Formazione sulla sicurezza informatica: perché i corsi annuali non bastano

Un corso di formazione sulla consapevolezza della sicurezza informatica erogato una volta all'anno non riduce in modo significativo il rischio di phishing, poiché le persone dimenticano rapidamente ciò che hanno appreso senza un rinforzo nel tempo. Secondo il Data Breach Investigations Report 2025 di Verizon, circa il 60% delle violazioni analizzate ha coinvolto un fattore umano, come il clic su un link dannoso o la gestione errata dei dati.

In questo articolo esaminiamo perché il modello di formazione annuale sulla sicurezza informatica fallisce, cosa dice la ricerca sulla formazione continua, come il cervello elabora un tentativo di phishing, come strutturare un programma efficace di sensibilizzazione alla sicurezza e come il GDPR e la direttiva NIS2 inquadrano gli obblighi di formazione obbligatoria sulla sicurezza delle informazioni.

‍

Perché la formazione annuale sulla consapevolezza della sicurezza informatica non funziona

Il problema principale della formazione annuale non è il contenuto, ma la frequenza.

Una sessione di un'ora, tenuta solo una volta all'anno, crea un breve picco di attenzione che svanisce nel giro di pochi giorni. Senza rinforzo, le persone tornano rapidamente alle abitudini precedenti, incluse quelle rischiose. La curva dell'oblio descritta da Ebbinghaus più di un secolo fa si applica alla sicurezza informatica esattamente come a qualsiasi altro tipo di apprendimento. Senza una ripetizione dilazionata nel tempo, la maggior parte dei contenuti svanisce entro una settimana.

Il rapporto Verizon rileva che il tasso medio di clic sulle simulazioni di phishing rimane intorno all'1,5% anche nelle organizzazioni che svolgono una formazione continua, una cifra che riflette un limite fisiologico difficile da eliminare completamente.

Ciò che cambia con una formazione frequente non è solo il tasso di clic, ma la capacità delle persone di riconoscere e segnalare un tentativo di phishing prima che causi danni. La segnalazione proattiva, non semplicemente evitare di aprire un allegato, è il vero indicatore di una cultura consolidata della sicurezza informatica.

Le minacce informatiche, in particolare il phishing, funzionano sfruttando specifici meccanismi psicologici: l'urgenza percepita, l'apparente autorità del mittente, la familiarità con un marchio noto. Un'email che simula un messaggio urgente del CEO o di un fornitore abituale aggira le difese razionali nello stesso modo in cui farebbe una telefonata sospetta ben congegnata.

Un corso una tantum sulla consapevolezza della sicurezza informatica non allena questo riconoscimento nel tempo.

Riconoscere uno schema di attacco richiede un'esposizione ripetuta a esempi realistici, distribuiti su settimane o mesi. Ad aumentare la sfida, i messaggi di phishing generati con l'IA generativa sono diventati più convincenti e più difficili da rilevare rispetto a quelli prodotti manualmente. Un programma di formazione sulla sicurezza informatica che non si aggiorna regolarmente rischia di insegnare ai dipendenti a individuare segnali che gli attacchi più recenti non mostrano più.

Microlearning continuo vs Corso singolo: la frequenza è la chiave

I dati confermano il valore della frequenza. Secondo l'analisi del DBIR 2025, i dipendenti che hanno ricevuto una formazione recente segnalano le email di phishing simulate a un tasso significativamente più elevato rispetto a coloro che non sono stati formati di recente.

Il vero ROI della formazione sulla consapevolezza della sicurezza informatica è la capacità di reagire, non solo la prevenzione di un clic.

Il microlearning risponde a questa esigenza distribuendo contenuti brevi nel tempo. Un modulo di 3-5 minuti ogni mese, erogato direttamente all'interno di Microsoft Teams, mantiene l'argomento vivo nella mente dei dipendenti senza richiedere un impegno di tempo significativo. Questo approccio sfrutta lo stesso principio della ripetizione dilazionata che la ricerca sulla memoria associa a una migliore ritenzione a lungo termine.

La differenza pratica è sostanziale.

Con un corso annuale di un'ora, il dipendente assorbe le informazioni in un contesto artificiale, scollegato dal lavoro reale, e ne dimentica quasi tutto entro una settimana. Con moduli mensili di cinque minuti erogati tramite Teams, ogni sessione di formazione si inserisce nel flusso di lavoro quotidiano, rafforza i contenuti precedenti e aggiorna sui nuovi vettori di attacco. La formazione non interrompe il lavoro: lo accompagna.

Un ulteriore vantaggio del formato breve e frequente è la gestione degli aggiornamenti. Quando emerge una nuova tecnica di attacco, aggiornare un modulo di cinque minuti richiede ore, non settimane. Con un corso tradizionale di un'ora, qualsiasi aggiornamento significativo richiede quasi di ricostruirlo da zero.

‍

GDPR e NIS2: cosa richiede realmente la normativa europea

Il GDPR non prescrive un formato specifico per la formazione sulla sicurezza informatica, ma richiede alle organizzazioni di adottare misure organizzative adeguate per proteggere i dati personali. La formazione del personale è esplicitamente riconosciuta come una di queste misure.

Ciò significa che seguire un corso una volta e dimenticarsene non è sufficiente. In caso di violazione dei dati o di ispezione da parte dell'autorità di controllo, l'organizzazione deve essere in grado di dimostrare tre cose:

1. la formazione è stata erogata su base continuativa,
2. i dipendenti l'hanno effettivamente completata,
3. i contenuti erano aggiornati rispetto alle minacce esistenti.

Un programma di microlearning con tracciamento automatico soddisfa questi requisiti in modo molto più solido rispetto a un corso annuale con registro presenze cartaceo.

La direttiva NIS2 (recepita negli ordinamenti nazionali degli Stati membri entro ottobre 2024) aggiunge un ulteriore livello di obblighi. A partire dal 2026, le organizzazioni nei settori coperti dalla direttiva, circa 160.000 entità in tutta l'UE che spaziano tra categorie essenziali e importanti, sono soggette alla supervisione attiva delle autorità nazionali competenti. L'articolo 20 della NIS2 stabilisce esplicitamente che gli organi di gestione devono seguire una formazione sulla sicurezza informatica e che le organizzazioni devono offrire una formazione equivalente a tutti i dipendenti su base regolare. L'alta direzione non è esente: è inclusa come destinatario obbligatorio.

Le sanzioni per le entità essenziali possono raggiungere i 10 milioni di euro o il 2% del fatturato globale. Per le entità importanti, il tetto è di 7 milioni di euro o l'1,4% del fatturato. Non si tratta di rischi teorici: le autorità nazionali stanno verificando attivamente la conformità.

Le organizzazioni devono essere in grado di presentare documentazione strutturata per singolo dipendente in risposta alle richieste delle autorità di regolamentazione, coprendo date di completamento, contenuti dei moduli e punteggi dei quiz. Questo è esattamente ciò che fornisce un LMS con tracciamento automatico.

Comprendere la psicologia alla base degli attacchi aiuta a progettare un programma di sensibilizzazione alla sicurezza informatica più efficace.

Il phishing non funziona perché i dipendenti sono negligenti o poco intelligenti. Funziona perché sfrutta sistemi cognitivi che chiunque utilizza ogni giorno per prendere decisioni rapide senza sovraccaricare l'attenzione consapevole. Il Sistema 1 di Kahneman, la modalità di pensiero rapida e automatica, è esattamente ciò che i criminali informatici cercano di attivare.

Un'email che arriva da quello che sembra essere un fornitore familiare, con un oggetto urgente e il logo corretto, non viene elaborata dal sistema critico e deliberato dell'utente: viene elaborata dal riconoscimento automatico di schemi. Se assomiglia alle email che arrivano normalmente da quel fornitore, il cervello la tratta come legittima.

Una formazione efficace sul phishing non insegna solo ai dipendenti a individuare segnali tecnici, come URL sospetti, mittenti non verificati o allegati insoliti. Insegna alle persone a rallentare prima di agire, a riconoscere il momento in cui avvertono urgenza o pressione come un segnale di avvertimento piuttosto che come un invito a conformarsi. Questo tipo di risposta condizionata si costruisce attraverso la ripetizione, non attraverso un singolo corso.

Le simulazioni periodiche di phishing, integrate in un programma di sensibilizzazione alla sicurezza informatica, servono a questo scopo: espongono i dipendenti a tentativi realistici in un contesto sicuro in cui l'errore produce apprendimento anziché danni. Un dipendente che clicca su un link simulato riceve immediatamente un breve modulo che spiega cosa avrebbe dovuto notare. Questo feedback immediato è molto più efficace di una spiegazione teorica fornita in aula.

‍

Come strutturare un programma annuale di sensibilizzazione alla sicurezza informatica

Un piano annuale efficace di sensibilizzazione alla sicurezza informatica non si basa su un singolo evento formativo, ma su una cadenza regolare di contenuti brevi.

Una struttura pratica prevede un modulo mensile di 3-5 minuti coprendo diversi argomenti nel corso dell'anno: riconoscimento del phishing di base nei primi mesi, seguito da ingegneria sociale, gestione sicura delle password, sicurezza dei dispositivi mobili, protezione dei dati nel lavoro da remoto, Business Email Compromise (BEC), sicurezza delle videoconferenze e aggiornamenti sui vettori di attacco emergenti.

Gli argomenti ad alto rischio, in particolare il riconoscimento del phishing e la gestione delle credenziali, meritano di essere trattati più di una volta durante l'anno con esempi sempre nuovi. Quando si verificano eventi rilevanti, come l'introduzione di una nuova normativa o un attacco di alto profilo nel settore, l'aggiunta di un modulo ad hoc che contestualizzi la minaccia specificamente per l'organizzazione rappresenta un valido supplemento.

Percorsi specifici per ruolo aumentano significativamente l'efficacia del programma.

Un impiegato amministrativo, un rappresentante commerciale, un tecnico IT e un membro del consiglio di amministrazione hanno profili di rischio completamente diversi. La formazione generica copre i fondamenti, ma quella specifica per ruolo affronta i vettori di attacco più probabili per ogni funzione. I dirigenti, ad esempio, sono bersagli privilegiati per attacchi BEC e spear-phishing: la loro formazione deve includere scenari su misura per questo profilo.

Una piattaforma come Microlearning365 consente di aggiornare immediatamente il programma di consapevolezza sulla sicurezza informatica quando emergono nuove minacce, senza dover coinvolgere un'agenzia esterna per ricostruire il corso, e distribuisce i moduli direttamente all'interno di Microsoft Teams. Il monitoraggio automatico del completamento produce i report necessari per la conformità a GDPR e NIS2 senza alcuno sforzo manuale da parte dell'IT o delle Risorse Umane.

Alcuni settori devono affrontare requisiti normativi che si sovrappongono o rafforzano quelli della NIS2 e del GDPR.

Nei servizi finanziari e bancari, il regolamento DORA (Digital Operational Resilience Act, applicabile da gennaio 2025) impone agli istituti finanziari di gestire i rischi ICT in modo sistematico, includendo la formazione periodica del personale. L'Autorità bancaria europea e le autorità di vigilanza nazionali hanno incluso la verifica della formazione sulla sicurezza informatica tra i loro criteri di ispezione.

Nel settore pubblico, le agenzie digitali nazionali in tutta Europa hanno emanato linee guida specifiche sulla sicurezza informatica che includono requisiti di formazione per il personale. Le organizzazioni del settore pubblico sono tra le più frequentemente colpite da attacchi ransomware, il che significa che la formazione non è solo un obbligo di conformità, ma una priorità operativa concreta.

Nelle infrastrutture critiche (energia, trasporti, acqua), la NIS2 applica i requisiti di vigilanza più rigorosi. La formazione sulla sicurezza informatica deve coprire scenari specifici per gli ambienti OT (Operational Technology) e ICS (Industrial Control Systems), dove un incidente informatico può avere conseguenze fisiche oltre che digitali.

‍

Formazione annuale vs Programma continuo

‍

FAQ

Con quale frequenza dovrebbe essere erogata la formazione sulla consapevolezza della sicurezza informatica?

La ricerca suggerisce una cadenza mensile o bimestrale con moduli brevi, piuttosto che un'unica sessione annuale. Una distribuzione regolare aumenta la probabilità che i dipendenti riconoscano e segnalino tentativi di phishing reali. La NIS2 richiede una formazione regolare senza specificare una frequenza minima: le migliori pratiche di settore raccomandano almeno da quattro a sei sessioni all'anno.

La formazione sulla consapevolezza della sicurezza informatica riduce davvero il rischio di violazioni?

Riduce il rischio, ma non lo elimina del tutto. Secondo il Verizon DBIR 2025, il tasso di clic sulle simulazioni di phishing rimane intorno all'1,5% anche con una formazione continua, ma il tasso di segnalazione aumenta significativamente tra i dipendenti formati di recente. La capacità di segnalazione è la metrica più importante, perché consente all'organizzazione di intervenire prima che un attacco si intensifichi.

Il GDPR richiede un programma di consapevolezza sulla sicurezza informatica?

Il GDPR richiede misure organizzative adeguate per la protezione dei dati e la formazione del personale è considerata una di queste. In caso di violazione dei dati, dimostrare di aver svolto una formazione continua e tracciabile può essere decisivo nella valutazione dell'autorità di controllo. La direttiva NIS2 aggiunge un obbligo esplicito di formazione regolare per tutti i dipendenti, inclusi i membri del consiglio di amministrazione.

Come si dimostra la conformità a un programma di consapevolezza sulla sicurezza informatica durante un audit?

Con un sistema che traccia automaticamente il completamento e i risultati dei quiz per ogni dipendente, generando report con date, contenuti trattati e punteggi. Questo tipo di documentazione è molto più solido di un registro presenze di una sessione in aula e risponde direttamente alle richieste documentali delle autorità di controllo previste dal GDPR e dalla NIS2.

Perché un corso annuale di consapevolezza sulla sicurezza informatica non è sufficiente, nemmeno se di alta qualità?

Anche un corso ben progettato è soggetto al rapido oblio descritto dalla curva di Ebbinghaus: senza un rinforzo nel tempo, la maggior parte dei contenuti viene persa pochi giorni dopo la formazione. Non è una questione di qualità del corso, ma di come funziona la memoria umana. Solo la ripetizione dilazionata nel tempo produce una ritenzione duratura.