Verso una gestione del rischio incentrata sull’uomo

Da anni ormai la formazione sulla sensibilizzazione alla sicurezza costituisce un elemento fondamentale dei programmi di sicurezza informatica. La maggior parte delle organizzazioni lo mette in atto, la maggior parte dei dipendenti lo porta a termine e la maggior parte dei requisiti di conformità viene soddisfatta. Ma ecco la scomoda verità: la semplice consapevolezza non basta a cambiare le cose. Le minacce interne, l’uso improprio delle credenziali e l’errore umano sono oggi all’origine della maggior parte degli incidenti di sicurezza, e solo l’8% dei dipendenti è responsabile dell’80% di essi. Se l'allenamento fosse sufficiente, a quest'ora quei dati sarebbero ben diversi.

È proprio nel divario tra sapere e agire che le organizzazioni sono maggiormente esposte ai rischi. I dipendenti possono anche rendersi conto che cliccare su link sospetti comporta dei rischi, ma in assenza di una cultura aziendale adeguata, di procedure appropriate e di sistemi di supporto efficaci, i comportamenti a rischio continuano a persistere. Ecco perché i responsabili della sicurezza più lungimiranti stanno passando dalla tradizionale sensibilizzazione alla sicurezza a un approccio più completo: la gestione del rischio umano.

Che cos’è la gestione del rischio umano?

La gestione del rischio umano (HRM) rappresenta un approccio olistico alla sicurezza informatica che va oltre la semplice informazione delle persone sulle caratteristiche delle minacce. Si concentra sull’identificazione, la quantificazione, la gestione e, in ultima analisi, la riduzione del rischio che il comportamento umano comporta per un’organizzazione. Laddove i modelli tradizionali si limitano alla conformità o alla sensibilizzazione, la gestione delle risorse umane (HRM) si concentra sul monitoraggio dei comportamenti degli utenti che presentano i rischi maggiori e sul raggiungimento di risultati misurabili attraverso il miglioramento continuo.

La pensi in questo modo: la consapevolezza indica alle persone cosa fare. La gestione delle risorse umane crea il contesto, gli strumenti e i circuiti di feedback che consentono loro di farlo concretamente. Inoltre, la gestione delle risorse umane dimostra di funzionare.

Perché questo cambiamento è importante proprio ora

Il panorama delle minacce è in rapida evoluzione e, di conseguenza, si evolvono anche gli targeted attack alle persone. Secondo il rapporto “The State of Human Risk 2026” di Mimecast, il 71% o delle organizzazioni prevede che quest’anno gli attacchi agli strumenti di collaborazione avranno un impatto negativo sulle proprie attività, mentre il 45% o sta già registrando un aumento degli attacchi informatici su piattaforme quali Teams, Slack e Zoom. Nel frattempo, l’80% delle organizzazioni è preoccupato per la possibilità che i dati sensibili possano trapelare attraverso strumenti di IA generativa, e il 60% non dispone ancora di strategie specifiche per affrontare le minacce legate all’IA, nonostante il 98% stia già utilizzando l’IA nei propri sistemi di difesa.

La posta in gioco finanziaria è sbalorditiva. Le organizzazioni subiscono in media sei incidenti causati da personale interno al mese, con un costo stimato di 13,1 milioni di dollari per singolo incidente, e il 66% prevede che la perdita di dati legata al personale interno aumenti nel corso del prossimo anno. Tuttavia, solo il 28% delle organizzazioni abbina una formazione periodica sulla sensibilizzazione alla sicurezza a un monitoraggio continuo delle violazioni delle politiche. È proprio in quel divario tra consapevolezza e azione che si verificano le violazioni. La sfida non consiste semplicemente nel spendere di più. Si tratta di spendere in modo più oculato, il che significa affrontare la dimensione umana con lo stesso rigore applicato alle difese tecniche.

I quattro ambiti della gestione delle risorse umane

Mimecast Human Risk Management offre un quadro strutturato alle organizzazioni che intendono intraprendere questo percorso. Organizza le competenze in materia di gestione delle risorse umane in quattro ambiti interconnessi:

La cultura è il fondamento. Questo ambito esamina il modo in cui i comportamenti, i valori e le aspettative in materia di sicurezza si intrecciano con le routine quotidiane e le prassi di gruppo. Si va oltre la frequenza della formazione per valutare se i dipendenti si sentano psicologicamente al sicuro nel segnalare gli errori, se la dirigenza sostenga in modo tangibile i comportamenti sicuri e se la sicurezza sia considerata una responsabilità condivisa piuttosto che un problema di informatica. Una solida cultura della sicurezza è quella in cui agire nel modo corretto rappresenta semplicemente il modo in cui si svolge il lavoro.

La tecnologia funge da fattore abilitante. Questo ambito valuta se gli strumenti di sicurezza siano integrati nei principali sistemi aziendali e se i dati comportamentali vengano raccolti, analizzati e utilizzati per intraprendere azioni concrete. A livelli di maturità più elevati, le organizzazioni ricorrono all’analisi comportamentale e all’automazione per fornire interventi “just-in-time”, ovvero sollecitazioni tempestive nel momento stesso in cui si presenta il rischio, anziché promemoria generici inviati mesi dopo il verificarsi dell’evento.

La conformità in materia di sicurezza informatica garantisce che le politiche non solo siano documentate, ma anche attivamente mantenute, applicate e adeguate. Ciò comprende la gestione dei rischi legati al fattore umano derivanti da soggetti terzi e fornitori, l’automazione del monitoraggio della conformità e il mantenimento della prontezza in vista di eventuali audit. Ben il 91% delle organizzazioni deve affrontare sfide in materia di governance e conformità, e il 36% continua ad affidarsi a processi di monitoraggio manuali, creando inevitabili colli di bottiglia con l’aumentare dei volumi di dati.

È proprio nell’ambito dei risultati e della misurazione che la gestione delle risorse umane dimostra il proprio valore. Questo ambito consente di verificare se gli interventi stiano effettivamente modificando i comportamenti e riducendo il numero di incidenti. Va oltre le metriche di facciata, quali i tassi di completamento della formazione, per concentrarsi su indicatori significativi: la riduzione degli incidenti causati da fattori umani, il cambiamento comportamentale nel tempo e il valore aziendale quantificato derivante dagli investimenti nella gestione delle risorse umane.

Un viaggio, non una meta

Mimecast HRM definisce cinque livelli, che vanno da un approccio reattivo e ad hoc (Livello 1) a una cultura della sicurezza pienamente resiliente e predittiva (Livello 5). La maggior parte delle organizzazioni non raggiungerà il livello massimo dall’oggi al domani, né è necessario che lo faccia. Mimecast HRM è concepito per favorire un progresso graduale, individuando le lacune esistenti, fissando obiettivi realizzabili e sviluppando le competenze nel corso del tempo.

Ciò che conta di più è partire da una valutazione onesta. In quali materie ha ottenuto i voti più bassi? Probabilmente sono proprio questi i settori in cui investimenti mirati avranno il maggiore impatto. I progressi compiuti in un settore spesso accelerano quelli in altri settori. Una tecnologia più avanzata garantisce dati di misurazione più accurati. Una cultura aziendale più solida rende più efficaci la conformità normativa e l’adozione delle tecnologie.

Fare il passo successivo

La gestione dei rischi legati al personale rappresenta un cambiamento fondamentale nel modo in cui le organizzazioni considerano il proprio personale e la sicurezza. Non si tratta di incolpare i dipendenti per aver cliccato sul link sbagliato. Si tratta di creare i sistemi, la cultura e i processi che rendano il comportamento sicuro la norma, e di dimostrarlo con i dati.

Le organizzazioni che adotteranno questo cambiamento saranno in una posizione migliore per gestire il rischio in modo proattivo, dimostrare un chiaro ritorno sull’investimento alla dirigenza e sviluppare una vera e propria resilienza in un contesto di minacce sempre più complesso.

È pronto a scoprire qual è la situazione attuale della Sua organizzazione e in che modo può trarre vantaggio dalla soluzione Mimecast Human Risk Management? Richieda una demo oggi stesso.

Tutti i dati citati nel presente articolo sono tratti dal rapporto di Mimecast intitolato “The State of Human Risk 2026 ”.