Firewall avanzati, antivirus di ultima generazione, sistemi di rilevamento delle intrusioni, backup automatici. Le aziende italiane investono sempre di più in tecnologie di cybersecuirty. Eppure, gli attacchi continuano ad avere successo.
Il motivo è semplice e i dati lo confermano: il 61% degli incidenti di cybersecurity è causato da errori umani. Non da hacker geniali che bucano sistemi impenetrabili. Da un dipendente che clicca sul link sbagliato, da una password troppo semplice, da un allegato aperto senza verifiche.
La cybersecurity non è un problema tecnologico. È un problema di persone.
I numeri che le aziende non vogliono vedere
I dati più recenti sul panorama italiano sono chiari. Solo il 16% delle aziende si ritiene all’avanguardia nella sicurezza informatica. Una su sei. Tutte le altre sanno di avere lacune, ma spesso non sanno dove intervenire.
Il 50% degli incidenti è collegato a una formazione insufficiente sui rischi digitali. I dipendenti non sono preparati a riconoscere le minacce quotidiane. Il phishing, la tecnica di attacco più diffusa, continua a funzionare proprio perché fa leva sull’errore umano.
Quasi un lavoratore su due non è in grado di individuare i segnali più evidenti di una email di phishing. Il dato migliora leggermente tra i giovani under 34 (34% non riconosce il phishing) ma peggiora sensibilmente nelle fasce più senior (49% tra gli over 45). Un divario generazionale che riflette differenze nella cultura digitale, ma che espone comunque l’intera organizzazione.
E il paradosso è che i decisori aziendali ne sono consapevoli: il 78% valuta la preparazione dei propri dipendenti sul phishing come solo parziale. Sanno che c’è un problema. Ma spesso non agiscono di conseguenza.
Il paradosso degli investimenti: tanta tecnologia, poca formazione
C’è una contraddizione evidente nel modo in cui le aziende affrontano la cybersecurity. Da un lato, riconoscono che il fattore umano è la principale vulnerabilità. Dall’altro, continuano a investire prevalentemente in tecnologia.
Nuovi firewall, sistemi di monitoraggio più sofisticati, soluzioni di intelligenza artificiale per il rilevamento delle minacce. Strumenti utili, certamente. Ma che non servono a nulla se poi il dipendente fornisce le credenziali a un attaccante che si finge il responsabile IT.
Il 72% dei CISO (Chief Information Security Officer) considera l’errore umano il rischio principale per la sicurezza aziendale. Eppure, gli investimenti in formazione del personale restano marginali rispetto a quelli in infrastruttura tecnologica.
È come installare una porta blindata e poi lasciare le chiavi sotto lo zerbino.
Cosa succede quando qualcuno clicca
Vale la pena capire cosa accade concretamente quando un dipendente cade in una trappola di phishing.
Un’email arriva nella casella di posta. Sembra provenire da un fornitore abituale, dal reparto IT, dalla banca. Il messaggio è urgente: c’è un problema con un pagamento, una password da reimpostare, un documento da firmare. Il link porta a una pagina che replica perfettamente quella originale. Il dipendente inserisce le proprie credenziali.
In quel momento, l’attaccante ha accesso. Da lì può muoversi lateralmente nella rete, ottenere privilegi più elevati, installare ransomware, esfiltrare dati. Un singolo clic può compromettere l’intera organizzazione.
I danni sono concreti: dati cifrati, richieste di riscatto, interruzione delle attività, perdita di clienti, sanzioni per violazione del GDPR, danni reputazionali che possono durare anni.
E il problema riguarda tutti. Non solo le grandi aziende con dati preziosi. PMI, studi professionali, enti locali: nessuno è troppo piccolo per essere un bersaglio.
L’intelligenza artificiale peggiora le cose
Se il phishing funzionava già prima, l’intelligenza artificiale generativa lo sta rendendo ancora più efficace.
I dati delle simulazioni condotte su campioni aziendali mostrano una differenza impressionante: le email di phishing generate con AI raggiungono un tasso di click del 54%, contro il 12% delle email scritte manualmente.
L’AI consente agli attaccanti di creare messaggi perfettamente credibili in pochi minuti. Niente più errori grammaticali, niente più formule generiche. Ogni email può essere personalizzata sul destinatario, con riferimenti specifici al suo ruolo, alla sua azienda, ai suoi colleghi.
Per chi riceve queste email, distinguere il falso dal vero diventa sempre più difficile. E le difese tecnologiche tradizionali, progettate per riconoscere pattern noti, faticano ad adattarsi.
La formazione non è un costo, è una difesa
In questo contesto, la formazione cybersecurity del personale non è un’opzione accessoria. È l’unica contromisura efficace sul fattore umano.
Ma non basta una sessione annuale obbligatoria in cui si scorrono slide mentre si pensa ad altro. La formazione deve essere continua, pratica, coinvolgente.
Le simulazioni di phishing sono uno strumento particolarmente efficace. Permettono di testare la reattività dei dipendenti in condizioni realistiche, senza i rischi di un attacco vero. E soprattutto, permettono di misurare i progressi nel tempo.
I dati globali mostrano che la formazione strutturata riduce significativamente il tasso di suscettibilità al phishing. Non lo elimina (l’errore umano non si può azzerare), ma lo contiene entro livelli gestibili.
L’obiettivo non è trasformare ogni dipendente in un esperto di cybersecurity. È creare una cultura in cui il dubbio sia la norma: prima di cliccare, verificare. Prima di fornire informazioni, accertarsi dell’identità del richiedente. Prima di aprire un allegato, chiedersi se ha senso.
Cosa devono fare le aziende in tema di cybersecurity
La buona notizia è che intervenire sul fattore umano non richiede investimenti enormi. Richiede consapevolezza e costanza.
Il primo passo è riconoscere il problema. Molte aziende sottovalutano la propria esposizione perché non hanno mai subito un attacco grave. Ma l’assenza di incidenti passati non garantisce nulla per il futuro.
Il secondo passo è misurare. Simulazioni di phishing, test di consapevolezza, valutazioni delle competenze digitali del personale. Non si può migliorare ciò che non si misura.
Il terzo passo è formare. Non una tantum, ma in modo continuo. Con contenuti aggiornati alle minacce reali, con esercitazioni pratiche, con feedback immediato sugli errori.
Il quarto passo è creare procedure chiare. Cosa fare quando si riceve un’email sospetta? A chi segnalarla? Come verificare l’identità di chi chiede informazioni sensibili? Se le procedure non esistono o non sono note, ogni dipendente improvvisa.
Il quinto passo è coinvolgere i vertici. La sicurezza non può essere delegata all’IT. È una responsabilità che parte dal management e permea tutta l’organizzazione. La direttiva NIS2 lo rende esplicito: gli organi direttivi sono personalmente responsabili della strategia di cybersecurity. (linee guida ACN)
Il costo di non fare nulla
Il costo medio di un incidente di cybersecurity per le aziende continua a crescere. Non solo per il riscatto eventualmente pagato o per il ripristino dei sistemi. Ma per l’interruzione dell’attività, per i clienti persi, per le sanzioni, per il danno alla reputazione.
E spesso l’incidente parte da qualcosa di banale. Un dipendente che non ha riconosciuto un’email sospetta. Una password usata anche per account personali e compromessa in un data breach. Un allegato aperto per fretta o distrazione.
La domanda non è se un’azienda subirà un tentativo di attacco. La domanda è quando. E quando succederà, la differenza la faranno le persone: la loro capacità di riconoscere la minaccia, di reagire correttamente, di limitare i danni.
Investire in tecnologia è necessario. Ma senza investire nelle persone, è insufficiente.
Conclusione: la sicurezza parte dalle persone
La cybersecurity è cambiata. Non è più solo una questione di firewall e antivirus. È una questione di cultura aziendale, di formazione continua, di consapevolezza diffusa.
Il fattore umano è il punto debole, ma può diventare il punto di forza. Un dipendente formato che segnala un’email sospetta può bloccare un attacco prima che inizi. Una cultura del dubbio può prevenire danni che nessuna tecnologia avrebbe fermato.
Le aziende italiane sono consapevoli del problema. Quello che manca, spesso, è il passaggio dall’intenzione all’azione.
I dati dicono che c’è urgenza. Il 61% degli incidenti deriva da errori umani. Solo il 16% delle aziende si ritiene preparata. Il phishing potenziato dall’AI è sempre più efficace.
La risposta non è comprare un altro software. È investire nelle persone.
P.I. Computers supporta le aziende nella formazione del personale sulla cybersecurity: sessioni di awareness, simulazioni di phishing, definizione di procedure e policy. Perché la sicurezza parte dalle persone. Richiedi informazioni →
