Negli ultimi anni gli attacchi informatici hanno registrato una crescita senza precedenti, con un incremento globale degli incidenti gravi di oltre il 27% in un solo anno e un peso dell’Italia pari al 10% degli attacchi mondiali, pur rappresentando una quota molto inferiore dell’economia globale.
Al centro di questo scenario, il fattore umano rimane l’anello più vulnerabile: phishing, smishing, vishing, furto di credenziali e ingegneria sociale sfruttano distrazione, fretta e mancanza di consapevolezza.
In questo contesto, la Security Awareness aziendale non è più un “nice to have”, ma un pilastro della cyber resilience: un processo strutturato che mira a creare una cultura della sicurezza diffusa tra dipendenti, manager e vertici aziendali, in linea con normative come GDPR, NIS2, DORA, ISO 27001 e con le indicazioni dei principali rapporti internazionali, tra cui il Rapporto Clusit 2025.
Cos’è la security awareness aziendale (e cosa non è)
La prima confusione ricorrente riguarda la definizione stessa di security awareness aziendale e il suo rapporto con la cybersecurity tecnica.
Security awareness vs cybersecurity tecnica
Per security awareness aziendale si intende l’insieme di attività che sensibilizzano e formano le persone sui rischi informatici e sui comportamenti corretti da adottare.
Non si tratta solo di “sapere che esiste il phishing”, ma di:
-
riconoscere segnali di phishing, smishing, vishing, BEC fraud e altre forme di ingegneria sociale;
-
gestire in modo sicuro password e credenziali, usare MFA (Multi-Factor Authentication) e strumenti come i password manager;
-
adottare comportamenti consapevoli su email, cloud, smart working, dispositivi mobili, social media, IoT;
-
sapere come segnalare incidenti e sospetti in modo rapido e strutturato.
La security awareness non sostituisce firewall, antivirus, SOC, SIEM, XDR, ma li completa: le tecnologie presidiano i sistemi, le persone presidiano i comportamenti. Il Rapporto Clusit evidenzia che gran parte degli incidenti gravi nasce da errori umani, abuso di credenziali valide e phishing, anche in presenza di soluzioni tecniche avanzate.
Non solo corso e-learning una volta l’anno
Molti pensano ancora alla security awareness come a un corso e-learning annuale. Oggi, invece, i programmi più efficaci:
-
prevedono micro-learning regolare (moduli di pochi minuti inseriti nella routine lavorativa);
-
includono simulazioni di attacco (phishing simulation, smishing simulation, scenari di social engineering);
-
uniscono contenuti e-learning, webinar, aule, pillole video, newsletter interne, materiali visivi in azienda;
-
coinvolgono manager, HR, IT, DPO, comunicazione interna, con messaggi coerenti e continui.
La security awareness diventa così un processo di lungo periodo, non un adempimento formale.
Quali aziende hanno davvero bisogno di security awareness?
La domanda implicita è: “Serve davvero alla mia azienda?”.
Alla luce dei dati Clusit e dei requisiti normativi, la risposta è semplice: tutte le organizzazioni con dati e processi digitali necessitano di un livello adeguato di security awareness, con intensità diversa in base a:
-
settore (sanità, finance, PA, manifatturiero, logistica, media, retail);
-
criticità dei servizi erogati e degli asset OT/IT;
-
esposizione normativa (NIS2, GDPR, DORA, CRA, AI Act);
-
dimensione e distribuzione del personale (sedi, smart working, filiali estere).
Per una PMI la security awareness non coincide con un programma “enterprise”, ma resta essenziale: secondo indagini come PID Cyber Check, phishing e malware risultano le minacce più diffuse per le piccole imprese italiane, proprio perché sfruttano l’anello debole umano.
Perché la security awareness è diventata critica?
Per capire perché servano investimenti strutturati in security awareness, basta guardare lo scenario delineato dal Rapporto Clusit 2025.
un panorama di minacce in “guerra cibernetica diffusa”
Dal 2020 al 2024 gli incidenti gravi sono aumentati in modo esponenziale, fino a 3.541 casi annui, con una crescita di oltre il 100% rispetto al pre-pandemia.
Clusit parla di “guerra cibernetica diffusa”, alimentata da:
-
tensioni geopolitiche e ondate di hacktivism, soprattutto contro PA e infrastrutture critiche;
-
professionalizzazione del cybercrime, con modelli Ransomware-as-a-Service, Crime-as-a-Service, ecosistemi di botnet e marketplace nel dark web;
-
uso massivo di Intelligenza Artificiale generativa come “moltiplicatore di forza”, in grado di generare campagne di phishing personalizzate, deepfake vocali e video, contenuti perfettamente localizzati.
In questo quadro, le tecniche più efficaci si confermano phishing, abuso di credenziali valide, sfruttamento di vulnerabilità, spesso combinate in campagne APT (Advanced Persistent Threat) complesse.
Italia nel mirino: fattore umano, supply chain e settori esposti
L’Italia concentra oltre il 10% degli attacchi globali analizzati. Il Rapporto evidenzia:
-
una crescita del cybercrime a doppia cifra;
-
un aumento del phishing/social engineering di oltre il 35% in un solo anno;
-
un ruolo chiave degli incidenti che sfruttano vulnerabilità non corrette e supply chain software.
L’episodio più eclatante riguarda il settore News / Multimedia: una singola vulnerabilità zero-day in un CMS ampiamente diffuso ha permesso a un gruppo criminale di colpire decine di testate italiane e di sottrarre dati a milioni di utenti.
È l’esempio perfetto di come l’assenza di consapevolezza sui rischi di supply chain e sulla gestione delle patch possa generare un impatto sistemico.
AI generativa, smishing e identità come nuovo perimetro
Clusit e i contributi di Polizia Postale, IBM, Cisco e altri partner insistono su un concetto: “l’identità è il nuovo perimetro”. Le minacce più redditizie puntano proprio lì:
-
campagne di phishing, smishing, vishing, spesso supportate da IA;
-
malware InfoStealer specializzati nel furto di credenziali;
-
attacchi a sessioni, account e token (account hijacking, credential stuffing, SIM swapping);
-
frodi come il CEO Fraud o la BEC (Business Email Compromise), basate su pretexting e social engineering.
La Security Awareness aziendale diventa quindi lo strumento principale per trasformare le persone in un “firewall umano”: consapevoli, diffidenti verso richieste anomale, capaci di riconoscere messaggi alterati anche quando l’IA ne aumenta la credibilità.
Come progettare un programma efficace di security awareness aziendale
Una volta compresa l’urgenza, arrivano le domande operative: da dove si parte, chi guida il progetto, quali contenuti includere, come misurare i risultati.
Definire obiettivi, ruoli e KPI
Un programma di security awareness aziendale efficace nasce da obiettivi chiari, allineati alla gestione del rischio e alla strategia di sicurezza:
-
riduzione del numero di incidenti legati a phishing, smishing, malware;
-
miglioramento dei KPI comportamentali (tasso di segnalazione, riduzione clic su campagne simulate, tempo medio di risposta);
-
supporto alla conformità normativa (GDPR, NIS2, ISO 27001, DORA, PCI-DSS);
-
costruzione di una cultura della sicurezza che coinvolge l’intera organizzazione.
La governance non può restare in capo a un solo reparto tecnico. In base alle best practice, vanno coinvolti:
-
IT / CybersecurityCybersecurity per gli aspetti tecnici e l’integrazione con SOC, SIEM, SOAR, XDR;
-
HR e formazione per la pianificazione dei percorsi, la gestione delle competenze, l’inserimento nei piani annuali;
-
DPO / Legal / Compliance per gli aspetti privacy e normativi;
-
Top management per sponsor, budget e messaggi strategici verso tutta l’azienda.
I KPI tipici per misurare l’efficacia includono tassi di completamento, punteggi ai quiz, percentuale di clic alle simulazioni di phishing, numero di segnalazioni spontanee, trend degli incidenti reali.
Contenuti minimi e percorsi per ruoli diversi
Un percorso solido di awareness copre almeno i seguenti blocchi:
-
fondamenti di sicurezza informatica: minacce, terminologia, esempi concreti;
-
phishing, smishing, vishing, BEC, social engineering: riconoscimento, esempi reali, procedure di segnalazione;
-
password e identità digitale: MFA, password manager, gestione sicura delle credenziali;
-
navigazione sicura e posta elettronica: allegati, link, spoofing, protocolli, HTTPS;
-
ransomware, malware e botnet: modalità di infezione, danni possibili, comportamenti di prevenzione;
-
cloud e lavoro ibrido: uso corretto di storage cloud, permessi, condivisioni, accessi da remoto;
-
social media e reputazione: cosa condividere, che rischi comporta la sovraesposizione di dati;
-
OT e IoT dove presenti: peculiarità degli ambienti industriali, rischi per impianti e dispositivi connessi.
Su questa base, conviene progettare percorsi diversificati:
-
per top management: focus su rischio, governance, responsabilità, NIS2, DORA, AI Act, impatto sul business;
-
per finance, HR, customer care: attenzione a frodi, furto di identità, data breach, gestione dei dati personali;
-
per IT e sicurezza: contenuti più tecnici, modelli come Zero Trust, assume breach, gestione log con SIEM, incident response;
-
per nuovi assunti: onboarding dedicato che introduce da subito policy, canali di segnalazione, regole minime.
Formati didattici, frequenza e simulazioni di phishing
Sul piano didattico, gli articoli e i vendor più avanzati convergono su alcuni elementi:
-
micro-learning: moduli brevi (10-15 minuti) integrati nel flusso di lavoro;
-
interattività: video, quiz, scenari, piccoli giochi che allenano la capacità di riconoscere minacce;
-
gamification: classifiche, badge, percorsi a livelli per aumentare l’engagement;
-
simulazioni di attacco: campagne di phishing simulation, smishing e scenari di social engineering che forniscono una fotografia del rischio reale.
Sulla frequenza, la formazione efficace non si limita a un evento annuale; spesso prevede:
-
percorso base iniziale;
-
richiami periodici (trimestrali, semestrali) con aggiornamenti su nuove minacce;
-
simulazioni distribuite durante l’anno con livelli progressivi di difficoltà;
-
notifiche e micro-contenuti in momenti “sensibili” (picchi di campagne phishing, grandi eventi, periodi di ferie).
Costi, ROI e conformità: come valutare un programma di security awareness aziendale
Uno dei dubbi più forti riguarda budget e ritorno dell’investimento.
Come stimare costi e ritorni
Il costo di un programma varia in base a:
-
numero di utenti e sedi;
-
scelta tra piattaforma SaaS dedicata, contenuti “off-the-shelf” o percorsi totalmente custom;
-
integrazioni (SSO, Active Directory, sistemi HR) e livello di reporting richiesto.
Il ROI si valuta confrontando i costi del programma con:
-
riduzione stimata del numero e dell’impatto degli incidenti (in particolare phishing e ransomware);
-
minori sanzioni o danni reputazionali grazie a una migliore gestione del rischio;
-
riduzione del tempo perso dal personale in seguito a blocchi operativi, data breach, ripristini.
Rapporti come il Clusit mostrano che una quota enorme delle violazioni coinvolge il fattore umano. Ridurre anche solo una parte di questi incidenti spesso compensa ampiamente il costo della formazione.
Security awareness, gdpr, nis2, dora e iso 27001
La Security Awareness aziendale ha anche un ruolo chiave sul piano della conformità normativa:
-
il GDPR non usa l’etichetta “security awareness”, ma richiama l’obbligo di misure tecniche e organizzative adeguate, e una formazione proporzionata ai rischi;
-
la Direttiva NIS2 richiede espressamente programmi di formazione e consapevolezza per il personale di operatori essenziali e importanti, con responsabilità dirette per i vertici;
-
il Regolamento DORA nel finance e il Cyber Resilience Act per prodotti con elementi digitali spingono verso una gestione strutturata del rischio, in cui la preparazione delle persone è parte integrante;
-
gli standard ISO/IEC 27001 e i relativi controlli prevedono obblighi specifici di formazione, consapevolezza e comunicazione interna.
Un programma ben documentato di security awareness, con registri, attestati, tracciamento LMS, report KPI, diventa quindi una risorsa concreta in caso di audit e verifiche.
Engagement, dubbi pratici e futuro della security awareness aziendale
Anche il miglior programma fallisce se le persone lo percepiscono come una perdita di tempo. Qui si gioca la partita dell’engagement.
Evitare l’approccio punitivo e costruire fiducia
Le ricerche mostrano che l’approccio “ti becco che sbagli e ti punisco” produce resistenza e nasconde gli incidenti. Un programma efficace invece:
-
presenta la security awareness come strumento per proteggere lavoro e vita privata, non solo l’azienda;
-
valorizza la segnalazione dei sospetti, anche quando si rivelano falsi allarmi;
-
usa le simulazioni di phishing per apprendere, non per umiliare chi clicca;
-
coinvolge i manager di linea come role model e non solo come destinatari passivi.
La cultura desiderata è quella in cui un dipendente che nota qualcosa di anomalo pensa: “Meglio segnalare subito”, non “Se mi sbaglio faccio una figuraccia”.
Rispondere ai dubbi quotidiani dei dipendenti
Le FAQ più concrete ruotano intorno a domande come:
-
che cos’è davvero il phishing e come lo riconosco in pratica;
-
cosa devo fare se clicco per errore un link sospetto;
-
posso usare chiavette USB personali;
-
cosa è lecito condividere sui social;
-
quali sono le regole minime quando lavoro da casa;
-
cosa succede se segnalo un problema che poi non esiste.
Un buon programma di Security Awareness aziendale prevede linee guida chiare e accessibili, canali dedicati (es. indirizzo email unico per segnalazioni, pulsante di segnalazione in client di posta), e un piano di comunicazione interna che risponde a queste domande in modo esplicito, con esempi specifici.
Verso una resilienza guidata dalle persone e supportata dall’ia
Il Rapporto Clusit 2025 mostra un futuro in cui Intelligenza Artificiale e AI Agents ampliano sia i mezzi degli attaccanti sia quelli dei difensori. Tecnologie come eBPF, SOAR, XDR, Cloud Detection and Response e sistemi AI-driven per la detection offrono un supporto essenziale.
Tuttavia, nessuna tecnologia elimina la necessità di persone consapevoli. Le organizzazioni più avanzate iniziano a usare l’IA anche per:
-
adattare dinamicamente i percorsi formativi al profilo di rischio dell’utente;
-
proporre micro-contenuti contestuali in base al ruolo e ai comportamenti osservati;
-
simulare scenari complessi con deepfake controllati per allenare la capacità critica.
Il risultato è un modello in cui la Security Awareness aziendale diventa il punto di contatto tra governance del rischio, tecnologia e cultura organizzativa.
In uno scenario di “guerra cibernetica diffusa” e di crescita continua delle minacce, l’azienda che investe in consapevolezza non evita solo il prossimo incidente: costruisce nel tempo una resilienza digitale credibile, percepita da clienti, partner, autorità e persone interne come una vera garanzia di affidabilità e fiducia.