Il divario non riguarda la conoscenza, ma il comportamento

La formazione sulla sensibilizzazione alla sicurezza presenta un problema legato agli indicatori: non perché gli indicatori siano negativi, ma proprio perché sono positivi. I tassi di completamento sono in aumento. I tassi di clic nelle simulazioni di phishing sono diminuiti. La relazione trimestrale del consiglio di amministrazione evidenzia progressi costanti.

Eppure, le violazioni continuano a verificarsi. Le credenziali continuano a essere rubate. I dipendenti continuano a cliccare su link che non dovrebbero, a caricare dati in luoghi in cui non dovrebbero e a rispondere a richieste che avrebbero dovuto mettere in discussione.

Non si tratta di una mancanza di consapevolezza. Si tratta di un fallimento del modello. Il problema non è mai stato che le persone non conoscessero il phishing, bensì che, sotto pressione, mentre gestiscono decine di applicazioni e rispondono a un’e-mail che sembra proprio provenire dal loro direttore finanziario, finiscono comunque per cliccarci sopra. Il divario non riguarda la conoscenza. È azione.

Il panorama delle minacce si è evoluto

Gli autori degli attacchi utilizzano ormai l’intelligenza artificiale per generare in pochi secondi e-mail di phishing altamente personalizzate, clonare le voci dei dirigenti e adattare le esche in tempo reale. Secondo il rapporto “Threat Landscape 2025” dell’ENISA, il phishing supportato dall’intelligenza artificiale rappresenta oltre l’80% e delle attività di ingegneria sociale rilevate a livello mondiale. Secondo il “Global Threat Intelligence Report 2025” di Mimecast, il 77% di tutti gli attacchi informatici ha ora origine dal phishing, in aumento rispetto al 60% registrato appena un anno prima.

Quando l’e-mail sospetta è praticamente indistinguibile da una legittima — generata dall’intelligenza artificiale, personalizzata, inviata da un dominio contraffatto — la strategia del “individuare l’errore di battitura” non regge. La risposta non può consistere in una maggiore sensibilizzazione. Deve trattarsi di un intervento più mirato, basato su ciò che i dipendenti fanno effettivamente.

Il rischio per le persone ha una forma ben definita — e non è distribuito in modo uniforme

In Mimecast, suddividiamo il rischio umano in tre dimensioni. Azione: errori commessi in buona fede sotto pressione. Attacco: quando i dipendenti vengono presi di mira in modo deliberato tramite tecniche di phishing, BEC o esche generate dall’intelligenza artificiale. E l’accesso: quando un accesso legittimo viene utilizzato in modo improprio, che si tratti di caricare dati sensibili su uno strumento di intelligenza artificiale non autorizzato, di abuso di privilegi o di sottrazione di proprietà intellettuale al momento di lasciare l’azienda.

Ciò che questo quadro evidenzia è che il rischio per le persone non è distribuito in modo uniforme. I nostri dati dimostrano che appena l’8% dei dipendenti è responsabile dell’80% degli incidenti di sicurezza — un dato che si riscontra in organizzazioni di ogni dimensione e settore. Un programma di formazione standardizzato non solo non tiene conto di quell’8%, ma li rende addirittura invisibili.

Per identificarli è necessario mettere in relazione i segnali — episodi di phishing, avvisi relativi a malware, anomalie relative all’identità, violazioni dei dati sensibili — che sono presenti nella maggior parte delle infrastrutture di sicurezza, ma che risultano dispersi tra strumenti non interconnessi e non vengono mai ricondotti ai singoli dipendenti che li hanno generati.

Perché la formazione sulla sensibilizzazione non può colmare da sola questo divario

La formazione sulla sensibilizzazione alla sicurezza è nata come funzione di conformità e non è mai andata oltre tale struttura: formazione diffusa a tutto il personale, misurazione dei completamenti e dei tassi di clic, rendicontazione al consiglio di amministrazione. I dati parlano chiaro: il 60% delle violazioni è riconducibile al fattore umano (Verizon 2025 DBIR), eppure il 72% delle organizzazioni attua programmi di sensibilizzazione senza un monitoraggio continuo dei rischi (Mimecast State of Human Risk 2026).

Le piattaforme autonome dedicate alla sensibilizzazione possono mostrare i tassi di completamento e le tendenze relative ai clic sui link di phishing. Tuttavia, non sono in grado di indicarvi quali dipendenti rappresentino effettivamente un rischio elevato in questo momento, quali siano le cause di tale rischio, né come intervenire prima che si verifichi un problema. Ecco perché il dibattito si sta spostando dalla domanda “quanti dipendenti hanno completato la formazione” a quella “come sta effettivamente cambiando il nostro rischio legato al personale?”.

Quali cambiamenti comporta la gestione dei comportamenti in materia di sicurezza

La gestione dei comportamenti in materia di sicurezza rappresenta un modello diverso, incentrato su ciò che le persone fanno effettivamente piuttosto che su ciò che viene loro insegnato.

Visibilità. Il Mimecast Human Risk Command Center integra i segnali di rischio provenienti dall’intero stack di sicurezza — comportamento delle e-mail, incidenti di phishing effettivi, eventi legati al malware, anomalie relative all’identità, gestione dei dati sensibili, risultati di simulazioni e formazione — normalizzati in base ai singoli dipendenti. Diciassette integrazioni distribuite su sei categorie di rischio comportamentale, che forniscono informazioni sul rischio a livello individuale in tempo reale.

Per le organizzazioni che già utilizzano la soluzione di sicurezza e-mail di Mimecast, le informazioni sulle minacce già elaborate — ogni tentativo di phishing, ogni minaccia bloccata, ogni clic rischioso — costituiscono la base comportamentale. Non state aggiungendo un nuovo strumento con un proprio silo di dati. State attivando l'intelligenza che già circola nel vostro ambiente.

Intervento nel momento di rischio. Mimecast Engage fornisce suggerimenti comportamentali — moduli di micro-apprendimento della durata di 20-40 secondi inviati tramite e-mail, Slack o Teams — che vengono attivati nel momento stesso in cui si verifica un comportamento a rischio. Un ciclo di feedback stretto tra azione e conseguenza, fornito nel contesto, non programmato per la sessione di formazione di martedì prossimo.

Una sicurezza che vi fa sentire al sicuro. Le schede di valutazione personalizzate offrono a ciascun dipendente una panoramica mensile del proprio punteggio di rischio, dello stato della formazione, dei risultati relativi al phishing e degli eventi di sicurezza. Quando le persone vedono riflesso il proprio rischio, la sicurezza passa dall’essere un concetto astratto di conformità a qualcosa di cui si sentono responsabili. È proprio lì che si costruisce effettivamente la cultura della sicurezza.

L'architettura della piattaforma rappresenta il vero elemento di differenziazione

Uno strumento di sensibilizzazione autonomo consente di visualizzare esclusivamente i risultati delle simulazioni e il completamento dei corsi di formazione. Una piattaforma di sicurezza integrata mette in relazione tutti questi elementi: non solo rileva che un dipendente ha cliccato su un link di phishing simulato, ma rileva anche che la settimana scorsa ha ricevuto un’e-mail di phishing autentica, che si è verificato un evento insolito relativo alla sua identità e che non ha seguito tre moduli di formazione consecutivi. Si tratta di un profilo di rischio individuale, ed è proprio ciò che rende possibile un intervento adattivo su larga scala.

Un approccio vi permette di valutare l'efficacia del vostro programma di allenamento. L'altro vi illustra come sta cambiando il vostro rischio legato al fattore umano e su chi intervenire prima che si verifichi un problema.

Da dove cominciare

Il passaggio alla gestione dei comportamenti di sicurezza non richiede di ricominciare da zero. Per la maggior parte delle organizzazioni, i segnali e i dati sono già disponibili. Ciò che manca è la piattaforma per collegarlo.

Il rapporto Mimecast “State of Human Risk 2026” analizza in modo approfondito il divario tra la percezione che le organizzazioni hanno dei propri programmi di gestione del rischio umano e la loro effettiva situazione. E se siete clienti Mimecast e desiderate scoprire come funziona nella pratica, il vostro team di assistenza potrà illustrarvi in dettaglio quali vantaggi offre Mimecast Engage in aggiunta al vostro attuale investimento nella sicurezza della posta elettronica. È probabile che l'infrastruttura sia già in essere. Engage lo mette in pratica.