La maggior parte degli incidenti comincia con una persona che clicca. Non perché sia distratta, ma perché il messaggio era fatto bene.
Si può spendere molto in tecnologia e perdere tutto per un bonifico autorizzato via mail da un fornitore che non era quel fornitore. Le difese tecniche fermano gli attacchi grossolani; quelli scritti bene arrivano a destinazione, e a quel punto l'unico controllo rimasto è la persona che legge.
Facciamo formazione in aula e da remoto per aziende dell'Alta Padovana, del Castellano e del Bassanese, con contenuti tarati su chi ha davanti: l'amministrazione che gestisce i pagamenti ha rischi diversi da chi sta in produzione o da chi viaggia con il portatile.
Le poche cose che ogni persona in azienda deve saper riconoscere, spiegate con esempi veri e senza gergo tecnico.
Amministrazione, commerciale, produzione e direzione hanno esposizioni diverse e vanno formati su quelle.
Campagne concordate con la direzione che misurano il comportamento reale, non le risposte a un questionario.
Sessioni tecniche per chi in azienda gestisce i sistemi, sugli argomenti che nella pratica quotidiana non si ha tempo di approfondire.
Sessioni brevi, in orario di lavoro, con esempi presi dagli attacchi che vediamo davvero sui nostri clienti, anonimizzati ovviamente. Nessuna slide con l'elenco dei tipi di malware: alle persone che devono lavorare non serve la tassonomia, serve sapere che quando arriva una mail che chiede di cambiare l'IBAN di un fornitore si alza il telefono e si chiama il fornitore al numero vecchio.
Sulle simulazioni di phishing una regola la teniamo ferma: i risultati individuali non vengono usati per valutare le persone. Servono a capire dove serve tornare a spiegare. Nel momento in cui diventano uno strumento disciplinare, chi ci casca smette di segnalarlo, e perdere le segnalazioni è molto peggio che avere qualche clic in più.
Il risultato che conta non è la percentuale di clic. È quanti dipendenti segnalano spontaneamente il messaggio sospetto: quello è il segnale che la formazione ha funzionato.
Il GDPR chiede che chi tratta dati personali sia istruito e la formazione documentata è una delle prove che l'azienda ha adottato misure adeguate. La direttiva NIS2 va oltre e cita esplicitamente la formazione, includendo quella degli organi di amministrazione: per i soggetti nel perimetro non è più una buona pratica ma un obbligo.
Rilasciamo attestazione delle sessioni svolte con elenco dei partecipanti e argomenti trattati, in modo che l'azienda abbia qualcosa da mostrare oltre alla parola data.
Il corso base sta comodamente in un'ora e mezza e si può erogare a gruppi, in modo da non fermare tutta l'azienda insieme. I moduli per ruolo durano meno, perché sono focalizzati su pochi scenari specifici.
Quello che non funziona è la sessione unica annuale da quattro ore: le persone non ricordano nulla dopo tre mesi. Meglio poco e ripetuto, con un richiamo breve e una simulazione a distanza di qualche mese.
Se sono fatte male, sì. Le regole che seguiamo sono tre: la direzione sa e approva in anticipo, i risultati individuali non escono dal perimetro concordato e non alimentano valutazioni sul personale, e dopo la campagna si spiega come era fatto il messaggio e perché funzionava.
Con queste condizioni la reazione tipica non è il fastidio ma l'interesse: molte persone chiedono di rifarlo, perché scoprire di essere cascati in una simulazione è molto meno spiacevole che scoprirlo in un bonifico partito davvero.
Sì. La formazione è un servizio a sé e non richiede che gestiamo la vostra infrastruttura. Capita spesso che sia il primo contatto: un'azienda ci chiama per il corso, e in aula emergono un paio di cose sull'infrastruttura di cui poi si parla separatamente.
Le sessioni si tengono nella vostra sede o da remoto. Nell'Alta Padovana, nel Castellano e nel Bassanese la presenza in aula è la modalità che consigliamo, perché la discussione che nasce dal vivo vale più del contenuto delle slide.
Rilasciamo attestazione delle sessioni con data, elenco dei partecipanti e argomenti trattati: è il documento che serve per dimostrare, in sede di audit o di ispezione, che la formazione è stata effettivamente erogata. Va detto con chiarezza che nessun attestato, di nessun fornitore, rende un'azienda automaticamente conforme: la formazione è una delle misure richieste, non l'unica.
Il primo passo è un assessment gratuito dell'infrastruttura: veniamo in azienda, guardiamo com'è messa e ti lasciamo un report scritto. Senza impegno, e il report resta tuo anche se poi non se ne fa nulla.