--- title: "Smetti di formare le persone. Inizia a sistemare la tecnologia. | Guardian360" description: "Perché la formazione sulla security awareness cambia a malapena i comportamenti, e perché a reggere il peso dovrebbe essere la tecnologia, non la formazione." url: https://guardian360.net/it/blog/stop-training-people-start-fixing-technology/ locale: en source: guardian360.net --- [← Tutti i post](https://guardian360.net/it/blog/) Cybersecurity # Smetti di formare le persone. Inizia a sistemare la tecnologia. Di Jan Martijn Broekhof · 15 aprile 2026 Perché la formazione sulla security awareness è una bugia rassicurante, e cosa dovremmo fare invece La scorsa settimana all’ESET Cyber Defence Summit, la Prof.ssa Bibi van den Berg, docente di Cybersecurity Governance all’Università di Leiden e membro del Consiglio olandese per la Sicurezza Cibernetica, ha detto qualcosa che gran parte del pubblico già sospettava ma pochi osavano dire ad alta voce: la ricerca mostra costantemente che la formazione sulla security awareness sposta a malapena l’ago sui comportamenti realmente sicuri. La sala è rimasta in silenzio per un momento. Poi, lentamente, le teste hanno iniziato ad annuire. Ero una di quelle teste che annuivano. Non perché mi piaccia fare il bastian contrario, ma perché questo coincide con tutto ciò che ho visto in oltre un decennio di lavoro nella sicurezza delle informazioni. Abbiamo speso miliardi in programmi di awareness, simulazioni di phishing e moduli di e-learning. Eppure, i breach continuano ad accadere. I tassi di clic si muovono a malapena. Gli esseri umani continuano a essere umani. ## La ricerca è arrivata, ed è schiacciante Van den Berg non si limita a presentare opinioni dal palco. Lei e i suoi colleghi dell’Università di Leiden hanno prodotto la ricerca a supporto. Nel 2024, Prümmer, Van Steen e Van den Berg hanno pubblicato una meta-analisi che ha esaminato 69 studi sull’efficacia della formazione in cybersecurity. La loro conclusione è sorprendente: mentre la formazione migliora effettivamente conoscenza e consapevolezza, le persone imparano a identificare le minacce in teoria, l’effetto sul comportamento reale è tutta un’altra storia. Quando gli studi usavano gruppi indipendenti per misurare il reale cambiamento di comportamento, trovavano solo un effetto piccolo e statisticamente non significativo. In parole semplici: “le persone sanno cosa dovrebbero fare, ma non lo fanno in modo affidabile.” Questa constatazione non è arrivata dal nulla. Un anno prima, lo stesso team di ricerca aveva pubblicato una revisione sistematica degli attuali metodi di formazione in cybersecurity sulla stessa rivista. Quella revisione ha rilevato che il semplice fornire informazioni ha un effetto limitato sul cambiamento dei comportamenti, che i programmi di formazione hanno spesso una portata troppo ristretta, e che i dipendenti mancano spesso di entusiasmo per il materiale. La traduzione della formazione in comportamento sul posto di lavoro è, nella formulazione degli autori stessi, un’impresa difficile. Quando si usano metodi con efficacia limitata, sforzi e risorse vengono sprecati. Ciò che rende queste constatazioni particolarmente devastanti è l’analisi dei moderatori: la meta-analisi ha testato se il tipo di metodo di formazione, la piattaforma, il contesto sociale, o l’uso di più metodi facessero una differenza significativa. Nessuno di essi la faceva. Non è che non abbiamo ancora trovato il metodo di formazione giusto. L’intero paradigma della formazione-come-riduzione-del-rischio è fondamentalmente limitato. ## La certezza matematica del fallimento Ecco la scomoda verità che il nostro settore si rifiuta di accettare: anche se formassi ogni dipendente fino a un tasso di accuratezza del 99% (che sarebbe un risultato straordinario, ben oltre ciò che la ricerca mostra essere possibile) la matematica giocherebbe comunque contro di te. In un’organizzazione con 1.000 dipendenti, ciascuno dei quali prende decine di decisioni rilevanti per la sicurezza ogni giorno, ti trovi davanti a decine di migliaia di occasioni di errore. Ogni singolo giorno. La probabilità che almeno una persona faccia la cosa sbagliata al momento sbagliato è, a tutti gli effetti pratici, del cento per cento. Questo non è un problema di formazione. È un problema di progettazione dei sistemi. E i problemi di progettazione dei sistemi non si risolvono facendo la predica alle persone intrappolate in un sistema mal progettato. ## Il settore delle simulazioni di phishing vende placebo In Guardian360 abbiamo smesso di offrire test di phishing diversi anni fa. Non è stata una decisione di business popolare, perché le simulazioni di phishing sono un mercato lucrativo. Ma abbiamo smesso perché non potevamo, in buona coscienza, continuare a vendere un servizio che sapevamo non ridurre in modo significativo il rischio. Le simulazioni di phishing misurano un singolo momento nel tempo. Ti dicono che Janet della contabilità ha cliccato un link falso un martedì pomeriggio. Non ti dicono perché. Aveva fretta? La mail era indistinguibile da una legittima? Era al telefono mentre camminava verso una riunione? Il test crea dati, ma non insight. E la tipica risposta organizzativa, in questo caso: più formazione per Janet, cura il sintomo ignorando la malattia. Peggio ancora, i test di phishing creano un falso senso di sicurezza. “Il nostro tasso di clic è passato dal 25% al 12%,” dice il CISO al consiglio, e tutti applaudono. Ma il 12% di mille dipendenti sono comunque 120 porte aperte. E all’attaccante ne basta una. La meta-analisi di Leiden conferma questa intuizione: anche tra gli studi più favorevoli, l’effetto comportamentale è modesto nella migliore delle ipotesi e non significativo nella peggiore. ## La tecnologia deve reggere il peso La mia convinzione, temprata da anni di esperienza e ora supportata dal lavoro di Van den Berg e dei suoi colleghi, è semplice: la tecnologia deve risolvere questo. Non come complemento alla formazione. Come linea di difesa primaria. Cosa significa nella pratica? Significa che smettiamo di chiedere agli esseri umani di essere l’ultima linea di difesa e iniziamo a costruire sistemi in cui gli esseri umani non possano facilmente commettere errori catastrofici. Pensaci: non addestriamo i passeggeri degli aerei a ispezionare i rivetti dell’ala prima del decollo. Costruiamo aerei che sono sicuri per progettazione, mantenuti da ingegneri certificati e monitorati da sistemi automatici. Dovremmo pretendere la stessa filosofia dalla nostra infrastruttura digitale. Concretamente, questo significa investire in tecnologie che rendono la sicurezza invisibile e inevitabile. L’autenticazione passwordless rimuove l’intera categoria del furto di credenziali. Le chiavi di sicurezza hardware rendono il phishing tecnicamente impossibile, non solo improbabile. L’endpoint detection and response intercetta il malware che qualcuno inevitabilmente scarica. Il filtraggio delle email ferma il messaggio malevolo prima che raggiunga la casella. Le architetture zero-trust limitano il raggio d’azione quando, non se, qualcuno commette un errore. ## Rendere la sicurezza la via di minor resistenza L’errore fondamentale del paradigma della formazione sull’awareness è che inquadra la sicurezza come qualcosa che le persone devono scegliere attivamente, più e più volte, migliaia di volte al giorno, contro la spinta di comodità, urgenza e abitudine. Non è un’aspettativa realistica per gli esseri umani. Non lo è mai stata. Il paradigma di cui abbiamo bisogno è diverso. La sicurezza dovrebbe essere il default. Il percorso facile e il percorso sicuro dovrebbero essere lo stesso percorso. Quando divergono, quando l’opzione sicura richiede più passaggi, più attrito, più carico cognitivo, è il sistema a essere rotto, non l’utente. Questa non è un’idea radicale. È come pensiamo alla sicurezza in praticamente ogni altro ambito. Gli ingegneri stradali non si affidano solo alla formazione dei guidatori per prevenire gli incidenti, installano guardrail, progettano zone di deformazione e impongono airbag. Gli architetti ospedalieri non si affidano ai poster sul lavaggio delle mani, installano dispenser automatici a ogni porta. Eppure nella cybersecurity continuiamo ad appendere i poster e a chiederci perché le persone ci passano davanti. ## Il coraggio di cambiare la conversazione So che questa posizione mette a disagio alcune persone. Il settore della security awareness vale miliardi. Ci sono state costruite carriere. I framework di compliance la richiedono. E sì, non sto dicendo che dovremmo dire ai dipendenti assolutamente nulla sulla sicurezza. L’igiene di base, come capire perché non dovresti condividere la tua password e riconoscere che le minacce esistono, è il minimo indispensabile. La ricerca di Leiden conferma che conoscenza e consapevolezza migliorano con la formazione. Ma la conoscenza senza cambiamento comportamentale è una costosa illusione di sicurezza. È ora di avere il coraggio di reindirizzare quei budget, quell’energia e quell’attenzione dei dirigenti dai programmi di formazione agli investimenti in tecnologia che spostano davvero l’ago. Non perché la tecnologia sia perfetta (non lo è) ma perché è scalabile, coerente, e non ha una brutta giornata un martedì pomeriggio. Smetti di formare le persone. Inizia a sistemare la tecnologia. I tuoi utenti non sono l’anello più debole, lo sono i tuoi sistemi. ## Riferimenti Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. *Computers & Security*, 150, 104206. Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. *Computers & Security*, 136, 103585. Van den Berg, B. (2026). Round table discussion at the ESET Cyber Defence Summit.