Appunti Organizational science - parte 2

31

Se questi valori non vengono interiorizzati dalle persone, restano solo dichiarazioni formali. Il

rischio è creare una distanza tra ciò che l’organizzazione afferma e ciò che le persone fanno

realmente nella pratica quotidiana.

41.5 Shared tacit assumptions

A questo punto della trattazione entriamo nel livello più profondo della cultura: le shared tacit

assumptions, cioè le assunzioni implicite condivise.

Qui non parliamo più di regole o conoscenze esplicite, ma di tutto ciò che le persone danno per

scontato, spesso senza rendersene conto. Sono convinzioni radicate, interiorizzate nel tempo,

che guidano il comportamento in modo quasi automatico.

Per esempio, se in un’organizzazione si è sempre lavorato senza incidenti gravi, può svilupparsi

l’idea implicita che “non succederà nulla anche in futuro”. Questo tipo di convinzione, anche

se non viene mai dichiarata esplicitamente, influenza fortemente il modo in cui le persone si

comportano.

41.6 Knowledge

Accanto alle assunzioni implicite troviamo la knowledge, cioè il livello di conoscenza dei

dipendenti in materia di cybersecurity.

Qui il discorso è più diretto: quanto le persone sanno davvero? Sanno riconoscere un attacco di

phishing? Sanno come comportarsi in caso di incidente? Conoscono le policy aziendali?

maggiore è la conoscenza, maggiore sarà la capacità di evitare errori e in paricolare:

• una cultura forte è desiderabile

• una cultura stabile è prevedibile

Questo significa che non basta avere conoscenze alte in modo sporadico: serve continuità, perché

la sicurezza si basa proprio sulla prevedibilità dei comportamenti.

42 Possibili interazioni tra i livelli

A questo punto i diversi livelli (artefatti, valori, assunzioni, conoscenza) devono essere allineati

tra loro.

Non è sufficiente che uno solo funzioni bene. Se c’è disallineamento, si creano problemi. In

generale si possono verificare quattro scenari diversi. 32

42.1 Cultura neutrale e stabile

Nel primo caso tutti i livelli sono più o meno allineati e si collocano attorno a un livello medio,

vicino al baseline minimo accettabile.

Non è una situazione eccellente, ma è stabile e prevedibile. Non ci sono grandi rischi, ma

nemmeno un livello particolarmente alto di sicurezza.

42.2 Insecure and mostly stable

Qui emerge un problema nella conoscenza: i dipendenti non hanno competenze sufficienti.

Anche se gli altri livelli sono relativamente stabili, questa mancanza porta a comportamenti

meno sicuri. Il risultato è una cultura che rimane stabile nel tempo, ma su un livello inferiore

al minimo accettabile.

42.3 Insecure and unstable

In questo scenario c’è un forte disallineamento.

L’organizzazione magari promuove valori di sicurezza elevati, ma le persone:

• non hanno le conoscenze adeguate

• non condividono realmente quelle convinzioni

Di conseguenza, i comportamenti non riflettono i valori dichiarati. È una situazione tipica in cui

“si dice una cosa ma se ne fa un’altra”. Questo rende la cultura instabile e poco affidabile.

42.4 Secure and unstable

In questo caso il livello complessivo di sicurezza può anche risultare alto, ma manca coerenza

tra i livelli.

Le persone magari seguono le regole, ma non le comprendono o non le condividono davvero.

Questo rende la situazione fragile: la sicurezza c’è, ma non è solida nel tempo. 33

43 Modello concettuale

È possibile utilizzare un modello che spiega come si forma la cultura della cybersecurity i cui

elementi principali sono:

• beliefs (credenze)

• values (valori)

• attitudes (atteggiamenti)

Questi elementi influenzano direttamente i comportamenti. A loro volta, questi sono influen-

zati da due grandi categorie:

• fattori esterni.

• meccanismi organizzativi

Quindi, in sostanza, il comportamento non nasce dal nulla, ma è il risultato di un sistema più

ampio.

43.1 Influenze esterne

Le influenze esterne sono tre principali.

La prima è la cultura della cybersecurity nella società: il contesto culturale generale

influisce su come le persone percepiscono il rischio.

La seconda riguarda regole e normative: leggi, regolamenti e standard che definiscono cosa è

obbligatorio.

La terza è la pressione delle organizzazioni simili: spesso le aziende adottano pratiche perché

lo fanno anche le altre (il cosiddetto mimetismo istituzionale).

43.2 Meccanismi organizzativi

Per costruire una cultura della cybersecurity servono strumenti concreti.

Uno dei più importanti è la leadership: serve qualcuno con responsabilità chiara (come un

CISO) che guidi il processo.

Poi c’è la valutazione delle performance, che deve includere anche comportamenti legati

alla sicurezza, in modo da chiarire cosa è importante.

Un altro elemento è il sistema di premi e punizioni, che orienta le decisioni delle persone. È

fondamentale che sia coerente e proporzionato. 34

Importante è anche l’apprendimento organizzativo, perché la cybersecurity evolve continua-

mente. Le aziende devono essere in grado di adattarsi e aggiornarsi.

A questo si aggiunge la formazione, che serve a sviluppare conoscenze e consapevolezza.

Infine, un ruolo chiave è giocato dalla comunicazione, che deve essere continua, chiara e

distribuita attraverso diversi canali.

44 Comportamenti: in-role ed extra-role

I comportamenti, in generale, possono essere classificati in due categorie:

• Gli in-role behaviors sono quelli richiesti dal ruolo: seguire le policy, rispettare le

procedure, evitare errori.

• Gli extra-role behaviors, invece, sono comportamenti volontari: aiutare i colleghi,

segnalare problemi, condividere conoscenze.

Le organizzazioni più mature dal punto di vista della sicurezza sono quelle in cui le persone

vanno oltre il minimo richiesto.

45 Misurare la cultura della cybersecurity

Per quanto riguarda la misura della cultura, si possono sfruttare tre approcci diversi.

Il primo è più semplice: si misura la situazione attuale, si interviene e poi si misura di nuovo.

Il secondo è più strutturato: si definiscono prima delle metriche, si misura la situazione iniziale,

si implementano interventi e si confrontano i risultati.

Il terzo combina i due approcci, includendo sia misurazioni globali periodiche sia monitoraggi

più specifici e continui.

46 Scelta delle metriche

Un punto molto importante è la scelta delle metriche. 35

Una buona metrica è quella che fornisce informazioni utili sulla cultura della sicurezza, mentre

una cattiva metrica è quella che misura qualcosa di poco significativo.

Ad esempio, sapere quante persone hanno partecipato a un corso non è molto utile; è molto più

importante capire cosa hanno effettivamente imparato.

47 From compliance to behavioural change

Un passaggio molto importante è il passaggio da un approccio basato sulla compliance a uno

basato sul cambiamento dei comportamenti.

Nel modello tradizionale, le organizzazioni si concentravano soprattutto sul rispetto delle rego-

le: formazione obbligatoria, moduli da completare, checklist da spuntare. È quello che viene

chiamato approccio “tick-the-box”, cioè fare le cose solo per dire di averle fatte.

Il problema è che questo approccio spesso non cambia davvero il comportamento delle persone.

Nel modello più moderno, invece, l’attenzione si sposta su una domanda diversa: come fac-

ciamo a far comportare le persone in modo sicuro? Quindi si cerca di rendere la

sicurezza:

• più comprensibile

• più accessibile

• più interessante

Non si parte più solo dalle regole, ma dall’esperienza reale degli utenti. Ed è proprio questo

cambiamento di prospettiva che porta a risultati più efficaci nel lungo periodo.

48 First things first: da dove iniziare

Prima di costruire una cultura della cybersecurity, bisogna capire dove intervenire. Si possono

individuare quattro aree principali:

• Identificazione delle minacce: Le persone devono essere in grado di riconoscere attacchi

come phishing, social engineering, truffe.

• Protezione delle informazioni: Saper gestire correttamente dati sensibili: identificarli,

classificarli e proteggerli.

• Competenze generali di sicurezza: Tutte le pratiche di base: password sicure, sicu-

rezza dei dispositivi, mobilità, sicurezza fisica.

• Coinvolgimento e diffusione della cultura: Non basta che pochi sappiano: la sicurezza

deve essere diffusa in tutta l’organizzazione.

In pratica prima si costruiscono le fondamenta, poi si lavora su aspetti più avanzati. 36

49 Managerial support

Un elemento cruciale è il supporto del management.

La cultura della cybersecurity non può funzionare senza un impegno forte da parte dei vertici.

Questo si traduce concretamente in:

• disponibilità di risorse (tempo, budget, persone)

• presenza di una figura dedicata (non attività lasciate “a tempo perso”)

• coinvolgimento di persone che capiscono sia la tecnologia sia il business, e che sappiano

comunicare

In altre parole, senza leadership la cultura non si costruisce.

50 Key initiatives

Per passare dalla teoria alla pratica, vengono proposte alcune iniziative chiave.

L’idea centrale è costruire una cultura della sicurezza che influenzi realmente i comportamenti.

Le principali azioni sono:

• identificare i comportamenti chiave di cybersecurity

• creare una rete di “champion”

• costruire un hub di sicurezza

• sviluppare un’identità (brand) per il team di sicurezza

• allineare le campagne interne con quelle esterne

Sono tutte azioni che puntano a rendere la sicurezza visibile, concreta e quotidiana.

51 Identificare i comportamenti chiave

Uno dei passaggi più importanti è identificare i comportamenti fondamentali, i quali sono:

• pensare prima di cliccare

• pensare prima di inviare informazioni

• proteggere dispositivi e file

• essere rispettosi online

• segnalare attività sospette

L’obiettivo è semplificare: invece di far leggere policy lunghe e complesse, si traducono in

comportamenti pratici.

E soprattutto, questi comportamenti devono essere chiaramente collegati alle policy, in modo

che le persone capiscano perché fanno certe cose. 37

52 Costruire un cybersecurity hub

Un’altra iniziativa molto interessante è la creazione di un cybersecurity hub. Si tratta di un

punto centrale dove i dipendenti possono:

• trovare informazioni

• fare domande

• segnalare problemi

Questo riduce la confusione e rende più facile ottenere supporto. Inoltre, l’hub può essere usato

anche per diffondere contenuti su temi come:

• phishing

• privacy

• sicurezza dei dati

Un aspetto molto interessante è il collegamento con la vita personale: ad esempio, temi come la

sicurezza online dei figli rendono il contenuto più coinvolgente. Questo aumenta motivazione e

partecipazione.

53 Coordinamento e comunicazione

Le campagne di sicurezza devono essere coordinate tra loro e integrate con l’esterno. Questo

significa:

• inserire momenti di sensibilizzazione nelle riunioni normali

• allinearsi con campagne governative o di settore

• collegare i temi di sicurezza alla vita quotidiana delle persone

Più la sicurezza è vicina all’esperienza reale, più diventa efficace.

54 Creare un “brand” della sicurezza

Un’idea molto interessante è quella di creare un vero e proprio brand del team di cyberse-

curity. Ad esempio:

• usare una mascotte

• creare contenuti visivi riconoscibili

• inserire elementi di sicurezza nelle comunicazioni quotidiane

Questo serve a rendere la sicurezza meno “minacciosa” e più familiare. In pratica, il team di

sicurezza diventa qualcosa di visibile e riconoscibile all’interno dell’organizzazione. 38

55 Cybersecurity champion network

Un’altra iniziativa chiave è la creazione di una rete di cybersecurity champions. Sono persone

distribuite nei vari team che:

• promuovono comportamenti sicuri

• aiutano i colleghi

• fanno da collegamento con il team di sicurezza

Questo approccio è molto efficace perché la sicurezza non resta centralizzata, ma si diffonde in

tutta l’organizzazione.

56 Impatto delle iniziative

In conclusione possiamo dire che:

• identificare i comportamenti chiave semplifica e rende concreta la sicurezza

• i champion aumentano il coinvolgimento

• l’hub facilita l’accesso alle informazioni

• il brand aumenta visibilità e riconoscibilità

• l’allineamento con campagne esterne migliora la coerenza

Tutte queste azioni insieme contribuiscono a costruire una vera cultura della cybersecurity.

57 Resilience

L