--- title: "Cybersecurity awareness: persone, processi e difesa aziendale" description: "Cybersecurity awareness: preparare i dipendenti a riconoscere le minacce e agire correttamente, con procedure chiare e supporto aziendale" image: https://blog.quanture.com/hubfs/Security%20awareness/cybersecurity%20awareness_Header%20Blog.jpg --- [![quanture](https://blog.quanture.com/hubfs/quanture-pictogram-new.png)](https://quanture.com) - [WE ARE](https://www.quanture.com/we-are/) - [WE CARE](https://www.quanture.com/we-care/) - [JOIN US](https://www.quanture.com/join-us/) - [SUCCESS STORIES](https://www.quanture.com/case-studies/) - [DOT](https://blog.quanture.com/) - [MY.QUANTURE](https://www.quanture.com/myquanture/) - IT Design & Engineering ### [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) Massimizza l’efficienza e la sicurezza del tuo ecosistema IT. [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Hybrid Infrastructure](https://www.quanture.com/it-infrastructure/hybrid-infrastructure/) - [Infrastructure as a Service](https://www.quanture.com/managed-service/infrastructure-as-a-service/) - [On Premise | Server & Storage, Iperconvergenza, Virtualizzazione](https://www.quanture.com/it-solutions/on-premises-virtualizzazione-iperconvergenza-server-storage/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [ArQive | Storage your data](https://www.quanture.com/managed-service/object-storage-s3/) - [Infrastructure Assesment](https://www.quanture.com/it-consultancy-services/infrastructure-assesment/) - [Cloud Readiness Assessment](https://www.quanture.com/it-consultancy-services/cloud-readiness-assessment/) [Networking](https://www.quanture.com/it-infrastructure/networking/) - [Data Center Networking](https://www.quanture.com/it-solutions/data-center-networking/) - [Wired e Wireless](https://www.quanture.com/it-solutions/reti-lan-wlan/) - [WAN e SD-WAN](https://www.quanture.com/it-solutions/sd-wan/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [Network Assessment](https://www.quanture.com/it-consultancy-services/network-assessment/) - [Wi-fi Site Survey](https://www.quanture.com/it-consultancy-services/wifi-site-survey/) [Business Continuity](https://www.quanture.com/it-infrastructure/business-continuity/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Business Continuity](https://www.quanture.com/it-solutions/business-continuity/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Smart Productivity ### [Smart Productivity](https://www.quanture.com/smart-productivity/) Sfrutta appieno le tue risorse, ottimizza i flussi di lavoro e incrementa la produttività. [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Productivity Suite](https://www.quanture.com/it-solutions/productivity-suite/) - [Enterprise Collaboration](https://www.quanture.com/it-solutions/enterprise-collaboration/) - [Enterprise Voice](https://www.quanture.com/it-solutions/enterprise-voice/) - [Data Governance& AI:Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [Workplace](https://www.quanture.com/smart-productivity/postazioni-lavoro/) - [Mobile Device Management](https://www.quanture.com/it-solutions/mobile-device-management/) - [Virtual Workplace](https://www.quanture.com/it-solutions/virtual-workplace/) - [Workplace as a Service](https://www.quanture.com/managed-service/workplace-as-a-service/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) [Printing Solutions](https://www.quanture.com/smart-productivity/printing-solutions/) - [Printing Managed Services](https://www.quanture.com/managed-service/managed-print-services/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Cyber Security ### [Cyber Security](https://www.quanture.com/cyber-security/) Proteggi i tuoi asset digitali e garantisci la sicurezza dei dati e la continuità operativa della tua azienda. [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Security Platform](https://quanture.com/cyber-security/security-platform/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Digital Identity & Access Security](https://www.quanture.com/it-solutions/iam-security/) - [Cyber Security Awareness](https://www.quanture.com/it-consultancy-services/cyber-security-awareness/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [M365 Security Hardening](https://www.quanture.com/it-consultancy-services/m365-security-hardening/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Ethical Hacking](https://www.quanture.com/cyber-security/ethical-hacking/) - [Vulnerability Assessment](https://www.quanture.com/it-consultancy-services/vulnerability-assessment/) - [Penetration Test](https://www.quanture.com/it-consultancy-services/penetration-test/) - [Web Application Penetration Test](https://www.quanture.com/it-consultancy-services/wapt/) - [Mobile Application Penetration Test](https://www.quanture.com/it-consultancy-services/mobile-application-penetration-test/) - [Wireless Penetration Test](https://www.quanture.com/it-consultancy-services/wireless-penetration-test/) - [Phising Attack Test](https://www.quanture.com/it-consultancy-services/phishing-attack-test/) [Cyber Security Managed Services](https://quanture.com/cyber-security/managed-services/) - [Vulnerability Monitoring](https://www.quanture.com/managed-service/vulnerability-monitoring/) - [Vulnerability Management](https://www.quanture.com/managed-service/vulnerability-management/) - [Intacto – Backup e Disaster Recovery as a Service](https://www.quanture.com/managed-service/disaster-recovery-as-a-service/) - [EPQ – Endpoint Protection Quanture](https://www.quanture.com/managed-service/endpoint-protection/) - [E-mail Security Complete](https://www.quanture.com/managed-service/vulnerability-monitoring/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) ### [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) Tutto il potenziale del Cloud e della suite M365 al servizio del tuo business. [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Active Directory & Domain Services](https://www.quanture.com/microsoft-advisory-services/active-directory-domain-services/) - [Microsoft Active Directory](https://www.quanture.com/it-solutions/microsoft-active-directory/) - [Microsoft ENTRA](https://www.quanture.com/it-solutions/microsoft-entra/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [Integrazione e separazione di foreste e domini](https://www.quanture.com/it-solutions/active-directory-integration/) [Remotizzazione delle postazioni o delle applicazioni](https://quanture.com/microsoft-advisory-services/remotizzazione-desktop/) - Azure Virtual Desktop [Microsoft Cloud: Infrastructure & Productivity](https://www.quanture.com/microsoft-advisory-services/microsoft-cloud-infrastructure-productivity/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Data Governance & AI: Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [SQL Server](https://www.quanture.com/microsoft-advisory-services/server-sql/) [Microsoft Dev Platform](https://www.quanture.com/development/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Dev & Apps](https://www.quanture.com/development/) # Security awareness: trasformare le persone nella prima linea di difesa 21/10/2026 Tag: [Cyber Security](https://blog.quanture.com/tag/cyber-security) ## Key Takeaways - La [**cybersecurity awareness**](https://blog.quanture.com/cybersecurity-awareness#awareness) riduce il rischio quando le persone possono applicare ciò che hanno imparato: servono **procedure accessibili, referenti raggiungibili** e la possibilità di sospendere un’operazione dubbia. - [**Identità e autorizzazione**](https://blog.quanture.com/cybersecurity-awareness#identita) richiedono verifiche distinte: sapere chi invia una richiesta non dimostra che possa ottenere un accesso, ricevere un documento o modificare dati di pagamento. - [**Le responsabilità**](https://blog.quanture.com/cybersecurity-awareness#responsabilita) devono essere definite prima dell’urgenza, distinguendo chi può fermare l’operazione, chi svolge i controlli e chi ne autorizza la ripresa, anche quando il referente è assente. - Una [**cultura non punitiva della segnalazione**](https://blog.quanture.com/cybersecurity-awareness#cultura) favorisce l’allarme tempestivo; il team IT o di sicurezza deve poi fornire un riscontro che chiarisca come comportarsi. - **[Formazione, procedure e controlli tecnici](https://blog.quanture.com/cybersecurity-awareness#formazione)** devono sostenersi a vicenda: la preparazione delle persone non compensa privilegi eccessivi o verifiche deboli, né sostituisce la risposta agli incidenti. La richiesta di modificare l’IBAN di un fornitore arriva poco prima della scadenza di un pagamento. Il messaggio riprende una conversazione già avviata, contiene riferimenti corretti e sembra provenire dall’interlocutore abituale. Chi lo riceve nota qualcosa di insolito, ma il responsabile amministrativo è in riunione e il pagamento deve partire entro la giornata. In una situazione del genere, la **preparazione del dipendente** è essenziale, ma la sua **capacità di reagire** dipende anche dalle **condizioni in cui deve decidere**. Per verificare la richiesta senza esporsi al rischio di autorizzare un pagamento fraudolento, deve sapere se può sospendere l’operazione, a chi rivolgersi quando il referente abituale non è disponibile e come gestire l’eventuale ritardo rispetto alla scadenza. Un programma di cybersecurity awareness deve creare queste condizioni, affinché **chi riconosce un’anomalia possa verificarla e ricevere supporto per prendere la decisione corretta**. La consapevolezza contribuisce così alla protezione dell’azienda, perché il dipendente dispone di un sostegno concreto e non deve scegliere da solo tra la sicurezza dell’operazione e la necessità di portare avanti il lavoro.   ## Cybersecurity awareness: dalla consapevolezza alla capacità di agire La cybersecurity awareness riguarda la **comprensione dei rischi informatici e dei comportamenti che aiutano a contenerli**. Nel lavoro quotidiano, questa consapevolezza dovrebbe orientare decisioni che hanno conseguenze su denaro, informazioni e accessi ai sistemi. **La formazione aiuta le persone a riconoscere una richiesta anomala, mentre le procedure aziendali devono chiarire come gestirla una volta emerso il dubbio**. I due aspetti devono essere coerenti: anche un dipendente preparato può trovarsi in difficoltà se gli viene chiesto di controllare un’operazione senza fornirgli contatti affidabili o il tempo necessario per effettuare la verifica. Per sostenere questo comportamento, **le regole di sicurezza devono essere accessibili e facili da applicare nelle attività quotidiane**. Procedure eccessivamente rigide rischiano di rallentare il lavoro e favorire scorciatoie, mentre disposizioni vaghe lasciano alla persona decisioni per le quali potrebbe non avere informazioni sufficienti. È quindi importante definire **controlli proporzionati al rischio** e rendere disponibile un supporto quando la situazione non rientra nei casi previsti. Per l’azienda, rendere operativa la security awareness significa tradurre un principio generale, come “verificare le richieste sospette”, in **procedure chiare**, che specifichino quando è necessario un controllo aggiuntivo, a chi rivolgersi e se l’operazione debba restare sospesa nell’attesa. Queste informazioni devono essere disponibili nel momento in cui servono: una policy conservata in un repository poco conosciuto difficilmente aiuta chi deve valutare una richiesta durante una telefonata o a pochi minuti da una scadenza. Il [security awareness training](https://blog.quanture.com/security-awareness-training) prepara le persone ad affrontare queste situazioni attraverso **corsi, simulazioni e percorsi continuativi**. Perché l’apprendimento si traduca in comportamenti sicuri, però, l’azienda deve **rendere le verifiche compatibili con il lavoro quotidiano**, soprattutto quando urgenze e pressioni operative spingono ad agire rapidamente.   ## Quali richieste devono attivare una verifica indipendente Un **messaggio fraudolento** può essere scritto correttamente e contenere riferimenti autentici, tanto da sembrare parte di uno scambio abituale. Per valutarlo, quindi, occorre considerare anche **l’azione richiesta e le conseguenze che avrebbe la sua esecuzione**: una comunicazione credibile può chiedere di trasferire denaro, concedere un accesso o condividere informazioni senza le autorizzazioni necessarie. Un programma di cybersecurity awareness dovrebbe aiutare le persone a **riconoscere i passaggi che richiedono un controllo aggiuntivo, individuati in anticipo dall’azienda, così da non affidare la verifica soltanto al sospetto del singolo**. Nei pagamenti, nel recupero degli account e nella condivisione dei documenti, il controllo deve riguardare aspetti diversi: gli **esempi** che seguono mostrano come collegarlo all’operazione da eseguire e alle responsabilità di chi la autorizza.   ### Pagamenti e modifiche alle coordinate bancarie Nel caso del cambio IBAN, chiedere conferma rispondendo alla stessa e-mail non offre una verifica indipendente: se l’account del fornitore è stato compromesso, anche la risposta rassicurante potrebbe provenire da chi sta tentando la frode. Occorre quindi **confermare la richiesta attraverso un contatto affidabile già disponibile in azienda**. Una buona pratica consiste nel contattare telefonicamente il fornitore usando il numero già presente nei propri archivi, senza affidarsi ai recapiti contenuti nel messaggio. La conferma deve poi essere accompagnata dalle **autorizzazioni interne previste** per modificare le coordinate bancarie ed eseguire il pagamento, mantenendo separati i controlli sui due passaggi. Per applicare questa verifica, il contatto affidabile deve essere aggiornato e accessibile, e la procedura deve indicare chi conferma la richiesta con il fornitore e chi approva la variazione nell’anagrafica. La conferma dell’interlocutore e l’autorizzazione interna hanno infatti funzioni diverse: accertare che il fornitore abbia realmente chiesto la modifica non attribuisce a chi ha ricevuto il messaggio il potere di aggiornare i dati di pagamento. Conservare una **traccia della verifica e dell’approvazione** permette di ricostruire come è stata presa la decisione e su quali elementi si è basata. Chi interviene nelle fasi successive può così controllare che la modifica sia stata autorizzata, anziché considerarla attendibile soltanto perché è già presente nel sistema.   ### Reset delle credenziali, accessi e condivisione dei dati Anche il service desk deve **conciliare la rapidità dell’assistenza con le verifiche necessarie a proteggere gli accessi**. Chi telefona dichiarando di non riuscire a entrare in un’applicazione può sfruttare la disponibilità dell’operatore, richiamando una scadenza urgente e fornendo informazioni sull’organizzazione per rendere credibile la richiesta. In questi casi, la pressione a ripristinare il servizio può indurre a saltare i controlli sull’identità del richiedente. Il [CrowdStrike Global Threat Report 2026](https://drive.google.com/file/d/1YIp7i9my3VARXLetviyEQ3_lLGLCi9IS/view) descrive attacchi nei quali gli operatori dell’help desk vengono persuasi a eseguire **reset delle password attraverso tecniche di social engineering**. La protezione dipende quindi anche dalle verifiche previste prima di consentire il recupero dell’account, perché un operatore disponibile e preparato ha comunque bisogno di regole che lo aiutino a **distinguere una richiesta legittima da un tentativo di impersonificazione**. Prima di eseguire il reset, l’operatore deve **accertare che la persona sia chi dichiara di essere** e **verificare che l’azione richiesta sia consentita** dalla procedura. Il nome di un collega o il riferimento a un progetto non sono prove sufficienti dell’identità, perché queste informazioni potrebbero essere note anche all’attaccante. Le **modalità di recupero** devono quindi essere definite con il team che [gestisce le identità](https://blog.quanture.com/identity-and-access-management-funzionalit%C3%A0-chiave-e-vantaggi) e prevedere una procedura alternativa approvata quando l’utente non può utilizzare il metodo ordinario, evitando che l’urgenza porti a improvvisare una deroga. La distinzione tra identità e autorizzazione vale anche per la condivisione dei dati: **accertare chi sia l’interlocutore non dimostra che abbia il diritto di ricevere un determinato documento**. Se questo diritto non è chiaro, il dipendente deve poter chiedere conferma al responsabile del dato prima dell’invio. Una volta autorizzata la condivisione, occorre utilizzare il canale aziendale previsto e impostare permessi coerenti con l’accesso consentito.   ### Operazioni sensibili: verifiche e responsabilità | Operazione sensibile | Verifica da predisporre | Responsabilità da chiarire | | --- | --- | --- | | Modifica dell’IBAN di un fornitore | Conferma attraverso un contatto già noto e approvazione della variazione | Chi verifica la richiesta e chi autorizza l’aggiornamento | | Recupero di un account o reset delle credenziali | Verifica dell’identità secondo il percorso aziendale approvato | Chi può eseguire il recupero e gestire le eccezioni | | Condivisione di documenti riservati | Conferma del destinatario, della sua autorizzazione e del canale utilizzabile | Chi approva l’accesso ai dati | | Assistenza remota non prevista | Conferma attraverso i riferimenti IT ufficiali | Chi autorizza l’intervento e il relativo accesso | ## Chi può fermare un’operazione e chi autorizza la ripresa Una procedura di verifica deve chiarire anche che cosa accade mentre il controllo è in corso, stabilendo **quando il dipendente può sospendere l’operazione e chi può autorizzarne la ripresa**. Senza queste regole, chi riceve una richiesta dubbia rischia di dover decidere da solo se continuare a eseguirla per rispettare la scadenza oppure fermarla senza sapere quando arriverà una risposta. Queste responsabilità devono essere assegnate e comunicate prima che emerga il problema, affinché ogni persona conosca i limiti della propria decisione. Il [NIST Cybersecurity Framework 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf) include proprio la **definizione di ruoli, responsabilità e autorità fra gli obiettivi di governance del rischio cyber**. **La facoltà di sospendere una richiesta dubbia va distinta dal potere di approvarla**. La procedura può autorizzare chi la riceve a interromperne temporaneamente l’esecuzione quando emergono determinate anomalie, riservando la decisione di proseguire alla figura competente. In questo modo, la persona può **attivare il controllo senza assumersi anche la responsabilità di stabilire se l’operazione sia legittima**. Il coinvolgimento dell’**IT** deve seguire la stessa **distinzione fra competenze tecniche e responsabilità aziendali**. Il team può analizzare il messaggio e verificare se un account è compromesso o un accesso presenta anomalie, ma potrebbe non disporre delle informazioni necessarie per valutare la coerenza di un pagamento con un contratto o l’autorizzazione a trasmettere un documento. Per decidere come proseguire, occorre quindi affiancare alla verifica tecnica il parere del responsabile del processo o del dato. La procedura deve **prevedere anche l’assenza del referente, indicando un sostituto con l’autorità necessaria oppure le condizioni in cui l’operazione deve restare sospesa**. Affidarsi soltanto alla disponibilità informale dei colleghi rende difficile garantire la verifica durante ferie, cambi di ruolo o attività fuori dall’orario abituale, perché il dipendente potrebbe non sapere a chi chiedere una decisione valida.   ### Urgenze e richieste del management Rispettare una regola di sicurezza può comportare un ritardo con conseguenze sul lavoro: rinviare un pagamento può creare difficoltà con un fornitore, così come attendere la verifica di un accesso può rallentare un progetto. **Se l’organizzazione valuta il risultato soltanto in termini di rapidità, le persone possono sentirsi spinte ad aggirare il controllo** per non essere considerate responsabili del ritardo. La direzione deve perciò sostenere le verifiche previste dalle procedure anche quando incidono sui tempi operativi, mostrando con il proprio comportamento che **la sicurezza è parte del lavoro**. Se un responsabile chiede abitualmente di saltare un’approvazione o rimprovera chi sospende una richiesta dubbia, indebolisce la regola che l’azienda chiede agli altri di rispettare. **La coerenza del management è quindi necessaria per rendere credibile il comportamento atteso.** Anche una richiesta apparentemente proveniente da un dirigente deve essere sottoposta alle verifiche previste per quell’operazione. L’urgenza può essere gestita attraverso un’approvazione più rapida, definita in anticipo, che mantenga i controlli sull’identità del richiedente e sulla sua autorizzazione: la posizione gerarchica non può sostituire questi accertamenti. Per evitare che la sicurezza rallenti inutilmente le attività, **i controlli devono essere proporzionati alle conseguenze dell’operazione**. L’azienda dovrebbe individuare i casi che richiedono una verifica aggiuntiva e stabilire come autorizzare e documentare le eccezioni, così da gestire le esigenze operative senza ricorrere a scorciatoie informali. ## rischio umano e governance > ### Il rischio umano è una responsabilità di governance > > Nella [Survey CISO 2025 dell’Osservatorio Cybersecurity & Data Protection](https://www.osservatori.net/convegno/cybersecurity-data-protection/risultati-ricerca-convegno-osservatorio-cybersecurity-data-protection/)del Politecnico di Milano, che ha coinvolto 145 grandi organizzazioni italiane, **la gestione del fattore umano rappresenta una criticità prioritaria per il 96% dei responsabili della cybersecurity**. Il dato richiama quindi **un problema organizzativo**: preparare le persone e creare le condizioni perché possano agire correttamente. > > Questa responsabilità trova un riferimento anche nel **D.lgs. 138/2024, che recepisce la** [**Direttiva NIS2**](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede) **in Italia**. Per i soggetti essenziali e importanti, l’articolo 23 attribuisce agli organi di amministrazione e direttivi l’approvazione delle modalità di attuazione delle misure di gestione del rischio e la supervisione degli obblighi previsti. Richiede inoltre la formazione dei vertici e la promozione di un’offerta formativa periodica per i dipendenti. > > L’articolo 24 colloca la formazione all’interno di un insieme di misure tecniche, operative e organizzative che comprende anche gestione degli incidenti, controllo degli accessi e valutazione dell’efficacia delle protezioni. **Un programma di security awareness contribuisce a questo sistema, ma da solo non esaurisce gli obblighi di sicurezza**: deve essere accompagnato da procedure, responsabilità e controlli coerenti con i rischi dell’organizzazione. ## Come trasformare una segnalazione in una risposta operativa Chi chiede aiuto non deve aver già accertato l’esistenza di un attacco: **una richiesta insolita o un dubbio su un’azione appena compiuta sono ragioni sufficienti per contattare il team competente**. Chiedere al dipendente di classificare correttamente l’evento prima di segnalarlo può ritardare la comunicazione e trasferirgli una valutazione che spetta alla sicurezza. Per favorire la segnalazione, il contatto con il team IT o di sicurezza deve essere semplice e accompagnato da un riscontro, anche quando il sospetto si rivela infondato. È altrettanto **importante che la persona possa riferire un errore senza temere reazioni ingiuste**: se pensa di essere giudicata per aver cliccato o fornito informazioni, potrebbe tacere proprio i dettagli che consentirebbero di intervenire tempestivamente. ## Segnalare senza paura: la sicurezza psicologica > ### Segnalare senza paura: la sicurezza psicologica > > La **sicurezza psicologica** è la condizione in cui le persone si sentono libere di esprimere un dubbio, chiedere aiuto o ammettere un errore senza temere umiliazioni o reazioni ingiuste. Nella cybersecurity, favorisce una **cultura non punitiva della segnalazione**: chi ha cliccato su un link sospetto o condiviso informazioni deve poterlo riferire subito, sapendo che la priorità sarà contenere il rischio e capire che cosa è successo. > > Questo approccio mantiene le responsabilità individuali, ma evita che la paura delle conseguenze ritardi l’allarme. L’analisi dell’errore serve così anche a migliorare procedure e protezioni, riducendo la possibilità che si ripeta. Nel primo contatto, il dipendente deve poter descrivere la richiesta ricevuta e ciò che ha già fatto, perché l’inserimento di credenziali o l’esecuzione di un pagamento possono cambiare la priorità della valutazione. Il team competente può raccogliere in seguito le informazioni necessarie agli approfondimenti, senza imporre all’utente un modulo tecnico complesso prima di prendere in carico il problema. **La presa in carico deve chiarire al dipendente come comportarsi** **mentre la segnalazione viene valutata.** Una conferma automatica dimostra che la richiesta è stata registrata, ma non indica se l’operazione debba rimanere sospesa; occorre quindi prevedere un riscontro che comunichi le istruzioni iniziali e, dopo le verifiche, la decisione su come proseguire. Nel caso di un pagamento, la risposta richiede il coordinamento fra sicurezza e amministrazione: mentre il team tecnico analizza la comunicazione, il responsabile amministrativo verifica il contesto e le autorizzazioni della transazione. L’esito di queste valutazioni deve essere comunicato attraverso indicazioni coerenti, affinché il dipendente non riceva istruzioni contrastanti e debba decidere da solo quale seguire. **Il supporto deve restare raggiungibile anche quando il canale ordinario non è disponibile.** Se il dubbio riguarda l’account aziendale, per esempio, il dipendente potrebbe non poter accedere al portale che lo utilizza per autenticarsi; un contatto alternativo, conosciuto e aggiornato, gli permette di chiedere aiuto senza dipendere dall’account potenzialmente compromesso. **Se interviene un partner esterno, il coordinamento deve prevedere chi riceve la segnalazione, chi ne segue la gestione e chi aggiorna il dipendente.** Il passaggio fra service desk, sicurezza e partner può richiedere competenze diverse, ma deve lasciare all’utente un riferimento chiaro, evitando che venga rinviato da un interlocutore all’altro senza ottenere una decisione.   ## Quali protezioni devono funzionare anche quando una persona sbaglia La conoscenza del lavoro quotidiano permette alle persone di riconoscere anomalie che i sistemi potrebbero non rilevare, come una richiesta incompatibile con un accordo o priva delle approvazioni abituali. Questo contributo è prezioso, ma rimane soggetto a errori: la protezione deve continuare a funzionare anche quando una richiesta fraudolenta appare plausibile e viene eseguita. **L’architettura di sicurezza deve quindi limitare le conseguenze delle azioni rischiose che sfuggono alla verifica.** Il [NIST CSF 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf) affianca alla formazione **controlli su identità, autenticazione,** [**dati**](https://blog.quanture.com/data-protection-checklist-tecnica-per-una-strategia-efficace) **e piattaforme**, richiamando per le autorizzazioni i [**principi del minimo privilegio**](https://blog.quanture.com/zero-trust-il-modello-vincente-secondo-gartner)e della separazione dei compiti. Nel processo dei pagamenti, separare la modifica dell’anagrafica dall’approvazione della transazione può impedire che una sola decisione errata sia sufficiente a completare la frode. Nella gestione degli accessi, limitare i privilegi alle attività effettivamente necessarie riduce invece le risorse che un attaccante potrebbe raggiungere dopo aver compromesso un’identità. La [protezione della posta](https://quanture.com/it-solutions/email-security/) riduce l’esposizione ai messaggi malevoli e l’[autenticazione resistente al phishing](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi), dove adottabile, ostacola specifiche forme di sottrazione e riutilizzo delle credenziali. Queste misure non verificano però la legittimità commerciale di una richiesta: un utente correttamente autenticato può comunque eseguire un pagamento fraudolento se vengono aggirate le approvazioni previste. Per questo, la distribuzione dei controlli va valutata in relazione a ciascuna operazione. **Le persone verificano il contesto e assumono le decisioni che richiedono competenza aziendale, mentre i sistemi applicano le restrizioni tecniche sugli accessi e sulle azioni consentite.** Affidare ai dipendenti il compito di compensare permessi eccessivi o procedure di recupero deboli lascerebbe irrisolte le fragilità dell’architettura.   ## Come valutare l’efficacia della cybersecurity awareness Per valutare la preparazione aziendale, è utile **esaminare come viene gestita un’operazione concreta**, dalla ricezione della richiesta fino alla sua autorizzazione ed esecuzione, coinvolgendo le persone responsabili dei diversi passaggi. Nel caso del cambio IBAN, il confronto deve chiarire come si coordinano chi riceve il messaggio, chi aggiorna l’anagrafica, chi approva il pagamento e chi svolge le verifiche tecniche. La verifica dovrebbe considerare anche che **cosa accade quando il referente è assente, la scadenza è ravvicinata o l’account non è disponibile**. Queste condizioni permettono di capire se la procedura resta applicabile e dove, invece, il dipendente deve improvvisare una soluzione o affidarsi alla conoscenza personale di un collega. Una verifica iniziale può concentrarsi su cinque domande: 1. 1 **Le operazioni sensibili sono definite?** È chiaro quando una variazione richiede una conferma aggiuntiva? 2. 2 **La verifica è realmente indipendente?** I contatti affidabili sono disponibili senza usare quelli forniti nella richiesta? 3. 3 **Le autorità sono assegnate?** Si sa chi può sospendere, chi autorizza la ripresa e chi sostituisce il referente assente? 4. 4 **Il supporto è raggiungibile?** Esiste un percorso alternativo se account o dispositivo non sono utilizzabili? 5. 5 **Le regole valgono anche sotto pressione?** Urgenze ed eccezioni hanno un percorso approvato, applicabile anche al management? Le risposte aiutano a **distinguere le carenze formative dai problemi del processo**. Se manca un contatto affidabile, occorre rendere disponibili riferimenti verificati; se il responsabile non ha un sostituto, va assegnata una delega adeguata. La formazione può aiutare a riconoscere queste criticità, ma la possibilità di gestirle dipende da scelte organizzative.   ### Integrare Q+|Aware con procedure e protezioni aziendali [Q+|Aware di Quanture](https://quanture.com/managed-service/security-awareness/) supporta la preparazione delle persone attraverso **un programma gestito di security awareness**, che integra formazione contestuale negli strumenti di collaborazione e analisi dei risultati. L’apprendimento nel contesto di lavoro e il confronto periodico con l’azienda aiutano a **individuare i comportamenti da rafforzare e a orientare gli interventi formativi**. **Per valorizzare questa preparazione, l’azienda deve collegarla alle proprie procedure di verifica e autorizzazione**, chiarendo anche come le segnalazioni raggiungono chi può intervenire. La gestione del programma di awareness, il supporto sulla piattaforma e la [risposta a un incidente](https://blog.quanture.com/incident-response-dalla-detection-allazione-come-reagire-in-tempo) reale hanno infatti perimetri diversi, che devono essere raccordati ai referenti interni e ai servizi di protezione attivi. Nel caso del cambio IBAN, l’efficacia di questa integrazione si vede quando il dipendente riconosce l’anomalia, può sospendere l’operazione secondo la procedura e trova un referente autorizzato a decidere. La verifica permette di bloccare la richiesta fraudolenta oppure di proseguire con un pagamento legittimo, conservando traccia dell’approvazione. **La cybersecurity awareness rende così le persone una prima linea di difesa**, sostenuta da responsabilità aziendali chiare e controlli IT coerenti.   [![New call-to-action](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6986587/6fce4398-5209-48df-9e80-f89fbd2f0551.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6986587/6fce4398-5209-48df-9e80-f89fbd2f0551) Come distinguere un problema formativo da uno organizzativo? È utile osservare dove si interrompe la gestione di una richiesta dubbia. Se la persona non riconosce il rischio o non conosce la verifica prevista, può servire un intervento formativo. Se riconosce l’anomalia ma non trova un referente, non dispone di contatti affidabili o non può sospendere l’operazione, occorre intervenire sul processo. I due problemi possono coesistere: un nuovo corso non risolve da solo una responsabilità rimasta senza assegnazione. Come gestire molte segnalazioni senza scoraggiare gli utenti? Conviene distinguere la facilità di segnalare dalla priorità con cui il team valuta ogni caso. Le informazioni sulle azioni già compiute aiutano a individuare le richieste più urgenti, mentre un riscontro chiarisce agli altri utenti come comportarsi nell’attesa. Se più segnalazioni riguardano lo stesso passaggio, è utile verificare se la procedura sia ambigua. Ridurre le segnalazioni chiedendo ai dipendenti di accertare prima l’attacco rischia invece di ritardare informazioni importanti. Come documentare una deroga senza renderla una scorciatoia? La deroga dovrebbe permettere di ricostruire quale operazione è stata autorizzata, per quale motivo, da chi e con quali verifiche. È utile precisare anche se l’autorizzazione riguarda soltanto quel caso, evitando che venga interpretata come un permesso generale a saltare il controllo. Se la stessa eccezione ricorre spesso, conviene riesaminare la procedura e capire perché il percorso ordinario non risponde alle esigenze operative. Chi decide se l’IT non rileva anomalie ma il dubbio rimane? L’assenza di anomalie tecniche non dimostra, da sola, che la richiesta sia autorizzata. Un messaggio può provenire da un account legittimo e riguardare comunque un pagamento non approvato o dati che il destinatario non ha diritto di ricevere. La decisione deve quindi coinvolgere il responsabile del processo o del dato, che verifica il contesto aziendale. La ripresa dell’operazione deve seguire le autorizzazioni previste, senza equiparare il parere tecnico a un’approvazione commerciale. Cosa chiarire con il partner prima di avviare un programma di security awarenaess? Occorre distinguere la gestione del programma formativo dal supporto sulla piattaforma e dalla gestione degli incidenti reali. Prima dell’avvio, è utile concordare dove arrivano le segnalazioni, chi le valuta, chi aggiorna il dipendente e quali decisioni restano all’azienda. Se intervengono più servizi o fornitori, va chiarito il passaggio fra loro: delegare campagne e formazione non definisce automaticamente chi può bloccare un account o autorizzare la ripresa di un’operazione.   Condividilo su: [![Share on facebook](https://blog.quanture.com/hubfs/socials/facebook-social.svg)](http://www.facebook.com/share.php?u=https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Dfacebook) [![Share on twitter](https://blog.quanture.com/hubfs/socials/twitter-social.svg)](https://twitter.com/intent/tweet?original_referer=https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&url=https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&source=tweetbutton&text=) [![Share on linkedin](https://blog.quanture.com/hubfs/socials/linkedin-social.svg)](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Dlinkedin) [![Share on email](https://blog.quanture.com/hubfs/socials/email-social.svg)](mailto:?subject=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Demail%20&body=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fcybersecurity-awareness%3Futm_medium%3Dsocial%26utm_source%3Demail) Topic: [Cyber Security](https://blog.quanture.com/tag/cyber-security) ## Post Correlati [Security awareness: trasformare le persone nella prima linea di difesa](https://blog.quanture.com/cybersecurity-awareness) 21 ottobre 2026 [Passwordless authentication: benefici, prerequisiti e rischi da valutare prima dell’adozione](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi) 19 ottobre 2026 [Direttiva NIS2: obblighi, scadenze e come adeguare la tua azienda](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede) 14 ottobre 2026 ## Iscriviti alla Newsletter ## Post più letti ##### [Crisi della RAM: perché i prezzi stanno esplodendo](https://blog.quanture.com/crisi-della-ram) [News](https://blog.quanture.com/tag/news) - 17/02/2026 ##### [Copilot use case: 7 esempi per aumentare la produttività aziendale](https://blog.quanture.com/copilot-use-case-per-aumentare-la-produttivit%C3%A0) [Microsoft,](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale,](https://blog.quanture.com/tag/intelligenza-artificiale) [Quanture.AI](https://blog.quanture.com/tag/quanture-ai) - 09/09/2026 ##### [Patch Management, da anello debole a leva per sicurezza e compliance](https://blog.quanture.com/patch-management-da-anello-debole-a-leva-per-sicurezza-e-compliance) [Cyber Security,](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) - 05/11/2025 ## TOPIC [Cyber Security (65)](https://blog.quanture.com/tag/cyber-security) [Quanture (43)](https://blog.quanture.com/tag/quanture) [Servizi Informatici (36)](https://blog.quanture.com/tag/servizi-informatici) [Cloud (33)](https://blog.quanture.com/tag/cloud) [Microsoft (31)](https://blog.quanture.com/tag/microsoft) [HPE (30)](https://blog.quanture.com/tag/hpe) [Data Storage (29)](https://blog.quanture.com/tag/data-storage) [Business Continuity (28)](https://blog.quanture.com/tag/business-continuity) [Collaboration (24)](https://blog.quanture.com/tag/collaboration) [Microsoft365 (23)](https://blog.quanture.com/tag/microsoft365) [Disaster Recovery (20)](https://blog.quanture.com/tag/disaster-recovery) [Imagine a NEW PLAN (20)](https://blog.quanture.com/tag/imagine-a-new-plan) [Intelligenza Artificiale (17)](https://blog.quanture.com/tag/intelligenza-artificiale) [Virtualizzazione (17)](https://blog.quanture.com/tag/virtualizzazione) [Sustainability (14)](https://blog.quanture.com/tag/sustainability) [Consulting Service (12)](https://blog.quanture.com/tag/consulting-service) [Iperconvergenza (12)](https://blog.quanture.com/tag/iperconvergenza) [Managed Service (10)](https://blog.quanture.com/tag/managed-service) [Compliance (9)](https://blog.quanture.com/tag/compliance) [Quanture.AI (9)](https://blog.quanture.com/tag/quanture-ai) [Ransomware (9)](https://blog.quanture.com/tag/ransomware) [Smart Working aziendale (9)](https://blog.quanture.com/tag/smart-working-aziendale) [Backup aziendale (8)](https://blog.quanture.com/tag/backup-aziendale) [Data Governance (8)](https://blog.quanture.com/tag/data-governance) [Citrix (7)](https://blog.quanture.com/tag/citrix) [Communication (5)](https://blog.quanture.com/tag/communication) [Ethical hacking (5)](https://blog.quanture.com/tag/ethical-hacking) [GDPR (4)](https://blog.quanture.com/tag/gdpr) [HP (4)](https://blog.quanture.com/tag/hp) [Azure Virtual Desktop (3)](https://blog.quanture.com/tag/azure-virtual-desktop) [News (3)](https://blog.quanture.com/tag/news) [Windows 365 (3)](https://blog.quanture.com/tag/windows-365) [Digital Identity (2)](https://blog.quanture.com/tag/digital-identity) [Windows Virtual Desktop (2)](https://blog.quanture.com/tag/windows-virtual-desktop) [CSP (1)](https://blog.quanture.com/tag/csp) [Infrastruttura IT (1)](https://blog.quanture.com/tag/infrastruttura-it) [OpenLicense (1)](https://blog.quanture.com/tag/openlicense) [RPO (1)](https://blog.quanture.com/tag/rpo) [VMware (1)](https://blog.quanture.com/tag/vmware) [Windows11 (1)](https://blog.quanture.com/tag/windows11) ![quanture-pictogram](https://blog.quanture.com/hs-fs/hubfs/quanture-pictogram.png?width=50&height=50&name=quanture-pictogram.png) **QUANTURE HQ**   Via delle Radici, 309-315 41043 Formigine (Modena) Ph. +39 059 557530 **[info@quanture.com](mailto:info@quanture.com)** Contacts Newsletter / AREAS [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) [Smart Productivity](https://www.quanture.com/smart-productivity/) [Cyber security](https://www.quanture.com/cyber-security/) [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) [Dev & Apps](https://www.quanture.com/development/) / ABOUT [We are](https://www.quanture.com/we-are/) [We care](https://www.quanture.com/we-care/) [Join us](https://www.quanture.com/join-us/) [Success stories](https://www.quanture.com/case-studies/) [DOT](https://blog.quanture.com/) [My.Quanture](https://www.quanture.com/myquanture/) / TOPIC ![dot-footer](https://blog.quanture.com/hs-fs/hubfs/dot-footer.png?width=56&height=18&name=dot-footer.png) [Cyber security](https://blog.quanture.com/tag/cyber-security), [Microsoft](https://blog.quanture.com/tag/microsoft), [Cloud](https://blog.quanture.com/tag/cloud), [Data Storage](https://blog.quanture.com/tag/data-storage), [Business Continuity](https://blog.quanture.com/tag/business-continuity), [HPE](https://blog.quanture.com/tag/hpe), [Servizi Informatici](https://blog.quanture.com/tag/servizi-informatici), [Collaboration](https://blog.quanture.com/tag/collaboration), [Disaster Recovery](https://blog.quanture.com/tag/disaster-recovery), [Virtualizzazione](https://blog.quanture.com/tag/virtualizzazione), [Quanture](https://blog.quanture.com/tag/quanture), [Iperconvergenza](https://blog.quanture.com/tag/iperconvergenza), [Ransomware](https://blog.quanture.com/tag/ransomware), [Smart Working aziendale](https://blog.quanture.com/tag/smart-working-aziendale), [Citrix](https://blog.quanture.com/tag/citrix), [Backup aziendale](https://blog.quanture.com/tag/backup-aziendale), [Ethical hacking](https://blog.quanture.com/tag/ethical-hacking), [HP](https://blog.quanture.com/tag/hp), [GDPR](https://blog.quanture.com/tag/gdpr), [Microsoft365](https://blog.quanture.com/tag/microsoft365), [Windows 365](https://blog.quanture.com/tag/windows-365), [Azure Virtual Desktop,](https://blog.quanture.com/tag/azure-virtual-desktop) [Sustainability](https://blog.quanture.com/tag/sustainability), [Windows Virtual Desktop](https://blog.quanture.com/tag/windows-virtual-desktop), [CSP](https://blog.quanture.com/tag/csp), [OpenLicense](https://blog.quanture.com/tag/openlicense), [VMware](https://blog.quanture.com/tag/vmware), [Windows11](https://blog.quanture.com/tag/windows11) ![TUV](https://blog.quanture.com/hs-fs/hubfs/TUV.png?width=32&height=32&name=TUV.png) Quanture è azienda certificata UNI EN ISO 9001:2015 n° 50 100 13264 Rev.005 © QUANTURE P. IVA 03317290363 | [PRIVACY POLICY](https://quanture.com/privacy-policy-quanture/) – [COOKIE POLICY](https://www.iubenda.com/privacy-policy/84662247/cookie-policy) - [WHISTLEBLOWING](https://quanture.com/whistleblowing-quanture/) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "quanture_social", "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "2026-10-21T07:56:24.811Z", "datePublished" : "2026-10-21T07:03:01.000Z", "headline" : "Cybersecurity awareness: persone, processi e difesa aziendale", "image" : [ "https://blog.quanture.com/hubfs/Security%20awareness/cybersecurity%20awareness_Header%20Blog.jpg" ], "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/cybersecurity-awareness", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Quanture S.p.A." } } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "about" : { "@type" : "Thing", "name" : "Cyber Security" }, "articleBody" : "Key Takeaways La cybersecurity awareness riduce il rischio quando le persone possono applicare ciò che hanno imparato: servono procedure accessibili, referenti raggiungibili e la possibilità di sospendere un’operazione dubbia. Identità e autorizzazione richiedono verifiche distinte: sapere chi invia una richiesta non dimostra che possa ottenere un accesso, ricevere un documento o modificare dati di pagamento. Le responsabilità devono essere definite prima dell’urgenza, distinguendo chi può fermare l’operazione, chi svolge i controlli e chi ne autorizza la ripresa, anche quando il referente è assente. Una cultura non punitiva della segnalazione favorisce l’allarme tempestivo; il team IT o di sicurezza deve poi fornire un riscontro che chiarisca come comportarsi. Formazione, procedure e controlli tecnici devono sostenersi a vicenda: la preparazione delle persone non compensa privilegi eccessivi o verifiche deboli, né sostituisce la risposta agli incidenti. La richiesta di modificare l’IBAN di un fornitore arriva poco prima della scadenza di un pagamento. Il messaggio riprende una conversazione già avviata, contiene riferimenti corretti e sembra provenire dall’interlocutore abituale. Chi lo riceve nota qualcosa di insolito, ma il responsabile amministrativo è in riunione e il pagamento deve partire entro la giornata. In una situazione del genere, la preparazione del dipendente è essenziale, ma la sua capacità di reagire dipende anche dalle condizioni in cui deve decidere. Per verificare la richiesta senza esporsi al rischio di autorizzare un pagamento fraudolento, deve sapere se può sospendere l’operazione, a chi rivolgersi quando il referente abituale non è disponibile e come gestire l’eventuale ritardo rispetto alla scadenza. Un programma di cybersecurity awareness deve creare queste condizioni, affinché chi riconosce un’anomalia possa verificarla e ricevere supporto per prendere la decisione corretta. La consapevolezza contribuisce così alla protezione dell’azienda, perché il dipendente dispone di un sostegno concreto e non deve scegliere da solo tra la sicurezza dell’operazione e la necessità di portare avanti il lavoro. Cybersecurity awareness: dalla consapevolezza alla capacità di agire La cybersecurity awareness riguarda la comprensione dei rischi informatici e dei comportamenti che aiutano a contenerli. Nel lavoro quotidiano, questa consapevolezza dovrebbe orientare decisioni che hanno conseguenze su denaro, informazioni e accessi ai sistemi. La formazione aiuta le persone a riconoscere una richiesta anomala, mentre le procedure aziendali devono chiarire come gestirla una volta emerso il dubbio. I due aspetti devono essere coerenti: anche un dipendente preparato può trovarsi in difficoltà se gli viene chiesto di controllare un’operazione senza fornirgli contatti affidabili o il tempo necessario per effettuare la verifica. Per sostenere questo comportamento, le regole di sicurezza devono essere accessibili e facili da applicare nelle attività quotidiane. Procedure eccessivamente rigide rischiano di rallentare il lavoro e favorire scorciatoie, mentre disposizioni vaghe lasciano alla persona decisioni per le quali potrebbe non avere informazioni sufficienti. È quindi importante definire controlli proporzionati al rischio e rendere disponibile un supporto quando la situazione non rientra nei casi previsti. Per l’azienda, rendere operativa la security awareness significa tradurre un principio generale, come “verificare le richieste sospette”, in procedure chiare, che specifichino quando è necessario un controllo aggiuntivo, a chi rivolgersi e se l’operazione debba restare sospesa nell’attesa. Queste informazioni devono essere disponibili nel momento in cui servono: una policy conservata in un repository poco conosciuto difficilmente aiuta chi deve valutare una richiesta durante una telefonata o a pochi minuti da una scadenza. Il security awareness training prepara le persone ad affrontare queste situazioni attraverso corsi, simulazioni e percorsi continuativi. Perché l’apprendimento si traduca in comportamenti sicuri, però, l’azienda deve rendere le verifiche compatibili con il lavoro quotidiano, soprattutto quando urgenze e pressioni operative spingono ad agire rapidamente. Quali richieste devono attivare una verifica indipendente Un messaggio fraudolento può essere scritto correttamente e contenere riferimenti autentici, tanto da sembrare parte di uno scambio abituale. Per valutarlo, quindi, occorre considerare anche l’azione richiesta e le conseguenze che avrebbe la sua esecuzione: una comunicazione credibile può chiedere di trasferire denaro, concedere un accesso o condividere informazioni senza le autorizzazioni necessarie. Un programma di cybersecurity awareness dovrebbe aiutare le persone a riconoscere i passaggi che richiedono un controllo aggiuntivo, individuati in anticipo dall’azienda, così da non affidare la verifica soltanto al sospetto del singolo. Nei pagamenti, nel recupero degli account e nella condivisione dei documenti, il controllo deve riguardare aspetti diversi: gli esempi che seguono mostrano come collegarlo all’operazione da eseguire e alle responsabilità di chi la autorizza. Pagamenti e modifiche alle coordinate bancarie Nel caso del cambio IBAN, chiedere conferma rispondendo alla stessa e-mail non offre una verifica indipendente: se l’account del fornitore è stato compromesso, anche la risposta rassicurante potrebbe provenire da chi sta tentando la frode. Occorre quindi confermare la richiesta attraverso un contatto affidabile già disponibile in azienda. Una buona pratica consiste nel contattare telefonicamente il fornitore usando il numero già presente nei propri archivi, senza affidarsi ai recapiti contenuti nel messaggio. La conferma deve poi essere accompagnata dalle autorizzazioni interne previste per modificare le coordinate bancarie ed eseguire il pagamento, mantenendo separati i controlli sui due passaggi. Per applicare questa verifica, il contatto affidabile deve essere aggiornato e accessibile, e la procedura deve indicare chi conferma la richiesta con il fornitore e chi approva la variazione nell’anagrafica. La conferma dell’interlocutore e l’autorizzazione interna hanno infatti funzioni diverse: accertare che il fornitore abbia realmente chiesto la modifica non attribuisce a chi ha ricevuto il messaggio il potere di aggiornare i dati di pagamento. Conservare una traccia della verifica e dell’approvazione permette di ricostruire come è stata presa la decisione e su quali elementi si è basata. Chi interviene nelle fasi successive può così controllare che la modifica sia stata autorizzata, anziché considerarla attendibile soltanto perché è già presente nel sistema. Reset delle credenziali, accessi e condivisione dei dati Anche il service desk deve conciliare la rapidità dell’assistenza con le verifiche necessarie a proteggere gli accessi. Chi telefona dichiarando di non riuscire a entrare in un’applicazione può sfruttare la disponibilità dell’operatore, richiamando una scadenza urgente e fornendo informazioni sull’organizzazione per rendere credibile la richiesta. In questi casi, la pressione a ripristinare il servizio può indurre a saltare i controlli sull’identità del richiedente. Il CrowdStrike Global Threat Report 2026 descrive attacchi nei quali gli operatori dell’help desk vengono persuasi a eseguire reset delle password attraverso tecniche di social engineering. La protezione dipende quindi anche dalle verifiche previste prima di consentire il recupero dell’account, perché un operatore disponibile e preparato ha comunque bisogno di regole che lo aiutino a distinguere una richiesta legittima da un tentativo di impersonificazione. Prima di eseguire il reset, l’operatore deve accertare che la persona sia chi dichiara di essere e verificare che l’azione richiesta sia consentita dalla procedura. Il nome di un collega o il riferimento a un progetto non sono prove sufficienti dell’identità, perché queste informazioni potrebbero essere note anche all’attaccante. Le modalità di recupero devono quindi essere definite con il team che gestisce le identità e prevedere una procedura alternativa approvata quando l’utente non può utilizzare il metodo ordinario, evitando che l’urgenza porti a improvvisare una deroga. La distinzione tra identità e autorizzazione vale anche per la condivisione dei dati: accertare chi sia l’interlocutore non dimostra che abbia il diritto di ricevere un determinato documento. Se questo diritto non è chiaro, il dipendente deve poter chiedere conferma al responsabile del dato prima dell’invio. Una volta autorizzata la condivisione, occorre utilizzare il canale aziendale previsto e impostare permessi coerenti con l’accesso consentito. Operazioni sensibili: verifiche e responsabilità Operazione sensibile Verifica da predisporre Responsabilità da chiarire Modifica dell’IBAN di un fornitore Conferma attraverso un contatto già noto e approvazione della variazione Chi verifica la richiesta e chi autorizza l’aggiornamento Recupero di un account o reset delle credenziali Verifica dell’identità secondo il percorso aziendale approvato Chi può eseguire il recupero e gestire le eccezioni Condivisione di documenti riservati Conferma del destinatario, della sua autorizzazione e del canale utilizzabile Chi approva l’accesso ai dati Assistenza remota non prevista Conferma attraverso i riferimenti IT ufficiali Chi autorizza l’intervento e il relativo accesso Chi può fermare un’operazione e chi autorizza la ripresa Una procedura di verifica deve chiarire anche che cosa accade mentre il controllo è in corso, stabilendo quando il dipendente può sospendere l’operazione e chi può autorizzarne la ripresa. Senza queste regole, chi riceve una richiesta dubbia rischia di dover decidere da solo se continuare a eseguirla per rispettare la scadenza oppure fermarla senza sapere quando arriverà una risposta. Queste responsabilità devono essere assegnate e comunicate prima che emerga il problema, affinché ogni persona conosca i limiti della propria decisione. Il NIST Cybersecurity Framework 2.0 include proprio la definizione di ruoli, responsabilità e autorità fra gli obiettivi di governance del rischio cyber. La facoltà di sospendere una richiesta dubbia va distinta dal potere di approvarla. La procedura può autorizzare chi la riceve a interromperne temporaneamente l’esecuzione quando emergono determinate anomalie, riservando la decisione di proseguire alla figura competente. In questo modo, la persona può attivare il controllo senza assumersi anche la responsabilità di stabilire se l’operazione sia legittima. Il coinvolgimento dell’IT deve seguire la stessa distinzione fra competenze tecniche e responsabilità aziendali. Il team può analizzare il messaggio e verificare se un account è compromesso o un accesso presenta anomalie, ma potrebbe non disporre delle informazioni necessarie per valutare la coerenza di un pagamento con un contratto o l’autorizzazione a trasmettere un documento. Per decidere come proseguire, occorre quindi affiancare alla verifica tecnica il parere del responsabile del processo o del dato. La procedura deve prevedere anche l’assenza del referente, indicando un sostituto con l’autorità necessaria oppure le condizioni in cui l’operazione deve restare sospesa. Affidarsi soltanto alla disponibilità informale dei colleghi rende difficile garantire la verifica durante ferie, cambi di ruolo o attività fuori dall’orario abituale, perché il dipendente potrebbe non sapere a chi chiedere una decisione valida. Urgenze e richieste del management Rispettare una regola di sicurezza può comportare un ritardo con conseguenze sul lavoro: rinviare un pagamento può creare difficoltà con un fornitore, così come attendere la verifica di un accesso può rallentare un progetto. Se l’organizzazione valuta il risultato soltanto in termini di rapidità, le persone possono sentirsi spinte ad aggirare il controllo per non essere considerate responsabili del ritardo. La direzione deve perciò sostenere le verifiche previste dalle procedure anche quando incidono sui tempi operativi, mostrando con il proprio comportamento che la sicurezza è parte del lavoro. Se un responsabile chiede abitualmente di saltare un’approvazione o rimprovera chi sospende una richiesta dubbia, indebolisce la regola che l’azienda chiede agli altri di rispettare. La coerenza del management è quindi necessaria per rendere credibile il comportamento atteso. Anche una richiesta apparentemente proveniente da un dirigente deve essere sottoposta alle verifiche previste per quell’operazione. L’urgenza può essere gestita attraverso un’approvazione più rapida, definita in anticipo, che mantenga i controlli sull’identità del richiedente e sulla sua autorizzazione: la posizione gerarchica non può sostituire questi accertamenti. Per evitare che la sicurezza rallenti inutilmente le attività, i controlli devono essere proporzionati alle conseguenze dell’operazione. L’azienda dovrebbe individuare i casi che richiedono una verifica aggiuntiva e stabilire come autorizzare e documentare le eccezioni, così da gestire le esigenze operative senza ricorrere a scorciatoie informali. rischio umano e governance Il rischio umano è una responsabilità di governance Nella Survey CISO 2025 dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, che ha coinvolto 145 grandi organizzazioni italiane, la gestione del fattore umano rappresenta una criticità prioritaria per il 96% dei responsabili della cybersecurity. Il dato richiama quindi un problema organizzativo: preparare le persone e creare le condizioni perché possano agire correttamente. Questa responsabilità trova un riferimento anche nel D.lgs. 138/2024, che recepisce la Direttiva NIS2 in Italia. Per i soggetti essenziali e importanti, l’articolo 23 attribuisce agli organi di amministrazione e direttivi l’approvazione delle modalità di attuazione delle misure di gestione del rischio e la supervisione degli obblighi previsti. Richiede inoltre la formazione dei vertici e la promozione di un’offerta formativa periodica per i dipendenti. L’articolo 24 colloca la formazione all’interno di un insieme di misure tecniche, operative e organizzative che comprende anche gestione degli incidenti, controllo degli accessi e valutazione dell’efficacia delle protezioni. Un programma di security awareness contribuisce a questo sistema, ma da solo non esaurisce gli obblighi di sicurezza: deve essere accompagnato da procedure, responsabilità e controlli coerenti con i rischi dell’organizzazione. Come trasformare una segnalazione in una risposta operativa Chi chiede aiuto non deve aver già accertato l’esistenza di un attacco: una richiesta insolita o un dubbio su un’azione appena compiuta sono ragioni sufficienti per contattare il team competente. Chiedere al dipendente di classificare correttamente l’evento prima di segnalarlo può ritardare la comunicazione e trasferirgli una valutazione che spetta alla sicurezza. Per favorire la segnalazione, il contatto con il team IT o di sicurezza deve essere semplice e accompagnato da un riscontro, anche quando il sospetto si rivela infondato. È altrettanto importante che la persona possa riferire un errore senza temere reazioni ingiuste: se pensa di essere giudicata per aver cliccato o fornito informazioni, potrebbe tacere proprio i dettagli che consentirebbero di intervenire tempestivamente. Segnalare senza paura: la sicurezza psicologica Segnalare senza paura: la sicurezza psicologica La sicurezza psicologica è la condizione in cui le persone si sentono libere di esprimere un dubbio, chiedere aiuto o ammettere un errore senza temere umiliazioni o reazioni ingiuste. Nella cybersecurity, favorisce una cultura non punitiva della segnalazione: chi ha cliccato su un link sospetto o condiviso informazioni deve poterlo riferire subito, sapendo che la priorità sarà contenere il rischio e capire che cosa è successo. Questo approccio mantiene le responsabilità individuali, ma evita che la paura delle conseguenze ritardi l’allarme. L’analisi dell’errore serve così anche a migliorare procedure e protezioni, riducendo la possibilità che si ripeta. Nel primo contatto, il dipendente deve poter descrivere la richiesta ricevuta e ciò che ha già fatto, perché l’inserimento di credenziali o l’esecuzione di un pagamento possono cambiare la priorità della valutazione. Il team competente può raccogliere in seguito le informazioni necessarie agli approfondimenti, senza imporre all’utente un modulo tecnico complesso prima di prendere in carico il problema. La presa in carico deve chiarire al dipendente come comportarsi mentre la segnalazione viene valutata. Una conferma automatica dimostra che la richiesta è stata registrata, ma non indica se l’operazione debba rimanere sospesa; occorre quindi prevedere un riscontro che comunichi le istruzioni iniziali e, dopo le verifiche, la decisione su come proseguire. Nel caso di un pagamento, la risposta richiede il coordinamento fra sicurezza e amministrazione: mentre il team tecnico analizza la comunicazione, il responsabile amministrativo verifica il contesto e le autorizzazioni della transazione. L’esito di queste valutazioni deve essere comunicato attraverso indicazioni coerenti, affinché il dipendente non riceva istruzioni contrastanti e debba decidere da solo quale seguire. Il supporto deve restare raggiungibile anche quando il canale ordinario non è disponibile. Se il dubbio riguarda l’account aziendale, per esempio, il dipendente potrebbe non poter accedere al portale che lo utilizza per autenticarsi; un contatto alternativo, conosciuto e aggiornato, gli permette di chiedere aiuto senza dipendere dall’account potenzialmente compromesso. Se interviene un partner esterno, il coordinamento deve prevedere chi riceve la segnalazione, chi ne segue la gestione e chi aggiorna il dipendente. Il passaggio fra service desk, sicurezza e partner può richiedere competenze diverse, ma deve lasciare all’utente un riferimento chiaro, evitando che venga rinviato da un interlocutore all’altro senza ottenere una decisione. Quali protezioni devono funzionare anche quando una persona sbaglia La conoscenza del lavoro quotidiano permette alle persone di riconoscere anomalie che i sistemi potrebbero non rilevare, come una richiesta incompatibile con un accordo o priva delle approvazioni abituali. Questo contributo è prezioso, ma rimane soggetto a errori: la protezione deve continuare a funzionare anche quando una richiesta fraudolenta appare plausibile e viene eseguita. L’architettura di sicurezza deve quindi limitare le conseguenze delle azioni rischiose che sfuggono alla verifica. Il NIST CSF 2.0 affianca alla formazione controlli su identità, autenticazione, dati e piattaforme, richiamando per le autorizzazioni i principi del minimo privilegio e della separazione dei compiti. Nel processo dei pagamenti, separare la modifica dell’anagrafica dall’approvazione della transazione può impedire che una sola decisione errata sia sufficiente a completare la frode. Nella gestione degli accessi, limitare i privilegi alle attività effettivamente necessarie riduce invece le risorse che un attaccante potrebbe raggiungere dopo aver compromesso un’identità. La protezione della posta riduce l’esposizione ai messaggi malevoli e l’autenticazione resistente al phishing, dove adottabile, ostacola specifiche forme di sottrazione e riutilizzo delle credenziali. Queste misure non verificano però la legittimità commerciale di una richiesta: un utente correttamente autenticato può comunque eseguire un pagamento fraudolento se vengono aggirate le approvazioni previste. Per questo, la distribuzione dei controlli va valutata in relazione a ciascuna operazione. Le persone verificano il contesto e assumono le decisioni che richiedono competenza aziendale, mentre i sistemi applicano le restrizioni tecniche sugli accessi e sulle azioni consentite. Affidare ai dipendenti il compito di compensare permessi eccessivi o procedure di recupero deboli lascerebbe irrisolte le fragilità dell’architettura. Come valutare l’efficacia della cybersecurity awareness Per valutare la preparazione aziendale, è utile esaminare come viene gestita un’operazione concreta, dalla ricezione della richiesta fino alla sua autorizzazione ed esecuzione, coinvolgendo le persone responsabili dei diversi passaggi. Nel caso del cambio IBAN, il confronto deve chiarire come si coordinano chi riceve il messaggio, chi aggiorna l’anagrafica, chi approva il pagamento e chi svolge le verifiche tecniche. La verifica dovrebbe considerare anche che cosa accade quando il referente è assente, la scadenza è ravvicinata o l’account non è disponibile. Queste condizioni permettono di capire se la procedura resta applicabile e dove, invece, il dipendente deve improvvisare una soluzione o affidarsi alla conoscenza personale di un collega. Una verifica iniziale può concentrarsi su cinque domande: 1 Le operazioni sensibili sono definite? È chiaro quando una variazione richiede una conferma aggiuntiva? 2 La verifica è realmente indipendente? I contatti affidabili sono disponibili senza usare quelli forniti nella richiesta? 3 Le autorità sono assegnate? Si sa chi può sospendere, chi autorizza la ripresa e chi sostituisce il referente assente? 4 Il supporto è raggiungibile? Esiste un percorso alternativo se account o dispositivo non sono utilizzabili? 5 Le regole valgono anche sotto pressione? Urgenze ed eccezioni hanno un percorso approvato, applicabile anche al management? Le risposte aiutano a distinguere le carenze formative dai problemi del processo. Se manca un contatto affidabile, occorre rendere disponibili riferimenti verificati; se il responsabile non ha un sostituto, va assegnata una delega adeguata. La formazione può aiutare a riconoscere queste criticità, ma la possibilità di gestirle dipende da scelte organizzative. Integrare Q+|Aware con procedure e protezioni aziendali Q+|Aware di Quanture supporta la preparazione delle persone attraverso un programma gestito di security awareness, che integra formazione contestuale negli strumenti di collaborazione e analisi dei risultati. L’apprendimento nel contesto di lavoro e il confronto periodico con l’azienda aiutano a individuare i comportamenti da rafforzare e a orientare gli interventi formativi. Per valorizzare questa preparazione, l’azienda deve collegarla alle proprie procedure di verifica e autorizzazione, chiarendo anche come le segnalazioni raggiungono chi può intervenire. La gestione del programma di awareness, il supporto sulla piattaforma e la risposta a un incidente reale hanno infatti perimetri diversi, che devono essere raccordati ai referenti interni e ai servizi di protezione attivi. Nel caso del cambio IBAN, l’efficacia di questa integrazione si vede quando il dipendente riconosce l’anomalia, può sospendere l’operazione secondo la procedura e trova un referente autorizzato a decidere. La verifica permette di bloccare la richiesta fraudolenta oppure di proseguire con un pagamento legittimo, conservando traccia dell’approvazione. La cybersecurity awareness rende così le persone una prima linea di difesa, sostenuta da responsabilità aziendali chiare e controlli IT coerenti. Come distinguere un problema formativo da uno organizzativo? È utile osservare dove si interrompe la gestione di una richiesta dubbia. Se la persona non riconosce il rischio o non conosce la verifica prevista, può servire un intervento formativo. Se riconosce l’anomalia ma non trova un referente, non dispone di contatti affidabili o non può sospendere l’operazione, occorre intervenire sul processo. I due problemi possono coesistere: un nuovo corso non risolve da solo una responsabilità rimasta senza assegnazione. Come gestire molte segnalazioni senza scoraggiare gli utenti? Conviene distinguere la facilità di segnalare dalla priorità con cui il team valuta ogni caso. Le informazioni sulle azioni già compiute aiutano a individuare le richieste più urgenti, mentre un riscontro chiarisce agli altri utenti come comportarsi nell’attesa. Se più segnalazioni riguardano lo stesso passaggio, è utile verificare se la procedura sia ambigua. Ridurre le segnalazioni chiedendo ai dipendenti di accertare prima l’attacco rischia invece di ritardare informazioni importanti. Come documentare una deroga senza renderla una scorciatoia? La deroga dovrebbe permettere di ricostruire quale operazione è stata autorizzata, per quale motivo, da chi e con quali verifiche. È utile precisare anche se l’autorizzazione riguarda soltanto quel caso, evitando che venga interpretata come un permesso generale a saltare il controllo. Se la stessa eccezione ricorre spesso, conviene riesaminare la procedura e capire perché il percorso ordinario non risponde alle esigenze operative. Chi decide se l’IT non rileva anomalie ma il dubbio rimane? L’assenza di anomalie tecniche non dimostra, da sola, che la richiesta sia autorizzata. Un messaggio può provenire da un account legittimo e riguardare comunque un pagamento non approvato o dati che il destinatario non ha diritto di ricevere. La decisione deve quindi coinvolgere il responsabile del processo o del dato, che verifica il contesto aziendale. La ripresa dell’operazione deve seguire le autorizzazioni previste, senza equiparare il parere tecnico a un’approvazione commerciale. Cosa chiarire con il partner prima di avviare un programma di security awarenaess? Occorre distinguere la gestione del programma formativo dal supporto sulla piattaforma e dalla gestione degli incidenti reali. Prima dell’avvio, è utile concordare dove arrivano le segnalazioni, chi le valuta, chi aggiorna il dipendente e quali decisioni restano all’azienda. Se intervengono più servizi o fornitori, va chiarito il passaggio fra loro: delegare campagne e formazione non definisce automaticamente chi può bloccare un account o autorizzare la ripresa di un’operazione.", "author" : { "@type" : "Person", "name" : "quanture_social", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ], "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "1792569384820", "datePublished" : "2026-10-21 07:03:01", "description" : "Cybersecurity awareness: preparare i dipendenti a riconoscere le minacce e agire correttamente, con procedure chiare e supporto aziendale", "editor" : { "@type" : "Person", "name" : "quanture_social" }, "headline" : "Cybersecurity awareness: persone, processi e difesa aziendale", "image" : { "@type" : "ImageObject", "height" : 675, "url" : "https://6986587.fs1.hubspotusercontent-eu1.net/hubfs/6986587/Security%20awareness/cybersecurity%20awareness_Header%20Blog.jpg", "width" : 1200 }, "inLanguage" : "it-IT", "isAccessibleForFree" : true, "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/cybersecurity-awareness", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://content.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Il Blog", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ] }, "url" : "https://blog.quanture.com/cybersecurity-awareness", "wordCount" : 3741 } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "inLanguage" : "it", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "È utile osservare dove si interrompe la gestione di una richiesta dubbia. Se la persona non riconosce il rischio o non conosce la verifica prevista, può servire un intervento formativo. Se riconosce l’anomalia ma non trova un referente, non dispone di contatti affidabili o non può sospendere l’operazione, occorre intervenire sul processo. I due problemi possono coesistere: un nuovo corso non risolve da solo una responsabilità rimasta senza assegnazione." }, "name" : "Come distinguere un problema formativo da uno organizzativo?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Conviene distinguere la facilità di segnalare dalla priorità con cui il team valuta ogni caso. Le informazioni sulle azioni già compiute aiutano a individuare le richieste più urgenti, mentre un riscontro chiarisce agli altri utenti come comportarsi nell’attesa. Se più segnalazioni riguardano lo stesso passaggio, è utile verificare se la procedura sia ambigua. Ridurre le segnalazioni chiedendo ai dipendenti di accertare prima l’attacco rischia invece di ritardare informazioni importanti." }, "name" : "Come gestire molte segnalazioni senza scoraggiare gli utenti?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "La deroga dovrebbe permettere di ricostruire quale operazione è stata autorizzata, per quale motivo, da chi e con quali verifiche. È utile precisare anche se l’autorizzazione riguarda soltanto quel caso, evitando che venga interpretata come un permesso generale a saltare il controllo. Se la stessa eccezione ricorre spesso, conviene riesaminare la procedura e capire perché il percorso ordinario non risponde alle esigenze operative." }, "name" : "Come documentare una deroga senza renderla una scorciatoia?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "L’assenza di anomalie tecniche non dimostra, da sola, che la richiesta sia autorizzata. Un messaggio può provenire da un account legittimo e riguardare comunque un pagamento non approvato o dati che il destinatario non ha diritto di ricevere. La decisione deve quindi coinvolgere il responsabile del processo o del dato, che verifica il contesto aziendale. La ripresa dell’operazione deve seguire le autorizzazioni previste, senza equiparare il parere tecnico a un’approvazione commerciale." }, "name" : "Chi decide se l’IT non rileva anomalie ma il dubbio rimane?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Occorre distinguere la gestione del programma formativo dal supporto sulla piattaforma e dalla gestione degli incidenti reali. Prima dell’avvio, è utile concordare dove arrivano le segnalazioni, chi le valuta, chi aggiorna il dipendente e quali decisioni restano all’azienda. Se intervengono più servizi o fornitori, va chiarito il passaggio fra loro: delegare campagne e formazione non definisce automaticamente chi può bloccare un account o autorizzare la ripresa di un’operazione." }, "name" : "Cosa chiarire con il partner prima di avviare un programma di security awarenaess?" } ], "speakable" : { "@type" : "SpeakableSpecification", "cssSelector" : [ ".faq__question-text", ".faq__answer-inner" ] } } ```