Phishing simulato in azienda: misurare il rischio umano

La posta elettronica resta una delle vie d'ingresso più sfruttate dagli attaccanti. Filtri e antivirus fermano molto, non tutto: prima o poi una mail ben costruita raggiunge una casella. A quel punto la difesa è la persona che la legge.

Il phishing simulato serve a capire, con dati reali, come reagisce il personale. Non è un esercizio per cogliere qualcuno in fallo: è uno strumento di misura che rende la formazione più mirata e fornisce evidenze concrete per TISAX® e NIS 2.

Cos'è il phishing simulato

È una campagna controllata in cui l'azienda invia ai dipendenti mail che imitano un attacco reale: un falso avviso di consegna, una richiesta di aggiornamento delle credenziali, una fattura da scaricare. Le mail non contengono nulla di pericoloso; si registra solo il comportamento:

• quante persone aprono il messaggio;
• quante cliccano sul link;
• quante inseriscono dati in una pagina di prova;
• quante segnalano la mail come sospetta.

L'ultimo dato è spesso il più importante: un'azienda in cui il personale segnala subito le mail sospette reagisce prima a un attacco vero.

Misurare invece di supporre

Senza una misura, il livello di consapevolezza resta un'opinione. Con il phishing simulato diventa un dato confrontabile nel tempo: prima della formazione, per conoscere il punto di partenza; dopo, per verificarne l'efficacia; a intervalli regolari, per capire se l'attenzione si mantiene.

I risultati indicano anche dove intervenire. Se un reparto clicca spesso su false fatture, la formazione di quel gruppo si concentra sulle frodi nei pagamenti.

Il collegamento con TISAX e NIS 2

Il catalogo VDA ISA, su cui si basa l'assessment TISAX, richiede che il personale sia formato e sensibilizzato con misure regolari e documentate. Il phishing simulato non è un requisito esplicito, ma dimostra che la sensibilizzazione viene verificata e non solo erogata.

La NIS 2 (Direttiva (UE) 2022/2555, recepita con il D.Lgs. 138/2024) include tra le misure di gestione del rischio l'igiene informatica di base e la formazione, e richiede di valutare l'efficacia delle misure adottate. Una campagna con report ordinati fornisce un dato utile per questa valutazione e per l'informazione periodica agli organi di amministrazione.

Etica e privacy

Una campagna gestita male produce più danni che benefici: sfiducia, imbarazzo, sensazione di controllo. Alcune regole vanno quindi stabilite fin dall'inizio.

Informazione preventiva

Il personale deve sapere che l'azienda svolge campagne di phishing simulato a scopo formativo. Non occorre annunciare il giorno dell'invio, ma il programma va comunicato, ad esempio nella politica di sicurezza o in un'informativa dedicata.

Nessuna esposizione dei singoli

I risultati non servono a esporre o sanzionare le persone. Nei report per la direzione i dati risultano aggregati per reparto o gruppo. Chi clicca riceve un messaggio formativo immediato sui segnali che avrebbe potuto notare, non un rimprovero.

Dati minimi e protetti

Si raccolgono solo i dati necessari alla misura; nelle pagine di prova le eventuali credenziali inserite non vengono registrate. Gli aspetti di protezione dei dati e di normativa giuslavoristica vanno valutati, prima di partire, con chi segue la privacy in azienda ed eventualmente con il consulente giuslavorista.

Esche credibili ma corrette

Vanno evitati scenari che sfruttano paure personali o temi sensibili, come false comunicazioni su salute, retribuzioni o licenziamenti. Il realismo serve, la crudeltà no.

Una piattaforma installata presso l'azienda

Un aspetto rilevante riguarda la collocazione dei dati. Nell'impostazione adottata da General Tech di Rosario Zappalà la piattaforma di phishing simulato viene installata sui sistemi del cliente e configurata per l'azienda (logo, dati, server di posta). I risultati delle campagne restano all'interno dell'organizzazione e non transitano da servizi esterni. Questo semplifica la valutazione privacy e consente di ripetere le campagne nel tempo con la stessa base di confronto.

Report collegati ai requisiti

Un report utile non è un elenco di clic. Comprende una sintesi per la direzione (livello di rischio, andamento, priorità), dati aggregati per reparto, analisi degli scenari più efficaci, collegamento ai controlli VDA ISA e alle misure NIS 2 supportati dal risultato e azioni consigliate: temi da rafforzare nella formazione, regole da chiarire, migliorie tecniche come il pulsante di segnalazione nella posta. Il report diventa così un'evidenza da archiviare insieme al registro della formazione.

Il percorso

Dopo una call gratuita di 30 minuti, in cui vengono raccolti dimensioni, strumenti di posta e obiettivi, segue una proposta scritta personalizzata. Il percorso tipico comprende definizione di obiettivi e regole con la direzione, informativa per il personale, installazione della piattaforma presso il cliente, campagna iniziale, formazione mirata sui punti deboli emersi, nuova campagna con confronto dei risultati e presentazione del report alla direzione.

Domande frequenti

Il phishing simulato è obbligatorio per TISAX o NIS 2?

No, nessuno dei due lo impone esplicitamente. Entrambi richiedono però formazione e consapevolezza, e la NIS 2 richiede di valutare l'efficacia delle misure. Il phishing simulato è un modo concreto per farlo e documentarlo.

Con quale frequenza conviene una campagna?

Dipende dall'azienda e dai risultati. Una campagna iniziale, una dopo la formazione e poi campagne periodiche durante l'anno rappresentano un ritmo ragionevole, da definire nel piano di formazione.

Cosa accade a chi clicca?

Viene mostrata subito una pagina che chiarisce la natura della simulazione e i segnali che permettevano di riconoscerla. Nessuna sanzione, nessun elenco di nomi in circolazione.

Serve il consenso dei dipendenti?

È necessario informarli del programma. Gli aspetti legati al trattamento dei dati e ai controlli sull'attività lavorativa vanno verificati con il referente privacy prima della prima campagna.