4 motivi per investire nella formazione Cyber Security in azienda

La maggior parte degli attacchi che vanno a buon fine non comincia con una vulnerabilità tecnica. Comincia con una persona che clicca, che risponde, che digita una password dove non doveva. Non per disattenzione: perché quel messaggio era fatto bene.

È il motivo per cui la formazione non è un corso da spuntare in un elenco, ma una delle misure di sicurezza che hanno l’effetto più diretto. E dal 2024 è anche un obbligo di legge per una parte crescente delle aziende italiane.

Vediamo i quattro motivi concreti per cui vale investirci, e cosa distingue un percorso utile da un corso che nessuno ricorda dopo due settimane.

1. Gli attacchi passano dalle persone
2. GDPR e NIS 2 la richiedono
3. I clienti la chiedono in fase di qualifica
4. Le misure tecniche funzionano solo se nessuno le aggira
5. Che cosa distingue un percorso utile

Gli attacchi passano dalle persone

Un attaccante che vuole entrare in un’azienda ha due strade. Cercare una vulnerabilità tecnica nei sistemi esposti, che richiede tempo e competenza. Oppure mandare un’email a cinquanta dipendenti e aspettare che uno risponda.

La seconda costa meno e funziona più spesso. Le tecniche più diffuse oggi non attaccano un sistema: attaccano una decisione. Un’email che sembra venire dall’amministrazione, una telefonata di chi si presenta come assistenza tecnica, un messaggio con un numero da richiamare per un addebito che non riconoscete.

Il phishing è la forma più conosciuta, e per questo la più innocua. Le persone ci sono state addestrate. Quelle che funzionano ancora sono le varianti che nessuno ha mai visto in un corso: il callback phishing, dove nell’email non c’è nessun link, solo un numero da chiamare. Oppure la CEO fraud, dove la richiesta sembra arrivare dall’amministratore delegato.

Nessun filtro di posta intercetta un’email che contiene soltanto un recapito telefonico. Quello lo intercetta chi la legge, se sa cosa sta guardando.

GDPR e NIS 2 la richiedono

Il primo riferimento è il GDPR, che all’articolo 32 chiede misure tecniche e organizzative adeguate. La formazione di chi tratta dati personali rientra fra le misure organizzative, e il Garante l’ha ribadito in più provvedimenti.

Il secondo è più recente e più stringente. La direttiva NIS 2, recepita in Italia con il D.lgs. 138/2024, include la formazione tra le misure di sicurezza di base. E fa una cosa che le norme precedenti non facevano: obbliga gli organi di amministrazione e direzione a seguire una formazione specifica, e a promuoverla verso i dipendenti.

Non è più una cosa che si delega all’IT. Sono i vertici che devono essere formati, e la responsabilità resta a loro anche quando l’attuazione la affidano a qualcun altro.

Per chi è in perimetro c’è anche una data: il 31 ottobre 2026. Entro quel giorno le misure di base devono essere operative e dimostrabili. Dimostrabili vuol dire con i registri di chi ha partecipato, i materiali usati e le verifiche di apprendimento. Non con una dichiarazione firmata.

I clienti la chiedono in fase di qualifica

Questo è il motivo che sta crescendo più in fretta, e riguarda anche aziende che per legge non sarebbero obbligate a niente.

Chi è soggetto a NIS 2 deve governare il rischio della propria catena di fornitura. Il modo concreto in cui lo fa è mandare ai fornitori un questionario di sicurezza. E in quei questionari c’è quasi sempre una domanda sulla formazione del personale.

La risposta che vale non è “sì, formiamo i nostri dipendenti”. È dire quando l’avete fatto, su quali temi, quante persone hanno partecipato e cosa avete conservato. Chi non ha quei dati barra la casella e spera che nessuno chieda altro.

Lo stesso vale per chi affronta un percorso ISO 27001: la formazione è uno dei controlli previsti dallo standard, e l’auditor va a guardare le evidenze, non le intenzioni.

Le misure tecniche funzionano solo se nessuno le aggira

Questa è la parte che si vede solo andando a guardare nei sistemi, ed è quella che nei nostri rilievi torna più spesso.

Un’azienda attiva l’autenticazione a più fattori, e poi concede esenzioni a chi lavora sul campo perché il codice sul telefono rallenta le operazioni. Adotta una politica sulle password, e la aggira chi ha bisogno di condividere un accesso con un collega. Segmenta la rete, e apre una regola temporanea per un fornitore che poi resta lì per anni.

Nessuna di queste eccezioni nasce da negligenza: nascono da un ostacolo operativo che nessuno ha spiegato come superare. E sono la prima cosa che un attaccante cerca, perché non sono documentate da nessuna parte e sono attive per tutti.

La formazione incide qui perché cambia il calcolo di chi decide. Chi ha capito perché una misura esiste cerca un modo per rispettarla, non per scavalcarla. E dall’altra parte serve andare a guardare: un Vulnerability Assessment trova le eccezioni rimaste aperte, perché sui sistemi si vedono. Nelle procedure no.

Che cosa distingue un percorso utile

Il rischio dei corsi di sicurezza è noto: due ore di slide, un questionario finale, e dopo un mese nessuno ricorda niente. Le tre cose che fanno la differenza sono queste.

C’è poi una quarta cosa, di cui si parla meno: serve un canale interno dove far verificare i messaggi sospetti. La formazione insegna a dubitare. Ma se chi dubita non sa a chi chiedere, alla fine decide da solo. E con una richiesta urgente sul tavolo decide come faremmo tutti.

Qui non serve un corso, serve una procedura. Un indirizzo, una persona, un tempo di risposta. È la parte che costa meno di tutto il percorso ed è quella che manca più spesso.