Sensibilizzazione nel Suo team

Modulo 9: Regole e organizzazione · Tempo di lettura: 9 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di organizzare la sensibilizzazione in un piccolo team: regole, segnalazione senza colpa, esercitazioni e ripetizione.
Concetti chiave: sensibilizzazione, comportamento, cultura della segnalazione, esercitazione di phishing (con consenso e senza punizioni), nuovo collaboratore, breve ripasso

Sapere non è lo stesso che fare

Quasi tutti sanno che non bisogna cliccare su link sospetti. Eppure succede ogni giorno, anche a persone che lo sanno benissimo. Non è una questione di stupidità. Dipende dal fatto che un'e-mail di phishing (lezione 1.2 e modulo 3) fa leva esattamente sul modo in cui lavoriamo: pressione, fretta, il desiderio di aiutare un cliente o un collega. Un venerdì pomeriggio alle cinque meno un quarto, tra altre trenta e-mail, una "fattura in sospeso" sembra del tutto normale.

La sensibilizzazione quindi non riguarda solo la conoscenza, ma il comportamento: cosa fanno davvero le persone, anche quando sono stanche o hanno fretta? L'obiettivo non è che tutti diventino esperti. L'obiettivo è acquisire alcuni riflessi fissi:

1. Fermarsi davanti a un messaggio che chiede qualcosa: denaro, una password, un clic, aprire un allegato, installare qualcosa.
2. Verificare tramite un altro canale: accedere personalmente invece di seguire il link, richiamare un numero conosciuto.
3. Segnalare se qualcosa non torna, anche se si è già cliccato.

Questo terzo riflesso è il più importante, e dipende interamente da come il Suo team lo gestisce.

Segnalare senza colpa

Immagini due aziende. Nella prima, un collaboratore che ha cliccato su un link di phishing riceve una reazione irritata dal titolare: "Come hai potuto essere così sciocco?" Nella seconda, il titolare dice: "Bene che me lo dica subito, così possiamo cambiare subito la Sua password."

Cosa succede la volta successiva in cui qualcuno clicca? Nella prima azienda tace e spera che vada tutto bene. Nella seconda azienda lo segnala entro cinque minuti.

Questa differenza è enorme. In caso di furto di un account o di un attacco ransomware agli inizi, ogni ora conta (lezioni 1.3 e 3.5). Una segnalazione entro cinque minuti significa: cambiare la password prima che l'aggressore abbia effettuato l'accesso, revocare le sessioni, scollegare un computer dalla rete prima che qualcosa venga cifrato. Una segnalazione dopo tre settimane, o mai, significa che l'aggressore ha avuto tutto il tempo necessario.

Una buona cultura della segnalazione presenta alcune caratteristiche:

• Un unico punto di segnalazione chiaro. Tutti sanno a chi rivolgersi: un nome e un numero di telefono, e un sostituto se quella persona non è disponibile. Questo è indicato anche nella scheda di gestione degli incidenti (lezione 8.1).
• Ringraziare, non punire. Chi segnala, anche un proprio errore, riceve un ringraziamento. Lo dica ad alta voce nel team: "Stamattina Sara ha segnalato una fattura falsa, grazie a questo abbiamo potuto avvisare gli altri."
• Anche il dubbio va bene. "Non so se questa sia autentica" è già una buona segnalazione. Meglio far controllare dieci volte un'e-mail autentica che perderne una falsa.
• L'esempio della direzione. Se il titolare stesso segnala di essere quasi caduto in una trappola, diventa più facile per tutti.

Punire ha l'effetto contrario. Non perché gli errori non siano gravi, ma perché punire non riduce gli errori, riduce solo le segnalazioni.

Regole che rendono facile il comportamento giusto

Le persone seguono più facilmente una regola chiara e semplice. Faccia in modo che il comportamento sicuro sia anche il comportamento più semplice. Alcune regole che si adattano a quasi ogni piccola impresa:

Scriva le regole su un unico foglio A4. Non venti pagine di policy che nessuno legge, ma un elenco che può stare appeso vicino alla macchinetta del caffè.

Esercitarsi

Una regola che non si esercita mai, si dimentica. Ci sono diversi modi per esercitarsi, da quelli leggeri a quelli più impegnativi.

Osservare insieme degli esempi. Dedichi cinque minuti nella riunione di lavoro a un'e-mail sospetta reale ricevuta da qualcuno (senza dati personali). Da cosa si riconosceva? Qual era il dominio reale del link? Questo non costa nulla e funziona sorprendentemente bene, perché riguarda messaggi reali della vostra casella di posta.

Un'esercitazione a tavolino (tabletop). Discutete insieme uno scenario: "È lunedì mattina e nessuno riesce più ad accedere al disco di rete. Su ogni pc compare un messaggio con una richiesta di riscatto. Cosa facciamo?" Ripercorrete la scheda di gestione degli incidenti e individuate dove si inceppa (lezione 8.1). Un'ora, una volta all'anno.

Un'esercitazione di phishing. Invia ai colleghi un'e-mail di phishing simulata per vedere chi clicca e chi segnala. Può essere istruttivo, ma solo se fatto correttamente:

• Con consenso e annunciato. Comunichi in anticipo che quest'anno ci saranno delle esercitazioni, senza indicare la data. Nessuno deve sentirsi ingannato in seguito.
• Senza punizioni. Chi clicca riceve subito una breve spiegazione su come avrebbe potuto riconoscerlo, nessun rimprovero e nessun elenco di nomi nella riunione di lavoro.
• Misurare ciò che conta. Il numero di segnalazioni è più importante del numero di clic. Un'esercitazione in cui tre persone cliccano ma cinque la segnalano entro dieci minuti è riuscita.
• Niente temi crudeli. Nessuna e-mail falsa su un bonus, un licenziamento o la salute di un collega. Danneggia la fiducia più di quanto renda.
• Attenzione alla privacy. Non conservi più a lungo del necessario chi ha cliccato, e non lo usi mai per una valutazione del personale.

Per un team di cinque persone, la prima forma è spesso già sufficiente. Un'esercitazione di phishing ha senso solo quando le regole e il punto di segnalazione sono già stati stabiliti.

Nuovi collaboratori e ripetizione

Due momenti sono particolarmente importanti.

Il primo giorno di lavoro. Un nuovo collaboratore riceve account, un laptop e accesso ai sistemi. Proprio in quelle prime settimane non sa ancora come vanno normalmente le cose, e quindi nemmeno cosa è anomalo. Un truffatore che si spaccia per "il reparto IT" o "il direttore" ha quindi più probabilità di successo. All'inizio, dedichi mezz'ora al foglio A4 con le regole, al punto di segnalazione, al gestore di password e all'attivazione dell'autenticazione a due fattori. Lo inserisca nello stesso elenco del resto delle procedure di assunzione (lezione 7.1).

Breve ripasso. La sensibilizzazione svanisce col tempo. Una lunga formazione all'anno funziona meno bene di cinque minuti ogni mese. Idee per un simile breve ripasso:

• discutere un'e-mail sospetta di questo mese;
• mettere in evidenza una regola del foglio A4 e chiedere se funziona ancora;
• un nuovo tipo di frode apparso nelle notizie (per esempio un nuovo pretesto via sms o WhatsApp, lezione 3.4);
• la domanda "qualcuno ha segnalato qualcosa questo mese?" e ringraziare chi lo ha fatto.

Nella pratica: ecco come funziona

Un esempio, costruito a partire da situazioni ricorrenti. Uno studio di architettura con nove persone aveva un documento di policy di quattordici pagine, firmato all'assunzione e mai più riaperto. Dopo una frode via fattura quasi riuscita, hanno cambiato tre cose: un foglio A4 con sei regole vicino alla stampante, un nome fisso e un numero di telefono per le segnalazioni, e ogni primo lunedì del mese cinque minuti dedicati alla "posta sospetta" durante la riunione di lavoro. Nei primi sei mesi sono arrivate più segnalazioni che nei cinque anni precedenti. Due di esse erano attacchi reali, individuati così in anticipo che non è successo nulla. Il resto erano falsi allarmi, e ogni volta sono stati semplicemente ringraziati.

Riepilogo

• La sensibilizzazione riguarda il comportamento: fermarsi, verificare tramite un altro canale e segnalare.
• Segnalare senza colpa garantisce segnalazioni rapide; punire riduce solo le segnalazioni, non gli errori.
• Metta per iscritto le regole su un unico foglio A4 e renda il comportamento sicuro quello più semplice.
• Si eserciti con esempi reali e con un'esercitazione a tavolino; faccia un'esercitazione di phishing solo se annunciata, senza punizioni e con attenzione alla privacy.
• Dedichi particolare attenzione ai nuovi collaboratori e ripeta in modo breve e frequente.

Quiz

Esercizio

Esercizio D9.2: Un piano di sensibilizzazione per il Suo team. Crei per la Sua azienda un foglio A4 con al massimo otto regole, individui un punto di segnalazione e un sostituto, e pianifichi per il prossimo anno quando effettuare brevi ripassi e quale esercitazione svolgere. Risponda poi alle domande di riflessione.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il procedimento è simile.

• Questa email è davvero di WebOké? Riconoscere il phishing e utilizzare il codice promozionale
• ACN (Agenzia per la Cybersicurezza Nazionale), phishing: https://www.acn.gov.it/
• Le risorse dell'ACN per liberi professionisti e PMI: https://www.acn.gov.it/
• Polizia Postale e delle Comunicazioni (segnalazione di frodi e phishing): https://www.commissariatodips.it/