Le aziende investono risorse importanti in firewall di nuova generazione, soluzioni EDR, sistemi di protezione delle identità, architetture Zero Trust e piattaforme SIEM. Sono componenti fondamentali di una strategia di cybersecurity, ma non possono presidiare da sole ogni fase di un possibile attacco.

Un attacco può iniziare dallo sfruttamento di una vulnerabilità, da una configurazione errata o dalla compromissione di un fornitore. In altri casi, a determinare l’esito dell’attacco può essere un’azione apparentemente ordinaria: aprire un link, inserire le credenziali in una pagina contraffatta, approvare una richiesta di autenticazione o autorizzare un pagamento urgente.

Il Rapporto Clusit 2026, relativo agli incidenti osservati nel 2025, conferma la compresenza di questi rischi. A livello globale sono stati censiti 5.265 attacchi cyber gravi, il 49% in più rispetto all’anno precedente. Lo sfruttamento delle vulnerabilità è cresciuto del 65%, mentre phishing e social engineering hanno registrato un aumento del 75%. In Italia, questi ultimi hanno rappresentato il 12,4% degli incidenti censiti, con una crescita del 66% rispetto al 2024. 

L’intelligenza artificiale contribuisce ad accelerare entrambi i fronti. Può ridurre i tempi necessari per individuare sistemi vulnerabili e automatizzare alcune attività ostili, ma anche rendere più credibili campagne di phishing, messaggi fraudolenti e contenuti audio o video manipolati.

La sicurezza, quindi, non può essere affidata esclusivamente né alla tecnologia né all’attenzione individuale: nasce dall’integrazione tra persone, processi e strumenti. La Cybersecurity Awareness rappresenta una componente strutturale della capacità di difesa dell’organizzazione.

Perché la tecnologia, da sola, non basta

Firewall, protezione della posta, MFA, EDR e strumenti di monitoraggio riducono significativamente la probabilità che un attacco raggiunga il proprio obiettivo. Nessun controllo, però, è in grado di intercettare ogni possibile scenario.

Spear phishing e Business Email Compromise sono particolarmente insidiosi perché vengono costruiti intorno al ruolo, alle attività e alle relazioni professionali della persona coinvolta. Possono utilizzare nomi conosciuti, conversazioni realmente avvenute, riferimenti a clienti o fornitori e un linguaggio coerente con l’attività quotidiana. 

I canali che rendono credibile un attacco

Una richiesta fraudolenta oggi raramente passa da un solo canale. I più usati per aggirare i controlli e spostare l’interazione verso un terreno meno presidiato sono:

• SMS (smishing) — notifiche di consegna, banche, corrieri
  
  
• Chiamate telefoniche (vishing), spesso con voce clonata tramite AI
  
  
• QR code contraffatti (quishing), su volantini, parcheggi, fatture
  
  
• Contenuti audio e video manipolati (deepfake), usati per rafforzare la credibilità di una richiesta urgente

Le leve psicologiche: urgenza, autorità, pressione

A fare da leva, quasi sempre, sono proprio questi tre elementi. Una richiesta presentata come eccezionale, ma apparentemente proveniente da una figura autorevole, può indurre a ignorare una procedura che normalmente si rispetterebbe. Riconoscere una situazione insolita e segnalarla è già, a tutti gli effetti, parte del sistema di difesa: la Cybersecurity Awareness non sostituisce i controlli tecnologici, li rende più efficaci all’interno di una strategia multilivello.

Le persone come parte attiva della sicurezza

Un programma di Cybersecurity Awareness deve mettere le persone nelle condizioni di comprendere i rischi collegati alle proprie attività, riconoscere le richieste potenzialmente fraudolente e applicare correttamente le procedure aziendali. Una segnalazione tempestiva può consentire al team IT o Security di analizzare il messaggio, bloccare un dominio o un URL, invalidare una sessione attiva, verificare la presenza di altri destinatari e contenere un’eventuale compromissione. 

Le persone contribuiscono così alla capacità di rilevazione dell’organizzazione, aggiungendo un elemento di contesto che spesso manca ai sistemi automatici: la conoscenza delle normali modalità operative, dei rapporti con clienti e fornitori, delle richieste abitualmente gestite. È questa consapevolezza diffusa, più che il singolo corso, a fare la differenza nel momento critico.

La Cybersecurity Awareness come processo continuo

Costruire una cultura della sicurezza non significa organizzare una sessione formativa una volta all’anno per soddisfare un requisito formale.

Gli obblighi del D.Lgs. 138/2024 (NIS2)

Per i soggetti essenziali e importanti che rientrano nell’ambito di applicazione della normativa NIS2, il D.Lgs. 138/2024 attribuisce specifiche responsabilità agli organi di amministrazione e direttivi, tra cui la formazione in materia di sicurezza informatica e la promozione di un’offerta formativa periodica rivolta ai dipendenti. È un punto spesso trascurato: l’obbligo formativo non riguarda solo chi opera in prima linea, ma parte proprio dal vertice aziendale.

ISO/IEC 27001 e il miglioramento continuo

Anche ISO/IEC 27001 inserisce la sicurezza delle informazioni in un sistema di gestione basato sul rischio e sul miglioramento continuo, adottando un approccio che coinvolge persone, politiche e tecnologie. La compliance, tuttavia, deve essere una conseguenza di un programma efficace, non il suo unico obiettivo: un’attività formativa produce valore quando modifica concretamente il modo in cui le persone riconoscono, verificano e gestiscono le situazioni a rischio.

Formazione breve, ricorrente e contestualizzata

La formazione funziona quando è chiara, ricorrente e legata alle attività quotidiane.

Gestione delle credenziali, richieste di pagamento, condivisione delle informazioni, lavoro da remoto, utilizzo dei dispositivi mobili e riconoscimento delle comunicazioni fraudolente devono essere affrontati attraverso scenari realistici, non slide teoriche.

Non tutti i ruoli sono esposti agli stessi rischi. Amministrazione, HR, IT, ufficio acquisti, commerciale e management gestiscono informazioni e processi differenti. Anche la formazione dovrebbe quindi essere calibrata sulle responsabilità effettive.

Simulazioni di phishing realistiche e controllate

Le campagne di phishing simulato consentono di verificare come l’organizzazione reagisce a scenari realistici, in un ambiente controllato, senza esporla a una minaccia effettiva: aiutano a capire quali tecniche risultano più efficaci, quali processi espongono maggiormente l’azienda e dove sia necessario intervenire.

Apprendimento nel momento del bisogno

Quando una persona interagisce con una simulazione, il momento più utile per la formazione è quello immediatamente successivo. Una breve spiegazione può mostrare quali indizi avrebbero dovuto generare un dubbio:

• un dominio simile a quello originale, ma non identico 
  
  
• un collegamento che porta a una pagina non coerente col mittente
  
  
• una richiesta insolita
  
  
• un tono eccessivamente urgente
  
  
• una procedura aziendale non rispettata

La simulazione diventa così uno strumento di apprendimento, non un semplice test da superare.

Cultura della segnalazione: si costruisce e si misura

La segnalazione deve seguire un percorso chiaro e facilmente accessibile: un indirizzo dedicato, il portale di assistenza o un altro canale aziendale definito aumentano la probabilità che un messaggio sospetto venga condiviso in tempo utile.

Vanno stabiliti i soggetti responsabili della presa in carico, i tempi di valutazione e le azioni da eseguire quando la segnalazione riguarda una minaccia reale. Un riscontro, anche sintetico, aiuta le persone a capire il valore della segnalazione e a usare correttamente il processo.

Per capire se il programma sta funzionando, conviene monitorare pochi indicatori concreti:

• tasso di click sulle simulazioni di phishing (da contestualizzare in base alla difficoltà di riconoscimento dello scenario)
  
  
• tasso di segnalazione spontanea dei messaggi sospetti
  
  
• tempo medio di segnalazione, dalla ricezione alla condivisione con il team IT / Security

Sono numeri semplici da raccogliere, e dicono più di qualsiasi survey di gradimento sul reale impatto della formazione.

Integrare Awareness, processi e controlli

Un programma di Awareness è efficace soltanto quando viene affiancato da procedure adeguate.

Verifica dei pagamenti e segregazione dei ruoli

Una richiesta di modifica dell’IBAN, ad esempio, dovrebbe essere verificata attraverso un canale diverso da quello con cui è arrivata. Le operazioni economicamente rilevanti dovrebbero prevedere segregazione dei ruoli, livelli di autorizzazione e, dove necessario, una seconda approvazione.

Autenticazione forte con FIDO2 e WebAuthn

Anche la protezione degli accessi va commisurata al rischio. Per sistemi, dati e funzioni critiche è opportuno adottare un’autenticazione multifattore resistente al phishing, basata su protocolli come FIDO2 e WebAuthn: a differenza di password, SMS e codici OTP, questi meccanismi vincolano l’autenticazione al servizio legittimo e contrastano gli attacchi che intercettano le credenziali in tempo reale.

IAM e Single Sign-On

L’accesso alle risorse più sensibili dovrebbe essere centralizzato tramite sistemi di Identity and Access Management e Single Sign-On, applicando il principio del minimo privilegio e controlli coerenti sul ciclo di vita degli account. Vale però una precisazione che spesso si dà per scontata: il SSO semplifica la gestione degli accessi, ma senza un MFA solido a monte rischia anche di ampliare il danno di una singola credenziale compromessa, dando accesso a più sistemi con un solo login violato. Centralizzare gli accessi ha senso solo se accompagnato da un’autenticazione forte.

Gestione centralizzata di password e segreti

Password, token, chiavi API e certificati non devono essere distribuiti via e-mail, chat, fogli di calcolo o file locali. Password manager aziendali e secret vault permettono di applicare cifratura, controllo degli accessi, tracciamento, revoca e gestione centralizzata del ciclo di vita.

Il rischio della filiera dei fornitori

Anche la filiera dei fornitori merita un presidio esplicito, non solo una menzione: la compromissione di un fornitore critico è uno dei vettori di attacco più frequenti, ed è proprio su questo punto che NIS2 chiede alle aziende di estendere le proprie verifiche oltre il perimetro interno.

Formazione, procedure chiare, controlli tecnici e capacità di risposta si rafforzano a vicenda, riducendo sia la probabilità che un errore si verifichi sia l’impatto che potrebbe produrre.

Verso una sicurezza costruita con le persone

La sicurezza informatica non dipende soltanto dalle tecnologie acquistate, ma dal modo in cui vengono integrate nei processi e utilizzate all’interno dell’organizzazione. I controlli tecnici devono ridurre la superficie di attacco e limitare gli effetti di una compromissione. I processi devono introdurre verifiche adeguate nei passaggi più critici. Le persone devono conoscere i rischi collegati alle proprie attività e sapere come comportarsi di fronte a una situazione insolita.

Investire nella Cybersecurity Awareness significa aumentare la capacità complessiva dell’organizzazione di prevenire, individuare e gestire un attacco.

In questo percorso, il ruolo di Next04 non si limita alla selezione o all’implementazione di singole soluzioni. Consiste nell’analizzare architettura, processi operativi, gestione delle identità, strumenti di monitoraggio e procedure di risposta, individuando eventuali aree di debolezza e definendo interventi coerenti con il rischio — non un pacchetto standard, ma un percorso costruito insieme, a partire da come l’organizzazione lavora davvero.