La situazione del rischio umano nel 2026: quale valore hanno i vostri dati?

Il rischio interno non è una minaccia vaga e lontana. Si tratta di una forza molto concreta e misurabile che sta plasmando l’attuale panorama della sicurezza delle organizzazioni. Inoltre, i dati forniti da Mimecast hanno evidenziato che non occorre nemmeno un numero elevato di persone perché il rischio interno possa avere conseguenze catastrofiche. Infatti, solo l’8% e dei dipendenti è responsabile dell’80% e degli incidenti di sicurezza all’interno di un’azienda. 

L'elevata concentrazione di rischio in una coorte di persone così esigua evidenzia un grave squilibrio. Che tali incidenti siano involontari o meno, le organizzazioni si trovano a dover affrontare costose fughe di dati e violazioni della sicurezza. Il rapporto “The State of Human Risk 2026”, appena pubblicato da Mimecast, ha rilevato che negli ultimi due anni la preoccupazione dei responsabili IT riguardo agli insider malintenzionati è aumentata di quasi il 10%. Ma cosa si intende per “dannoso”? 

È utile considerare la questione suddividendola in due categorie distinte. Il primo è rappresentato dagli attori statali, sofisticati, difficili da individuare e da neutralizzare prima che diventino una minaccia seria. Il secondo fattore è rappresentato dai dipendenti insoddisfatti, un problema più facilmente individuabile e più gestibile, se individuato per tempo. Il risentimento stesso presenta tre elementi distintivi: una persona deve provare rabbia, sentirsi vittima e attribuire la colpa, in sostanza la convinzione che “lei mi abbia fatto questo”. Tale reclamo può essere rivolto a un’organizzazione o a una persona specifica. Il punto di svolta critico è ciò che definiamo una risposta disadattiva, ovvero una reazione sproporzionata rispetto a un’offesa percepita, che si manifesti sotto forma di correzione eccessiva o di chiusura in se stessi, da parte sia dell’individuo che dell’organizzazione che lo circonda.

Cosa spinge i dipendenti a divulgare informazioni che non dovrebbero divulgare? Nel febbraio del 2026, Mimecast ha condotto un sondaggio su un campione di 1.000 adulti statunitensi per approfondire la risposta a tale domanda. I nostri dati hanno evidenziato alcune interessanti differenze generazionali, in particolare riguardo alle persone con cui sarebbero disposti a condividere informazioni e ai dati che ritengono di possedere realmente. 

Il rischio interno comporta costi ingenti

I risultati del nostro sondaggio tra i consumatori indicano che il 15% dei dipendenti ha condiviso intenzionalmente informazioni riservate al di fuori della propria organizzazione. A prima vista, potrebbe non sembrare una cifra particolarmente elevata. 

Ma consideri la posta in gioco dal punto di vista finanziario. Il rapporto “The State of Human Risk 2026” ha rivelato che un single incidente causato da personale interno comporta un costo stimato di 13,1 milioni di dollari. Anche una sola persona, per non parlare del 15% dei dipendenti, può causare un disastro da svariati milioni di dollari. Non si tratta di un errore di arrotondamento. Si tratta di un rischio esistenziale per molte organizzazioni.

Chi sta chiedendo ai dipendenti di fornire dati aziendali? 

Circa un intervistato su cinque (21%) ha ammesso di essere stato contattato da una persona o da un gruppo esterno che gli ha chiesto di divulgare informazioni aziendali riservate. Di questo gruppo di intervistati, ecco una ripartizione dei soggetti da cui hanno ricevuto tali richieste:

• Concorrente – 9%
• Ex collega – 8%
• Collega attuale – 8%
• Fornitore o partner esterno – 8%
• Responsabile delle assunzioni – 7%
• Persona anonima – 6%
• Qualcuno che dichiara di rappresentare un governo – 5%
• Giornalista – 4%
• Addetto allo sviluppo commerciale – 3% 

Ciò che colpisce in questo caso è la varietà delle fonti. Le minacce non provengono solo da soggetti esterni oscuri, ma anche da responsabili delle assunzioni, colleghi e partner che fanno già parte della rete di fiducia di un’organizzazione. Poiché i dati continuano ad aumentare e ad evolversi, le organizzazioni devono andare oltre le difese perimetrali e puntare su un monitoraggio comportamentale continuo.  

Il rischio di insider trading è maggiore tra le fasce d’età più giovani 

Tra gli intervistati appartenenti alla generazione dei Millennial e alla Generazione Z si registra un numero maggiore di persone alle quali è stato chiesto di condividere dati aziendali e che hanno acconsentito volontariamente a fornire le informazioni richieste.

Non si tratta semplicemente di una tendenza comportamentale: riflette una realtà economica in continua evoluzione. I dipendenti della Generazione Z, in particolare, sono diventati bersagli ideali nella crescente economia dell’“insider-as-a-service”, in cui i malintenzionati sostanzialmente “assumono” un dipendente che può poi trarre profitto dall’accesso a informazioni riservate o mettere in atto dimissioni di tipo “terra bruciata”. Consideratelo come una sorta di “criminalità informatica nell’ambito dell’economia dei lavori occasionali”: minori barriere all’ingresso, maggiori guadagni potenziali per gli autori degli attacchi.

Di fronte alla minaccia di un aumento dei licenziamenti e alla persistente instabilità economica, i dipendenti più giovani potrebbero spesso essere più motivati a trovare una strategia di sopravvivenza. L’approccio delle organizzazioni ai propri sistemi di sicurezza deve tenere conto di questo aspetto.

Arricchirsi di [dati]: le informazioni aziendali che i dipendenti ritengono più preziose da portare con sé

Nel nostro sondaggio tra i consumatori, abbiamo chiesto agli intervistati: se dovesse lasciare il proprio lavoro (volontariamente o meno), quanto ritiene che sarebbero utili i seguenti tipi di dati? 

Le categorie principali rivelano un andamento significativo: i dipendenti sono maggiormente attratti dai dati che offrono loro un vantaggio competitivo personale o che potrebbero essere utilizzati come leva. Il fatto che le “informazioni che potrebbero danneggiare il datore di lavoro” figurino tra le prime cinque posizioni dovrebbe rappresentare un campanello d’allarme per le organizzazioni con dipendenti demotivati o a rischio. 

Comprendere gli aspetti psicologici alla base del rischio legato agli addetti ai lavori

La domanda più importante che le organizzazioni dovrebbero porsi non è “"” (Come proteggiamo i nostri dati?), bensì “"” (Come proteggiamo i nostri dati?)  È ": cosa spinge i dipendenti a condividere o a fruirne in primo luogo?" 

Ogni generazione, ogni individuo, può avere un’idea diversa di ciò che è o non è appropriato. Si consideri che intere generazioni sono cresciute su piattaforme di social media che premiano attivamente la condivisione di informazioni personali con “mi piace”, follower e riconoscimento. Proprio come un tempo le cinture di sicurezza erano considerate superflue, se non addirittura invadenti, prima di diventare una pratica scontata, solo ora stiamo iniziando a costruire una cultura incentrata su abitudini digitali più sicure. Se le persone avessero compreso prima i rischi legati alla condivisione della propria vita online, avrebbero fatto scelte diverse riguardo alla propria impronta digitale? Tale questione va oltre la sfera personale, poiché le abitudini che i dipendenti acquisiscono nella loro vita pubblica non si limitano a tale ambito. 

Lo stesso istinto di condividere liberamente online può estendersi direttamente all’ambiente di lavoro, rendendo meno netti i confini su ciò che si ritiene sicuro divulgare. E, per una crudele ironia della sorte, proprio l’immagine pubblica che una persona si è costruita nel corso degli anni su Internet potrebbe essere proprio ciò che l’ha resa un bersaglio, in primo luogo. 

Cosa spinge le persone a condividere informazioni aziendali?

Per quanto riguarda gli incentivi, esistono offerte e premi molto chiari che motivano i dipendenti a condividere o a portare dati al di fuori della propria azienda.

• Il 39% afferma che è il pagamento in contanti a costituire per loro l’incentivo maggiore
• Il 28% afferma che lo farebbe per dare una mano a un ex collega
• Il 25% sarebbe disposto a condividere informazioni qualora ciò potesse portare a una nuova opportunità di lavoro o a una segnalazione

Dal punto di vista generazionale, il contrasto è netto: 

I dipendenti più giovani sono motivati principalmente dal guadagno economico, mentre i Baby Boomer tendono maggiormente ad agire per lealtà nei confronti degli ex colleghi.  Ma c'è una cosa che gli esperti dei servizi di intelligence hanno capito da tempo: in realtà non è mai una questione di soldi. Si tratta di ciò che il denaro rappresenta. Per alcuni ciò significa libertà, per altri sicurezza, stabilità o riconoscimento. Comprendere ciò che una persona desidera veramente è molto più rivelatore rispetto alle motivazioni superficiali.

Ecco perché un single messaggio di sensibilizzazione alla sicurezza non potrà mai trovare riscontro in tutte le fasce d’età. Le organizzazioni necessitano di strategie su misura che rispondano ai bisogni umani più profondi, non solo agli stereotipi generazionali. Tutto inizia dalla cultura aziendale: attrarre persone che condividano i vostri valori, comunicare tali valori in modo coerente ed essere chiari riguardo alle conseguenze di un comportamento che li violi. La maggior parte delle persone è fondamentalmente buona, ma lo stress e l’incertezza modificano il comportamento in modi prevedibili. Il problema è che alla maggior parte delle persone non viene mai insegnato come affrontare l’incertezza. Come qualsiasi altra abilità, si può imparare, ma non è possibile sviluppare quella memoria muscolare dall’oggi al domani. 

Le situazioni che inducono i dipendenti a condividere o a ottenere informazioni 

L'autoprotezione e la tutela dei propri interessi sembrano essere i fattori determinanti che spingono i dipendenti a condividere o a procurarsi informazioni aziendali. Ma diciamolo senza giri di parole: si tratta di un comportamento di sopravvivenza. Quando le persone sentono che il proprio sostentamento, la propria reputazione o il proprio futuro sono minacciati, si comportano meno come membri leali di un team e più come civili intrappolati in una zona di conflitto, dove la fiducia viene meno e ognuno, in ultima analisi, pensa solo a se stesso. I dati riflettono esattamente questo:

• Il 54% è piuttosto o molto propenso a divulgare o a sottrarre informazioni aziendali per tutelare se stesso e la propria carriera
• Il 45% afferma che, qualora non apprezzasse la leadership o l’orientamento dell’azienda, sarebbe propenso a compiere tale azione
• Il 41% sarebbe propenso a raccogliere o condividere informazioni qualora ritenesse che fosse imminente un licenziamento o che il proprio posto di lavoro fosse a rischio, oppure qualora si trovasse in difficoltà finanziarie
• Il 40% è abbastanza o molto propenso a farlo qualora non fosse soddisfatto del proprio capo
• Il 38% afferma che, qualora la propria azienda venisse acquisita o qualora avessero già intenzione di andarsene, sarebbero propensi a condividere o a fornire informazioni

Il filo conduttore che accomuna tutti questi scenari è l’emozione: paura, frustrazione e ansia finanziaria. Le aziende che non tengono conto degli aspetti psicologici ed emotivi alla base del motivo per cui i dipendenti adottano questo comportamento trascurano un elemento fondamentale che dovrebbe guidare le strategie di sicurezza. 

Il rischio interno richiede una nuova strategia di sicurezza 

I dati evidenziano in modo inequivocabile un aspetto: l’esposizione al rischio di insider non è distribuita in modo uniforme, così come non lo sono le motivazioni che ne stanno alla base. Un approccio alla sicurezza “universale” non raggiungerà l’obiettivo, e l’obiettivo a cui vale la pena mirare non è l’eliminazione. Come il rischio operativo, finanziario o reputazionale, anche il rischio legato alle informazioni privilegiate non può essere completamente eliminato. È tuttavia possibile gestirlo, e gestirlo bene, nell’ambito di una solida strategia aziendale.

Le organizzazioni devono orientarsi verso strategie adattive e incentrate sulle persone, in grado di combinare analisi comportamentali, formazione mirata e monitoraggio in tempo reale per individuare tempestivamente i rischi. Ciò significa capire chi, all’interno della vostra organizzazione, sia più vulnerabile, cosa possa spingerlo ad agire e quando il rischio sia maggiore. I licenziamenti, le acquisizioni e i cambiamenti ai vertici sono tutti punti di svolta che meritano di essere seguiti con attenzione. 

Il rischio non cessa quando un dipendente si disconnette o esce dall’ufficio. Ogni account di servizio lasciato attivo, ogni chiave API mai sostituita, ogni agente di intelligenza artificiale implementato con autorizzazioni eccessive rappresenta una manifestazione di rischio umano che sopravvive alla persona che lo ha creato. Le organizzazioni che prendono sul serio il rischio legato al personale interno devono tenere conto non solo di ciò che i propri dipendenti fanno, ma anche di ciò che lasciano dietro di sé.

Affrontare il rischio legato al personale interno non è solo una strategia aziendale intelligente, ma è la cosa giusta da fare nei confronti delle persone che ripongono ogni giorno la loro fiducia nella vostra organizzazione. Le organizzazioni che adotteranno tale approccio, investendo in egual misura nella cultura aziendale, nella comunicazione e nel monitoraggio continuo, si troveranno in una posizione di gran lunga più favorevole per ridurre l’impatto prima che si verifichino danni.

È pronto a proseguire la conversazione? Scarichi il rapporto “The State of Human Risk 2026” per accedere alla serie completa di dati e a raccomandazioni concrete per la Sua strategia di sicurezza.