Dalle politiche generali agli interventi mirati: l’evoluzione della gestione dei rischi legati all’uomo

Ogni trimestre, in migliaia di organizzazioni si ripete lo stesso rituale: tutti i dipendenti, dal personale di reception ai dirigenti di alto livello, seguono lo stesso corso di formazione sulla sensibilizzazione alla sicurezza. L'analista finanziario che non ha mai cliccato su un link di phishing riceve lo stesso modulo del rappresentante commerciale che ne ha cliccati tre questo mese. L’ingegnere di lunga data, con un curriculum impeccabile, è soggetto agli stessi controlli dell’appaltatore che ha appena iniziato a gestire dati sensibili. Tutti vengono considerati allo stesso modo a rischio, il che significa che nessuno viene trattato in modo adeguato.

Questo approccio “taglia unica” ha caratterizzato i programmi di sensibilizzazione alla sicurezza e di gestione dei rischi interni per fin troppo tempo. E per anni ha prodotto gli stessi risultati prevedibili: spreco di risorse per dipendenti a basso rischio, attenzione insufficiente alle persone e ai comportamenti che rappresentano effettivamente un pericolo, e un’ondata crescente di frustrazione da parte degli utenti nei confronti dei team di sicurezza che mettono in atto interventi irrilevanti.

La buona notizia? Quell’epoca sta volgendo al termine. Il passaggio a interventi adattivi e basati sul comportamento sta rendendo possibile fornire l’intervento giusto, alla persona giusta, al momento giusto — e di farlo su larga scala.

Perché la personalizzazione è rimasta fuori dalla portata

Il concetto di sicurezza basata sul rischio non è una novità. I responsabili della sicurezza hanno compreso da tempo che persone diverse comportano livelli di rischio diversi e che gli interventi devono essere proporzionati. Ma tradurre tale comprensione in realtà operativa è stata una questione del tutto diversa.

Le barriere erano di natura pratica. La gestione dei gruppi di utenti dinamici richiedeva un impegno manuale costante. I segnali di rischio erano presenti in sistemi non interconnessi. Trasformare un punteggio di rischio in un effettivo cambiamento delle politiche ha comportato districarsi in una rete complessa di strumenti, richieste di intervento e approvazioni. Quando, attraverso un processo manuale, veniva individuato un utente ad alto rischio e venivano applicate le misure di controllo adeguate, spesso la finestra temporale per un intervento efficace si era già chiusa.

Ciò che è cambiato è l’infrastruttura. Quando si combina un sistema completo di valutazione del rischio comportamentale con l’automazione e l’integrazione multipiattaforma, la sicurezza personalizzata smette di essere un obiettivo ambizioso e diventa una realtà concreta.

Elenchi di monitoraggio dinamici: dalla visibilità all’azione

Il primo passo significativo in questa evoluzione è la lista di monitoraggio dinamica: un gruppo di utenti basato sul comportamento e che si aggiorna automaticamente, che va oltre la gestione statica degli elenchi per arrivare a un intervento adattivo.

Le liste di controllo tradizionali sono gestite manualmente. Un addetto alla sicurezza aggiunge un nome, magari a seguito di un incidente, magari in seguito a una segnalazione da parte delle Risorse Umane. Quel nome rimane nell'elenco finché qualcuno non si ricorderà di cancellarlo. L'elenco sta diventando obsoleto. Riflette i rischi di ieri, non quelli di oggi.

Le liste di monitoraggio dinamiche ribaltano questo modello. Anziché selezionare manualmente gli utenti, è sufficiente definire i criteri rilevanti — comportamenti a rischio specifici, soglie di punteggio, filtri dipartimentali, segnali organizzativi — e l’elenco si gestisce autonomamente. Gli utenti vengono inseriti nel flusso quando il loro comportamento soddisfa i criteri e ne vengono esclusi quando non li soddisfa più, con aggiornamenti in esecuzione continua.

Si considerino alcuni esempi pratici. Un elenco di monitoraggio relativo ai dipendenti del dipartimento finanziario che hanno cliccato su link di phishing reali nell’ultimo mese viene automaticamente aggiornato in base al comportamento effettivo. Un elenco di soggetti da monitorare, comprendente gli appaltatori con punteggi elevati relativi al trattamento di dati sensibili, si aggiorna in tempo reale man mano che cambiano i modelli di accesso ai dati. Una lista di monitoraggio dei dipendenti in uscita che manifestano comportamenti a rischio attinge contemporaneamente dai dati provenienti dalle integrazioni con i sistemi delle risorse umane e dai segnali comportamentali.

I criteri definiscono l'elenco. Non una persona che utilizza un foglio di calcolo.

Collegamento delle liste di controllo ai controlli adattivi

La visibilità di per sé non riduce il rischio. Ciò che rende le liste di controllo dinamiche un elemento di trasformazione è il loro collegamento alle politiche adattive, ovvero la capacità di attivare controlli differenziati in base al profilo di rischio in tempo reale di un utente.

Ciò significa che un utente ad alto rischio, identificato in base ai criteri della lista di controllo, può essere automaticamente sottoposto a controlli più rigorosi sulla posta elettronica, a requisiti di autenticazione più elevati o a un monitoraggio più intensivo, mentre i colleghi a basso rischio continuano a lavorare senza alcuna difficoltà. Quando il comportamento dell’utente ad alto rischio migliora, le misure di controllo vengono allentate. Il sistema crea un circolo virtuoso: il comportamento determina la politica, e la politica si adegua man mano che il comportamento cambia.

Ciò si estende ulteriormente grazie all’integrazione con sistemi HR quali Workday, consentendo l’applicazione automatizzata delle politiche in occasione di eventi quali le dimissioni dei dipendenti. L'automazione basata sui tag gestisce i collaboratori esterni, i reparti specifici e le classificazioni personalizzate senza che i team di sicurezza debbano intervenire manualmente ad ogni transizione.

Il risultato è una gestione dei rischi che funziona realmente secondo il principio “imposta e dimentica” — non perché i rischi vengano ignorati, ma perché il sistema di risposta è sufficientemente intelligente da adattarsi autonomamente.

L'imperativo dell'integrazione

L'efficacia degli interventi mirati dipende interamente dalla qualità dei segnali di rischio su cui si basano. Un punteggio di rischio comportamentale basato su single fonte di dati risulterà sempre incompleto. Ecco perché l’ampiezza dell’integrazione riveste un’importanza enorme.

Una gestione efficace dei rischi legati alle risorse umane si avvale oggi di diverse categorie di segnali di rischio: dati sulla sicurezza degli endpoint provenienti da strumenti quali CrowdStrike, segnali relativi all’identità e all’autenticazione provenienti da Okta e Duo, dati sull’attività di rete provenienti da Palo Alto e altro ancora. Attraverso l’integrazione di quindici o più fornitori, questi segnali si combinano per creare un quadro complessivo del rischio umano che nessun single strumento sarebbe in grado di fornire da solo.

Man mano che gli ecosistemi di integrazione si espandono fino a includere piattaforme quali Google Workspace, Cisco XDR e altri fornitori di autenticazione a più fattori (MFA), il quadro si fa sempre più nitido e, di conseguenza, aumenta anche la precisione degli interventi che ne derivano.

L'impatto nella vita reale

Quando le organizzazioni passano da politiche di ampio respiro a interventi mirati, gli effetti sono tangibili su molteplici livelli.

I dipendenti a basso rischio non sono più sottoposti a corsi di formazione irrilevanti e a restrizioni superflue, il che riduce gli attriti e migliora il loro rapporto con il team di sicurezza. Ai comportamenti ad alto rischio vengono dedicate particolare attenzione e risorse, il che contribuisce effettivamente a ridurre il rischio. Gli interventi vengono percepiti come utili piuttosto che come punitivi, poiché sono chiaramente collegati a comportamenti specifici anziché essere applicati in modo arbitrario. Inoltre, i responsabili della sicurezza possono dimostrare un ritorno sull’investimento (ROI) misurabile, evidenziando una riduzione mirata dei rischi nelle fasce di popolazione più rilevanti.

Ciò rappresenta un cambiamento filosofico fondamentale: dal castigo all’orientamento, da politiche statiche a risposte adattive, da direttive valide a livello organizzativo a interventi che tengano conto delle esigenze individuali e, in ultima analisi, dalla “sicurezza di facciata” a una riduzione significativa dei rischi.

Cosa succederà ora

La traiettoria è chiara e punta verso una precisione ancora maggiore. I modelli predefiniti di liste di monitoraggio per scenari comuni — come l’utilizzo “in ombra” dell’IA nei dipartimenti soggetti a regolamentazione — ridurranno gli ostacoli all’implementazione. L'integrazione diretta con campagne mirate di "nudge" consentirà di collegare l'identificazione dei rischi a un percorso formativo personalizzato. I sistemi di sanzioni graduate per i recidivi comporteranno un inasprimento proporzionale delle misure. Inoltre, gli agenti di configurazione aiuteranno i team ad attuare gli interventi raccomandati senza richiedere competenze approfondite.

L’era in cui ogni dipendente veniva considerato un rischio uguale sta lasciando il posto a qualcosa di migliore: una sicurezza che si adatta alle persone in base al loro comportamento effettivo, interviene dove è realmente necessario e conquista la fiducia grazie alla sua pertinenza, anziché limitarsi a reagire passivamente. La sicurezza di precisione non è una promessa per il futuro. È ormai una realtà e sta rivoluzionando il modo in cui le organizzazioni gestiscono il rischio legato al personale.