Appunti Organizational science - parte 2

31 Se questi valori non vengono interiorizzati dalle persone, restano solo dichiarazioni formali. Il rischio è creare una distanza tra ciò che l’organizzazione afferma e ciò che le persone fanno realmente nella pratica quotidiana. 41.5 Shared tacit assumptions A questo punto della trattazione entriamo nel livello più profondo della cultura: le shared tacit assumptions, cioè le assunzioni implicite condivise. Qui non parliamo più di regole o conoscenze esplicite, ma di tutto ciò che le persone danno per scontato, spesso senza rendersene conto. Sono convinzioni radicate, interiorizzate nel tempo, che guidano il comportamento in modo quasi automatico. Per esempio, se in un’organizzazione si è sempre lavorato senza incidenti gravi, può svilupparsi l’idea implicita che “non succederà nulla anche in futuro”. Questo tipo di convinzione, anche se non viene mai dichiarata esplicitamente, influenza fortemente il modo in cui le persone si comportano. 41.6 Knowledge Accanto alle assunzioni implicite troviamo la knowledge, cioè il livello di conoscenza dei dipendenti in materia di cybersecurity. Qui il discorso è più diretto: quanto le persone sanno davvero? Sanno riconoscere un attacco di phishing? Sanno come comportarsi in caso di incidente? Conoscono le policy aziendali? maggiore è la conoscenza, maggiore sarà la capacità di evitare errori e in paricolare: • una cultura forte è desiderabile • una cultura stabile è prevedibile Questo significa che non basta avere conoscenze alte in modo sporadico: serve continuità, perché la sicurezza si basa proprio sulla prevedibilità dei comportamenti. 42 Possibili interazioni tra i livelli A questo punto i diversi livelli (artefatti, valori, assunzioni, conoscenza) devono essere allineati tra loro. Non è sufficiente che uno solo funzioni bene. Se c’è disallineamento, si creano problemi. In generale si possono verificare quattro scenari diversi. 32 42.1 Cultura neutrale e stabile Nel primo caso tutti i livelli sono più o meno allineati e si collocano attorno a un livello medio, vicino al baseline minimo accettabile. Non è una situazione eccellente, ma è stabile e prevedibile. Non ci sono grandi rischi, ma nemmeno un livello particolarmente alto di sicurezza. 42.2 Insecure and mostly stable Qui emerge un problema nella conoscenza: i dipendenti non hanno competenze sufficienti. Anche se gli altri livelli sono relativamente stabili, questa mancanza porta a comportamenti meno sicuri. Il risultato è una cultura che rimane stabile nel tempo, ma su un livello inferiore al minimo accettabile. 42.3 Insecure and unstable In questo scenario c’è un forte disallineamento. L’organizzazione magari promuove valori di sicurezza elevati, ma le persone: • non hanno le conoscenze adeguate • non condividono realmente quelle convinzioni Di conseguenza, i comportamenti non riflettono i valori dichiarati. È una situazione tipica in cui “si d