Una policy può dire di non aprire allegati sospetti, di usare canali approvati per condividere documenti o di segnalare un’anomalia. Ma se una persona non sa riconoscere la situazione, non conosce il canale da usare oppure teme di rallentare il lavoro, quella regola resta un documento.
La cultura della sicurezza non coincide con una presentazione annuale né con un test a risposta multipla. È la capacità dell’azienda di rendere praticabili le decisioni corrette nelle situazioni normali: una richiesta urgente di pagamento, un link ricevuto via email, un fornitore che chiede un accesso, un collega che deve inviare un file riservato, un telefono smarrito.
Nel quadro NIS2, le misure di sicurezza vanno gestite in modo proporzionato al rischio. Per una PMI, questo non significa trasformare ogni dipendente in uno specialista tecnico. Significa definire pochi comportamenti chiari, dare alle persone gli strumenti per seguirli e verificare se funzionano davvero nel lavoro quotidiano.
Partire dalle situazioni che accadono davvero
Una regola è più facile da applicare quando nasce da una scena riconoscibile. “Proteggere le informazioni” è un principio importante, ma da solo non indica che cosa fare quando un commerciale deve inviare un’offerta, quando l’amministrazione riceve una modifica alle coordinate bancarie o quando un tecnico deve usare il proprio smartphone fuori sede.
Il primo passo è raccogliere le situazioni ricorrenti che possono creare un problema. Non servono decine di casi teorici. Si può iniziare da cinque domande: quali file vengono inviati più spesso all’esterno? Quali richieste urgenti arrivano via email o telefono? Chi usa strumenti cloud da remoto? Quali fornitori ricevono informazioni o accessi? Quali errori o dubbi sono già emersi?
Questa raccolta consente di scegliere priorità concrete. Se il rischio più frequente riguarda richieste di pagamento anomale, il comportamento atteso può essere una verifica su un contatto conosciuto prima di modificare dati bancari. Se il problema riguarda file riservati inviati all’esterno, serve chiarire quale spazio di condivisione usare e chi può autorizzare un’eccezione.
Tradurre la policy in azioni semplici
Una buona istruzione non lascia alla persona il compito di interpretare da sola una formula generica. Dice che cosa osservare, che cosa fare e a chi rivolgersi.
Per esempio, invece di limitarsi a scrivere “segnalare email sospette”, l’azienda può indicare i segnali più comuni: un mittente insolito, una richiesta urgente di credenziali, un allegato inatteso, un link che porta a un dominio diverso da quello dichiarato. Poi deve rendere disponibile un gesto semplice: inoltrare il messaggio a un indirizzo interno, usare un pulsante nel client di posta oppure contattare il referente indicato.
Lo stesso criterio vale per password, dispositivi mobili, documenti e accessi remoti. Una regola efficace non è la più lunga. È quella che una persona riesce a richiamare mentre sta lavorando e che non entra in conflitto con gli strumenti realmente disponibili.
Assegnare ruoli senza scaricare tutto sull’IT
La sicurezza non è un compito esclusivo dell’IT, ma non può neppure diventare una responsabilità indistinta di tutti. Ogni comportamento deve avere un contesto e un punto di appoggio.
Le persone che usano strumenti e informazioni devono sapere quali passaggi seguire e quando chiedere aiuto. I responsabili di processo devono segnalare attività nuove, fornitori coinvolti o ostacoli che rendono una regola impraticabile. L’IT o il fornitore tecnologico può predisporre configurazioni, canali di segnalazione e supporto. Direzione, amministratore unico o CdA definiscono priorità, risorse e soglie per le decisioni che non possono essere lasciate al singolo dipendente.
Questa ripartizione evita due errori. Il primo è chiedere alle persone di “stare attente” senza offrire un percorso di azione. Il secondo è aspettarsi che l’IT scopra da solo ogni cambiamento nel modo in cui l’azienda lavora.
Usare formazione breve, ripetuta e collegata al lavoro
Un unico corso molto lungo tende a separare la sicurezza dall’operatività. È più utile alternare momenti brevi e mirati: un esempio reale anonimizzato, una simulazione, una guida di una pagina, un confronto durante una riunione di reparto.
Il contenuto deve cambiare in base a chi lo riceve. Chi gestisce pagamenti ha bisogno di riconoscere richieste anomale e confermare dati sensibili. Chi lavora con clienti o fornitori deve conoscere i canali approvati per condividere file e informazioni. Chi approva investimenti o gestisce servizi essenziali deve capire quali domande porre quando viene segnalato un rischio, un incidente o un’eccezione.
Un attestato documenta che una sessione si è svolta. Non dimostra da solo che la persona sappia affrontare una situazione concreta. Per questo è utile prevedere domande, esercizi o brevi verifiche legate alle attività effettive, e usare gli errori emersi per migliorare istruzioni e strumenti.
Rendere facile segnalare dubbi e anomalie
Una cultura sana non misura il valore delle persone dal numero di segnalazioni ricevute. Un dubbio comunicato in tempo può evitare un errore; un’anomalia nascosta per paura di una colpa può trasformarsi in un problema più difficile da gestire.
L’azienda deve quindi indicare un canale comprensibile e una risposta attesa. Chi riceve un’email sospetta deve sapere se inoltrarla, bloccarla o contattare subito qualcuno. Chi perde un dispositivo deve sapere chi avvisare e quali informazioni fornire. Chi nota un accesso non previsto deve poterlo segnalare senza dover decidere prima se sia già un incidente.
La risposta aiuta a costruire fiducia. Se una segnalazione riceve silenzio, le persone smettono di usare il canale. Se riceve una conferma, un’indicazione utile e, quando serve, un aggiornamento della regola, il comportamento corretto diventa più naturale.
Verificare i comportamenti, non solo le presenze
Il controllo non deve ridursi al numero di persone che hanno completato un corso. La domanda più utile è: nelle situazioni rilevanti, il comportamento atteso avviene davvero?
L’azienda può osservare pochi indicatori collegati al lavoro: segnalazioni ricevute e tempi di risposta, errori ripetuti, richieste di eccezione, esiti di simulazioni, difficoltà segnalate dai reparti, attività rimaste senza un responsabile. Questi elementi non servono per creare una classifica dei dipendenti. Servono per capire dove una regola è poco chiara, dove manca uno strumento o dove una decisione della direzione deve essere resa esplicita.
Il riesame deve produrre un’azione concreta: semplificare un passaggio, aggiornare un modello di richiesta, chiarire un ruolo, cambiare un canale o pianificare un approfondimento per un gruppo specifico. In questo modo la cultura della sicurezza resta collegata ai problemi reali dell’azienda.
Conclusione. Trasformare le regole in comportamenti quotidiani significa partire dalle situazioni che le persone incontrano, rendere chiaro il gesto atteso e creare un canale di aiuto che funzioni. La sicurezza non migliora perché una policy è stata pubblicata. Migliora quando una richiesta urgente, un file riservato o un’anomalia trovano una risposta semplice, conosciuta e verificabile.