Simulazioni di phishing: come organizzarle senza punire i colleghi

Molte organizzazioni inviano al proprio personale email di phishing finte, costruite apposta, per misurare quante persone cliccano e allenare l'attenzione. Sono le simulazioni di phishing. Fatte bene, sono uno degli strumenti più efficaci per costruire abitudini di sicurezza. Fatte male, producono il risultato opposto: personale umiliato, sfiducia verso l'ufficio informatico e paura di segnalare gli errori.

Per chi guida un'organizzazione, la differenza sta in poche scelte.

Definire l'obiettivo giusto

L'indicatore più citato è la percentuale di persone che cliccano. È utile, ma non è il più importante. In un attacco vero, quello che conta è quanto velocemente qualcuno segnala il messaggio sospetto: basta una segnalazione tempestiva per proteggere tutti gli altri.

Un buon programma misura quindi almeno due cose:

• il tasso di segnalazione, e il tempo della prima segnalazione;
• il tasso di clic e di inserimento delle credenziali, osservato nel tempo, non come pagella del singolo.

Niente punizioni, molta spiegazione

Chi clicca su una simulazione deve vedere subito una pagina che spiega, in modo semplice e non giudicante, quali segnali erano presenti. È il momento in cui si impara di più.

Da evitare:

• elenchi nominativi di chi ha sbagliato, condivisi con colleghi o responsabili;
• sanzioni disciplinari legate ai risultati delle simulazioni;
• messaggi di scherno o toni paternalistici.

Se le persone temono le conseguenze di un errore, la volta in cui l'attacco è vero non lo diranno. E un errore nascosto è molto più pericoloso di un errore segnalato.

Realistiche, ma corrette

Le simulazioni devono somigliare alle minacce reali: false fatture, documenti condivisi, avvisi di accesso, comunicazioni di enti. Conviene però evitare temi che toccano la sfera personale o generano ansia reale, come finte comunicazioni su stipendi, licenziamenti, salute o premi aziendali inesistenti. Una simulazione che delude o spaventa i dipendenti brucia fiducia per mesi.

Frequenza e progressione

Una campagna all'anno serve a poco. Funzionano meglio invii regolari, ad esempio mensili o trimestrali, con difficoltà crescente e temi diversi. Le simulazioni vanno accompagnate da brevi momenti di formazione, possibilmente legati agli schemi appena usati.

Coinvolgere le persone giuste

Prima di partire conviene:

• informare il personale che l'organizzazione svolge simulazioni, senza annunciare le date;
• coinvolgere il responsabile della protezione dei dati, perché si trattano dati sui comportamenti dei dipendenti;
• valutare il coinvolgimento delle rappresentanze del personale, dove previsto;
• preparare l'assistenza informatica a ricevere più segnalazioni e a ringraziare chi le invia.

Rendere facile segnalare

Una simulazione ha senso solo se segnalare è semplice: un pulsante nel programma di posta, un indirizzo dedicato, una risposta rapida. Ogni segnalazione, vera o simulata, merita un ringraziamento.

In sintesi

Una simulazione di phishing riuscita non è quella in cui nessuno clicca, ma quella dopo la quale più persone sanno riconoscere un inganno e si sentono libere di dirlo. Il compito di chi decide è costruire un programma che insegni, non uno che giudichi.