che potrebbero verificarsi nella quotidianità lavorativa.
Un dipendente che impara a riconoscere un tentativo di phishing oggi sarà probabilmente più preparato anche di fronte a tecniche di attacco differenti domani. La formazione costruisce quindi un patrimonio di attenzione che va ben oltre il singolo corso.
L’AI Act introduce un nuovo concetto: AI Literacy
Se cyber awareness e privacy awareness rappresentano ormai temi consolidati, l’intelligenza artificiale apre un fronte completamente nuovo.
L’articolo 4 dell’AI Act introduce il principio dell’AI Literacy, chiedendo a provider e deployer di adottare misure che garantiscano un livello adeguato di competenza da parte di chi utilizza sistemi di intelligenza artificiale.
Il tema va ben oltre l’apprendimento di uno strumento. Significa comprendere quali dati possano essere inseriti all’interno di un sistema di AI, come interpretarne gli output, quando esercitare supervisione umana e quali limiti possano caratterizzare le risposte generate.
In molte organizzazioni l’adozione dell’AI sta procedendo molto più rapidamente della formazione delle persone che la utilizzano. Questo genera un nuovo tipo di rischio, meno evidente di un attacco informatico ma altrettanto rilevante: l’utilizzo inconsapevole di strumenti che influenzano processi decisionali, trattamento dei dati e attività operative.
Una cultura del rischio costruita nel tempo
Cyber awareness, formazione privacy e AI literacy vengono spesso pianificate come iniziative indipendenti, gestite da funzioni differenti e con obiettivi apparentemente separati.
In realtà condividono la stessa finalità: aumentare la capacità dell’organizzazione di prendere decisioni corrette nelle situazioni in cui la tecnologia, da sola, non può intervenire.
Una cultura del rischio non nasce da un corso annuale, ma da un percorso continuo di sensibilizzazione, aggiornamento ed esercitazione. Ogni campagna di phishing, ogni simulazione, ogni caso pratico discusso in aula contribuisce a costruire una memoria organizzativa che rende più facile riconoscere i segnali deboli prima che si trasformino in incidente.
Le organizzazioni più mature non misurano soltanto il numero di corsi erogati. Cercano di capire se, nel tempo, i comportamenti delle persone stiano realmente cambiando.
👉 Formare le persone significa rafforzare uno dei principali elementi di resilienza dell’organizzazione. Nel prossimo approfondimento vedremo come C*RA consente di pianificare, documentare e monitorare percorsi di cyber awareness, formazione privacy e AI literacy, trasformando la formazione in un processo continuo di governance.