I dipendenti non segnalano ciò che sembra strano
Un'email strana, un PC lento, un clic sbagliato: se nessuno lo dice, il piccolo evento diventa un incidente. Ecco come costruire la cultura della segnalazione.
Il problema
Quasi tutti gli incidenti cominciano con un segnale piccolo che qualcuno ha visto: un messaggio insolito, una richiesta strana, un file che non si apre. Se nessuno lo dice, il segnale cresce in silenzio. Le persone non segnalano per tre motivi: non sanno a chi, temono di sembrare ingenue, oppure pensano che qualcun altro se ne sia già accorto.
Come capire se ti riguarda
- Non esiste un canale semplice e unico per segnalare (un indirizzo, un numero, un pulsante).
- Chi ha cliccato su un link sbagliato è stato rimproverato davanti agli altri.
- L'IT scopre i problemi dagli strumenti, mai dalle persone.
- La formazione è un video annuale che nessuno ricorda.
Il primo passo
Scegliete un canale unico e fatelo conoscere a tutti: "Se ti sembra strano, scrivi o chiama qui". Una frase sola, sul monitor, in bacheca, nella firma dell'IT.
Come risolverlo
- Un canale, due modi. Un indirizzo email dedicato e un numero di telefono, più un pulsante "segnala phishing" nella posta se possibile. *Chi: IT. Evidenza: procedura di segnalazione.*
- Regola d'oro: si segnala prima di essere sicuri. Non serve capire cosa sta succedendo, basta dire che qualcosa non torna.
- Mai colpe, sempre grazie. Chi segnala un proprio errore va ringraziato pubblicamente per la velocità, non rimproverato. *Chi: direzione e responsabili.*
- Rispondete sempre. Ogni segnalazione riceve una risposta entro poche ore: "era innocuo" oppure "grazie, hai evitato un problema". *Evidenza: registro segnalazioni.*
- Formazione breve e frequente. Dieci minuti al mese su casi reali (anche vostri, anonimizzati) valgono più di un corso annuale. *Evidenza: calendario e presenze.*
Come evitare che si ripeta
Misurate due numeri: quante segnalazioni arrivano e in quanto tempo dall'evento. Se crescono le segnalazioni e scende il tempo, la cultura sta funzionando.
Quando chiedere aiuto
Le simulazioni di phishing aiutano, se usate per insegnare e non per punire. Un partner esterno può costruirle sui rischi reali del vostro settore.
Dal libro
«Per questo la regola d'oro non è "segnala quando sei sicuro", è il contrario: se può crescere, è già da segnalare.»
— *NIS2. La carta che guida*, capitolo 10
Uno spunto in più
Raccontate in riunione la storia di una segnalazione che ha evitato un danno. Le persone ricordano le storie, non le procedure.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.