Il fattore umano nella sicurezza IT, perché la tecnologia non basta

Firewall aggiornato. Antivirus attivo. Backup configurato. EDR in funzione. Autenticazione a due fattori attiva. E poi qualcuno in azienda clicca su un link di phishing, e in pochi minuti chi ci vuole attaccare ha accesso alla rete aziendale.

Non è una storia inventata. È lo scenario più comune negli incidenti di sicurezza informatica reali. Le statistiche sono chiare: oltre il 90% degli attacchi informatici che vanno a segno sfruttano un errore umano, non una vulnerabilità tecnica, non un sistema mal configurato, non un bug nel codice. Un comportamento umano.

Questo non significa che la tecnologia non serva. Significa che da sola non basta. La sicurezza informatica è un problema culturale prima che tecnologico e si affronta con un approccio che mette le persone al centro, non solo i sistemi. Leggi quello che è successo al nostro CEO

La risposta non è che le persone sono stupide o negligenti. La risposta è che gli hacker sono bravi a sfruttare i meccanismi psicologici che ci rendono umani.

L’urgenza. Un’email che dice “il tuo account verrà bloccato entro 2 ore” attiva una risposta emotiva immediata che bypassa il pensiero critico. Il cervello vuole risolvere il problema adesso e non vuole fermarsi ad analizzare l’header del messaggio.

La fiducia. Un’email che sembra provenire da un collega, da un superiore, da un fornitore conosciuto abbassa le difese. “Se lo dice il mio capo, lo faccio” è una risposta automatica, non un ragionamento deliberato.

L’abitudine. I dipendenti ricevono decine o centinaia di email al giorno. La scansione visiva veloce “sembra ok, clicco”, è inevitabile quando si è sotto pressione. Non è mancanza di attenzione: è come funziona il cervello umano in condizioni di sovraccarico informativo.

L’autorità. Le richieste che sembrano provenire da figure autorevoli come ad esempio il CEO, l’IT o la banca, vengono eseguite con meno verifica. È un meccanismo di compliance sociale profondamente radicato.

Gli attaccanti conoscono questi meccanismi e li sfruttano deliberatamente. Costruire email di phishing che fanno leva sull’urgenza e sull’autorità non è un’arte oscura è social engineering applicato, e funziona con una frequenza preoccupante anche su persone attente e competenti.

Molte aziende rispondono a questo problema con un corso sulla sicurezza informatica: un paio d’ore di slide, qualche esempio di phishing, un quiz finale. Il dipendente ottiene il certificato di completamento, e per la sicurezza dell’azienda non cambia quasi nulla.

Non perché la formazione non funzioni, ma funziona solo se è fatta nel modo giusto. Il problema è il formato: un corso una tantum non costruisce abitudini. Le abitudini si costruiscono con la ripetizione, il rinforzo e la pratica nel tempo.

Tre settimane dopo il corso, la maggior parte delle persone ha dimenticato la maggior parte dei contenuti. Sei mesi dopo, è come se il corso non fosse mai avvenuto. E le minacce, nel frattempo, sono cambiate ed evolute.

Formazione continua e aggiornata
Non un singolo corso, ma sessioni brevi e frequenti, mensili o trimestrali, focalizzate su minacce specifiche e aggiornate. I contenuti devono essere attuali: il phishing del 2026 non somiglia a quello del 2024, e la formazione deve rispecchiarlo.

I formati più efficaci sono quelli interattivi e brevi: video da 5 minuti, quiz, scenari simulati. Non slide da leggere passivamente.

Simulazioni di phishing
Inviare periodicamente email di phishing simulate ai dipendenti, costruite come quelle reali, ma sicure, questo permette di misurare il livello di consapevolezza effettivo e di identificare chi ha bisogno di formazione aggiuntiva.

L’obiettivo non è punire chi clicca, ma creare un’esperienza di apprendimento reale: quando si riceve una notifica “hai appena cliccato su una simulazione di phishing, ecco cosa avrebbe dovuto farti sospettare”, l’impatto formativo è molto più efficace di una slide teorica.

Procedure chiare per situazioni sospette
I dipendenti devono sapere cosa fare quando hanno un dubbio. “Ho ricevuto un’email strana, cosa faccio?” non dovrebbe avere come risposta “chiedo al collega” o “clicco e vedo”. Deve esserci un canale chiaro, un indirizzo email, un numero di telefono, un sistema di ticketing, a cui segnalare email sospette senza timore di giudizio.

Una cultura in cui segnalare un sospetto è valorizzato e non ridicolizzato, è una delle difese più efficaci contro il social engineering.

Il principio del dubbio sistematico
La formazione più efficace non insegna a riconoscere i phishing, insegna ad avere un atteggiamento di dubbio sistematico verso qualsiasi comunicazione che chiede un’azione urgente, inusuale o che richiede credenziali o autorizzazioni.

La domanda da insegnare non è “questa email sembra legittima?” ma “mi aspettavo questa comunicazione? Ha senso nel contesto attuale? Se ho un dubbio, posso verificare su un canale alternativo?”

Coinvolgimento dei vertici aziendali
La cultura della sicurezza si costruisce dall’alto. Se il management non partecipa alla formazione, non rispetta le procedure di sicurezza, o tratta la cybersecurity come un problema dell’IT e non dell’intera organizzazione, il messaggio che arriva ai dipendenti è chiaro: non è una priorità reale.

I vertici aziendali devono essere i primi a seguire la formazione, i primi a rispettare le policy di sicurezza e i primi a comunicare che la sicurezza informatica è una responsabilità condivisa, non una questione tecnica delegata all’IT.

In Easy Pc affianchiamo le aziende con percorsi sulla sicurezza informatica pensati per essere pratici, aggiornati e sostenibili nel tempo. Dalla formazione base per tutti i dipendenti alle simulazioni di phishing, fino ai moduli specifici per i team con accesso a dati sensibili o con responsabilità IT.
La formazione è integrata con gli altri servizi di sicurezza, monitoraggio, endpoint protection, gestione degli accessi, per costruire un approccio coerente che copre sia il lato tecnico che quello umano.

Vuoi strutturare un programma di sicurezza IT per il tuo team?