Il fattore umano: perché le persone sono la vulnerabilità più sfruttata

Si dice spesso che "l'anello debole della sicurezza è l'essere umano". È una frase vera solo a metà, e detta così rischia di essere ingiusta. Le persone sono certamente il bersaglio preferito degli attaccanti. Ma sono anche, quando sanno cosa osservare, la difesa più flessibile e intelligente che un'organizzazione abbia.

Perché attaccare le persone

Forzare un sistema ben protetto è difficile, costoso e lento. Convincere qualcuno a inserire la propria password in una pagina falsa, ad aprire un allegato o ad autorizzare un pagamento è spesso molto più semplice. È quello che si chiama ingegneria sociale: manipolare le persone perché compiano azioni che favoriscono l'attaccante.

Le leve sono sempre le stesse, perché fanno parte della natura umana:

• urgenza: "entro oggi", "ultimo avviso", "il bonifico deve partire subito";
• autorità: la richiesta sembra arrivare dal direttore, da un ente pubblico, dalla banca;
• paura: account bloccati, sanzioni, problemi legali;
• fiducia: un collega, un fornitore abituale, un numero conosciuto;
• curiosità: un documento riservato, una foto, una notizia sorprendente;
• disponibilità: aiutare chi chiama, chi è in difficoltà, chi ha bisogno di un favore.

Non è una questione di intelligenza

Chi cade in una truffa non è sprovveduto. Gli attacchi sono costruiti per colpire nei momenti di stanchezza, fretta e distrazione: il venerdì pomeriggio, la vigilia delle ferie, a fine giornata con venti email da evadere. Anche esperti di sicurezza ci cascano, quando il messaggio arriva al momento giusto.

Per questo colpevolizzare chi sbaglia è inutile e dannoso: spinge a nascondere gli errori, ed è proprio il silenzio che trasforma un clic sbagliato in un incidente grave.

Le abitudini che proteggono

Non serve diventare esperti. Bastano alcune abitudini, ripetute fino a diventare automatiche:

Rallentare quando c'è fretta. Se un messaggio ti mette pressione, è il momento di fermarti, non di accelerare.

Verificare con un altro canale. Ogni richiesta insolita che riguarda soldi, dati o accessi si conferma con una telefonata a un numero conosciuto o di persona.

Seguire le procedure, anche quando sono scomode. Le regole esistono proprio per i casi in cui qualcuno chiede di saltarle.

Diffidare della segretezza. "Non dirlo a nessuno" isola la vittima. Parlarne con un collega spesso basta a smascherare l'inganno.

Segnalare subito. Un messaggio sospetto o un errore commesso vanno segnalati senza imbarazzo. Una segnalazione rapida protegge tutti.

Cosa può fare l'organizzazione

Il fattore umano non si gestisce con un corso all'anno. Funzionano meglio:

• formazione breve e frequente, con esempi reali e aggiornati;
• simulazioni costruite per insegnare, non per giudicare;
• procedure chiare per pagamenti, accessi e richieste insolite;
• un modo semplice e rapido per segnalare;
• responsabili che danno l'esempio, accettando le verifiche e ringraziando chi segnala.

In sintesi

Le persone sono il bersaglio, ma possono essere anche il sensore più efficace dell'organizzazione. La differenza la fanno poche abitudini e una cultura in cui chiedere e segnalare è normale.