Le principali normative in materia di cybersecurity, privacy e intelligenza artificiale stanno attribuendo un ruolo sempre più importante alla formazione del personale. Il GDPR richiede che le persone coinvolte nel trattamento dei dati siano adeguatamente sensibilizzate; la Direttiva NIS2 inserisce la security awareness tra le misure di gestione del rischio; l’AI Act introduce il concetto di AI Literacy, chiedendo alle organizzazioni di garantire un livello adeguato di competenze a chi utilizza sistemi di intelligenza artificiale.
Questi obblighi hanno un elemento in comune: nessuna norma si limita a richiedere l’organizzazione di un corso. Ciò che viene richiesto è la capacità di costruire un processo continuo, documentato e verificabile, in grado di dimostrare che le persone abbiano acquisito competenze coerenti con il proprio ruolo e con i rischi che devono gestire.
Nella pratica, tuttavia, molte organizzazioni continuano ad affrontare questi temi in modo separato. La formazione privacy viene pianificata dal DPO, le campagne di phishing sono gestite dall’IT o dal SOC, mentre l’adozione dell’intelligenza artificiale procede spesso senza un percorso strutturato di alfabetizzazione. Il risultato è una molteplicità di iniziative che raramente convergono in una visione unica del fattore umano come elemento della governance del rischio.
C*RA nasce proprio con l’obiettivo di integrare questi percorsi all’interno di un modello coerente di gestione della compliance e del rischio, trasformando la formazione da semplice attività periodica a processo continuo di governance.
Le norme chiedono evidenze, non semplici attestati
Durante un audit o una verifica ispettiva capita spesso che venga richiesta la documentazione relativa alle attività formative svolte dall’organizzazione. Tuttavia, limitarsi a esibire un attestato di partecipazione raramente è sufficiente per dimostrare l’efficacia del percorso intrapreso.
Le autorità e gli organismi di certificazione sono sempre più interessati a comprendere come la formazione venga pianificata, aggiornata e collegata ai rischi reali dell’organizzazione.
- Chi ha partecipato ai corsi?
- Con quale frequenza vengono aggiornati i contenuti?
- Le persone esposte a rischi differenti ricevono la stessa formazione?
- Come vengono gestiti i nuovi assunti?
- Come vengono monitorati i mancati completamenti?
Sono domande che riflettono un cambio di prospettiva: la formazione non è più vista come un evento isolato, ma come una misura organizzativa che deve essere mantenuta nel tempo.
Attraverso C*RA tutte queste informazioni possono essere gestite in modo centralizzato, consentendo di documentare attività svolte, destinatari, scadenze, aggiornamenti e stato di completamento dei diversi percorsi formativi.
Percorsi differenti per rischi differenti
Uno degli aspetti più interessanti introdotti dalle normative più recenti riguarda la crescente attenzione ai ruoli organizzativi.
Non tutte le persone affrontano gli stessi rischi e, di conseguenza, non tutte dovrebbero ricevere lo stesso percorso formativo.
Chi opera nell’area amministrativa tratta dati personali con modalità differenti rispetto a chi sviluppa software. Un membro del Consiglio di Amministrazione affronta responsabilità diverse rispetto a un operatore di help desk. Chi utilizza quotidianamente strumenti di intelligenza artificiale è esposto a problematiche differenti rispetto a chi non ne fa uso.
Per questo motivo C*RA consente di organizzare campagne formative differenziate in funzione del ruolo ricoperto, dei processi aziendali, delle responsabilità assegnate o dei rischi associati alle diverse attività.
La formazione diventa così più pertinente, evitando percorsi standardizzati che spesso finiscono per risultare poco efficaci.
Dalle campagne di phishing alla security awareness
Negli ultimi anni le simulazioni di phishing sono diventate uno degli strumenti più efficaci per aumentare la consapevolezza del personale.
Il loro valore, però, non risiede soltanto nella possibilità di verificare quanti utenti abbiano cliccato su un collegamento malevolo.
Ogni campagna rappresenta un’occasione per comprendere dove si concentrano le principali criticità comportamentali, quali reparti risultano maggiormente esposti e quali argomenti richiedano ulteriori attività di sensibilizzazione.
L’integrazione tra queste iniziative e il sistema di governance consente di trasformare un semplice test in un elemento utile al miglioramento continuo.
I risultati delle campagne possono infatti contribuire ad aggiornare la valutazione dei rischi, indirizzare nuovi interventi formativi e documentare l’evoluzione del livello di consapevolezza dell’organizzazione nel tempo.
AI Literacy: una nuova competenza da governare
L’introduzione dell’AI Act ha ampliato ulteriormente il concetto di formazione.
L’articolo 4 del Regolamento (UE) 2024/1689 richiede infatti che fornitori e utilizzatori di sistemi di intelligenza artificiale adottino misure idonee a garantire un adeguato livello di alfabetizzazione sull’AI.
Per molte organizzazioni si tratta di una sfida completamente nuova.
L’intelligenza artificiale viene ormai utilizzata quotidianamente per produrre documenti, analizzare dati, generare codice o supportare decisioni operative. Tuttavia, il corretto utilizzo di questi strumenti richiede competenze specifiche: comprendere i limiti dei modelli, verificare l’affidabilità degli output, evitare l’inserimento di dati riservati e riconoscere situazioni nelle quali è indispensabile mantenere una supervisione umana.
C*RA permette di inserire anche questi percorsi all’interno del piano formativo aziendale, mantenendo una visione unitaria delle attività di cyber awareness, formazione privacy e AI Literacy.
Formazione collegata ai processi e alla gestione del rischio
Uno dei principali limiti dei sistemi tradizionali è che la formazione viene spesso gestita come un’attività separata rispetto agli altri processi di governance.
In realtà esiste un legame molto stretto tra competenze delle persone e livello di rischio dell’organizzazione.
Un processo che tratta dati personali dovrebbe prevedere personale formato sugli obblighi del GDPR. Un’attività critica ai fini NIS2 dovrebbe coinvolgere utenti sensibilizzati sui principali vettori di attacco informatico. Chi utilizza strumenti di AI dovrebbe conoscere le regole introdotte dall’AI Act e le procedure interne definite dall’organizzazione.
Attraverso C*RA le attività formative possono essere collegate ai processi, ai rischi, ai ruoli organizzativi e ai framework normativi già gestiti all’interno della piattaforma.
Questo consente di leggere la formazione come parte integrante del sistema di controllo, contribuendo a rendere più coerente la valutazione del rischio complessivo.
Storicizzazione, reporting e miglioramento continuo
Uno degli aspetti più apprezzati durante audit e verifiche riguarda la possibilità di dimostrare come il livello di consapevolezza dell’organizzazione si sia evoluto nel tempo.
Per questo motivo C*RA mantiene lo storico delle attività formative, delle campagne svolte, dei partecipanti, degli aggiornamenti periodici e delle evidenze raccolte.
Dashboard e report consentono al management, al DPO, ai responsabili della sicurezza e agli auditor di avere una visione aggiornata dello stato della formazione, individuando rapidamente eventuali aree scoperte o percorsi da pianificare.
La gestione centralizzata riduce inoltre gran parte delle attività manuali normalmente necessarie per convocare i partecipanti, monitorare i completamenti, raccogliere gli attestati e predisporre la documentazione richiesta durante audit o ispezioni.
Una cultura della sicurezza che cresce insieme all’organizzazione
Le tecnologie continueranno a evolvere e con esse evolveranno anche le minacce, le normative e gli strumenti utilizzati quotidianamente dalle persone.
La capacità di un’organizzazione di adattarsi a questo cambiamento dipenderà sempre meno dalla quantità di corsi erogati e sempre più dalla continuità con cui saprà sviluppare competenze, misurarne l’efficacia e aggiornarle nel tempo.
Gestire cyber awareness, formazione privacy e AI Literacy all’interno di un unico processo permette di costruire una cultura della sicurezza più coerente, più misurabile e più facilmente integrabile con il sistema di governance aziendale.
È proprio questa la prospettiva con cui C*RA supporta le organizzazioni: trasformare la formazione in uno strumento stabile di gestione del rischio, capace di accompagnare l’evoluzione normativa e tecnologica senza aumentare la complessità operativa.
👉 Cyber awareness, formazione privacy e AI Literacy sono oggi elementi centrali della governance del rischio. Se vuoi approfondire come pianificare, documentare e monitorare questi percorsi in modo integrato, scopri come C*RA supporta la gestione della formazione all’interno di un unico framework di compliance e risk management.