Le persone sono il principale vettore di attacco per le organizzazioni, non l’ultima linea di difesa

Emiliano Massa, Area Vice President Sales SEUR di Proofpoint, riflette sul ruolo degli individui quando si parla di cybersecurity. Fonte di pericolo oppure elemento di protezione? E come le organizzazioni possono garantirsi che le loro persone svolgano un ruolo positivi nella sicurezza aziendale?

Nel corso dell’ultimo anno, le organizzazioni di tutto il mondo hanno risentito dell’aumento delle minacce informatiche, con una tendenza che va oltre ogni potenziale segmentazione geografica. Nel 2021, l’’Europa in particolare si è collocata al secondo posto nel mondo per numero di attacchi, con una prevalenza di ransomware – pari al 26% degli attacchi totali. mentre l’Italia si è  collocata al primo posto in Europa per numero di attacchi ransomware nel primo semestre del 2022.

Secondo ENISA, il costo del ransomware potrebbe superare i 250 miliardi di euro entro il 2031. Sempre piu rilevanti saranno gli attori sponsorizzati dagli stati (state sponsored attacks), che continueranno a concentrare i loro attacchi sulle catene di approvvigionamento (supply chain).

I rischi informatici continuano a evolversi, ma un aspetto rimane costante: le persone svolgono il ruolo principale negli incidenti di cybersecurity e nelle violazioni dei dati. Secondo il Verizon 2022 Data Breach Investigation Report, l’elemento umano è stato coinvolto nell’82% delle violazioni avvenute a livello globale lo scorso anno, con una tendenza che prosegue dall’anno scorso.

Nonostante i crescenti investimenti in cybersecurity, le organizzazioni faticano a tenere testa alle minacce informatiche incentrate sulle persone. Una sfida particolarmente impegnativa è quella del cambiamento comportamentale, e il modo migliore per risolverla è la cultura della cybersecurity per promuovere un cambiamento organizzativo duraturo.

Le persone come principale vettore di attacco

Il recente report Voice of the CISO di Proofpoint ha rilevato che i CISO considerano gli insider come la principale minaccia alla sicurezza della loro organizzazione. Questo rischio percepito è ancora più elevato in Italia, dove il 34% dei CISO ha classificato gli insider al primo posto tra le minacce (rispetto al 31% a livello globale). Nonostante questo,  molti CISO commettono un errore comune quando cercano di affrontare questa vulnerabilità: pensano alle persone come all’ultima linea di difesa della loro azienda.

In realtà, le persone sono il principale vettore di attacco. Cercare di proteggere gli individui dopo il fallimento di tutte le altre protezioni semplicemente non funziona. I criminali informatici attaccano prima le persone e poi le infrastrutture, quindi la creazione di difese incentrate sugli utenti è fondamentale per l’approccio alla sicurezza, e inizia con la definizione di una solida cultura della sicurezza.

Guidare il cambiamento culturale in modo olistico

Le organizzazioni hanno fatto passi da gigante nella sensibilizzazione alla cybersecurity. L’indagine di Proofpoint ha rilevato che Il 60% dei CISO ritiene che i dipendenti comprendano il loro ruolo nella protezione dell’azienda dalle minacce IT, anche se il 56% considera ancora l’errore umano la principale vulnerabilità dell’organizzazione.

Tuttavia, il programma di sensibilizzazione è solo una componente della cultura della sicurezza. Sebbene non esista un modello “uguale per tutti” l’adozione di un approccio multiforme migliora notevolmente il successo. I dipendenti imparano in molti modi, ed è importante fornire diverse opportunità di formazione e opzioni possono variare da conversazioni informali ed esercitazioni di phishing a micro-formazione per ruoli specifici. La chiave è fornirli con costanza e frequenza, non solo come evento formativo annuale o simulazione occasionale di phishing.

È importante comprendere che l’obiettivo della vostra cultura della sicurezza non è  di puntare il dito. Pensiamo a un incidente di phishing come a una rapina in banca: qualcuno incolperebbe il cassiere per aver consegnato del denaro a un rapinatore? Ovviamente no. L’obiettivo è di responsabilizzare il personale, in modo che si senta a proprio agio nel segnalare gli incidenti senza temere conseguenze.

Una cultura della sicurezza priva di colpe non significa che non si debba responsabilizzare il personale, ma utilizzare metriche per capire quanto stiano funzionando gli sforzi. Ad esempio, il comportamento costantemente rischioso di un individuo può giustificare un’azione disciplinare, ma solo dopo aver fornito adeguate opportunità di apprendimento e correzione.

Trovate i vostri campioni di sicurezza

La promozione di una solida cultura della sicurezza non è responsabilità esclusiva di un solo team, che si tratti di risorse umane, IT o cybersecurity. È necessario il coinvolgimento di tutti i livelli dell’organizzazione, dai dirigenti fino ai dipendenti in prima linea. Ogni azienda ha persone appassionate di sicurezza – bisogna individuarle e reclutarle come champion.

Indipendentemente da chi trasmette il messaggio sulla cybersecurity, deve ripercuotersi sul personale e il suo lavoro quotidiano. Ad esempio, in molti settori la cybersecurity può essere allineata alla sicurezza fisica, che è sempre una priorità assoluta.  È possibile utilizzare i canali consolidati per creare un chiaro collegamento tra difesa dalle minacce informatiche e missione di safety e condividere le metriche che guidano questo messaggio.

Metriche che possono variare in base all’azienda, ma che dovrebbero includere misure quantitative e qualitative. Gli indicatori concreti, come i tassi di clic per le simulazioni di phishing, sono in genere più facili da determinare e riportano progressi e prestazioni. Ma anche le misure qualitative rivelano molto sulla cultura e possono essere molto semplici, ad esempio richiedere feedback informali su una policy o un programma di sicurezza o osservare la frequenza con cui viene affrontato il tema della consapevolezza informatica nelle riunioni dei vari team.

La cultura della sicurezza informatica è una parte essenziale del set di strumenti, soprattutto se l’obiettivo aziendale è il cambiamento dei comportamenti. Come qualsiasi altro livello difensivo, la cultura non è mai infallibile. Tuttavia, considerando la natura delle minacce odierne, incentrate sulle persone, è il livello più critico per proteggere l’intera organizzazione.

Contenuti correlati

• 
  Avvicendamento al CINI Cybersecurity National Lab

  La Direzione del CINI Cybersecurity National Lab rivolge i migliori auguri di buon lavoro al nuovo Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale (ACN), Andrea Quacivi, rinnovando la piena disponibilità a proseguire e rafforzare la collaborazione istituzionale...
• 
  Ricerca di Rockwell Automation: i produttori italiani sono sempre più orientati all’esecuzione e alla crescita

  Rockwell Automation ha annunciato i risultati relativi all’Italia dell’11ª edizione del suo State of Smart Manufacturing Report. La ricerca evidenzia un cambiamento nell’approccio dei produttori italiani alla trasformazione digitale: oggi, infatti, crescita ed espansione della capacità produttiva...
• 
  The smarter E Europe: networking sicuro per infrastrutture energetiche critiche con Moxa

  Moxa Europe GmbH, azienda punto di riferimento nelle soluzioni di comunicazione e networking industriale, presenterà a EM-Power Europe, nell’ambito di The smarter E Europe (Messe München dal 23 al 25 giugno 2026), presso il Padiglione B.5, Stand...
• 
  Si delinea il programma di secsolutionforum 2026

  Secsolutionforum 2026 torna in presenza il 7 e 8 ottobre 2026 a BolognaFiere, all’interno di Urban Tech 2026 – The Urban Technology Show, l’ecosistema dedicato a e-mobility, traffic, commuting, tlc & data ed environment. Dopo sei edizioni...
• 
  Lo standard IEC62443

  Vediamo qui la norma IEC62443, che stabilisce linee guida e regole da seguire per la sicurezza delle reti industriali OT Leggi l’articolo
• Manifatturiero italiano sotto attacco: ecco il paradosso che i dati non raccontano

  “Never touch a running system”: è il principio non scritto che governa la gestione dei macchinari in molti stabilimenti italiani. Non per resistenza al cambiamento, ma perché ogni intervento può avere un costo operativo immediato e, a volte,...
• 
  Moxa ottiene la prima certificazione IEC 62443-4-2

  Moxa annuncia che la sua serie NPort 6000-G2 è diventata il primo server di dispositivi seriali al mondo a ottenere la certificazione IEC 62443-4-2 Livello di Sicurezza 2 nell’ambito dello schema di certificazione IECEE. Questo traguardo riflette l’impegno...
• 
  Nozomi Networks Labs: attacchi ransomware minacciano il 30% del PIL mondiale, manifatturiero italiano nel mirino

  Il 70% dell’attività ransomware globale è diretta verso i principali paesi anglofoni, secondo il più recente rapporto OT & IoT Security di Nozomi Networks Labs. Nella seconda metà dello scorso anno, il 40% di tutti gli attacchi...
• 
  Tra crescente consapevolezza e incompleta maturità

  Le aziende italiane aumentano l’attenzione alla cybersecurity, ma restano divari operativi, soprattutto nelle PMI. Tra minacce sempre più evolute e nuove tecnologie, emerge la necessità di un approccio strutturato, resiliente e orientato al modello Zero Trust Leggi...
• 
  Il trasporto pubblico è un’infrastruttura critica. Ed è ora di proteggerlo in modo adeguato

  La sicurezza nel trasporto pubblico locale sta cambiando funzione. Non è più soltanto uno strumento per documentare gli eventi: sta diventando una componente della gestione operativa, capace da un lato di tutelare in tempo reale il personale...