Puoi conoscere a memoria il manuale della bicicletta e cadere alla prima curva: “sapere” non è “saper fare”.

In media, un dipendente su tre clicca su un link di phishing simulato la prima volta che viene testato. Non è un dato sull’ignoranza informatica, ma sul modo in cui il cervello reagisce a un messaggio che promette urgenza, autorità o una perdita imminente. Il KnowBe4 2025 Phishing by Industry Benchmarking Report, diffuso il 13 maggio 2025, fissa la baseline globale del “Phish-prone Percentage” intorno al 33% (KnowBe4, 2025). È il punto di partenza da cui si misura tutto il resto.

Informare, formare, allenare

La domanda interessante non è perché quel numero sia così alto, ma piuttosto perché, dopo mesi di corsi e-learning obbligatori, resti quasi invariato.

La risposta sta nella confusione tra tre attività trattate come sinonimi, ma non lo sono: informare-formare-educare. Sono tre livelli di apprendimento con effetti completamente diversi sulla capacità effettiva di resistere a un attacco. Informare è leggere il manuale della bicicletta; formare è farsi reggere il sellino; educare è restare in equilibrio quando nessuno ti regge.

Informare significa inviare un’email, un video, un modulo di e-learning, seguito da un test a risposta multipla. Ha un pregio enorme: si può raggiungere un pubblico di centomila persone in un pomeriggio, con un costo per utente trascurabile. Ha un limite altrettanto grande: la ritenzione è bassissima, perché il cervello archivia quella nozione come un fatto astratto, non come un riflesso da attivare sotto pressione.

Chi supera il test lo dimentica proprio nel momento in cui gli sarebbe utile, cioè davanti a un’email che sembra provenire dal proprio direttore finanziario.

Un caso per capire la dinamica

Formare è un’altra cosa. Vuol dire simulare un attacco di phishing reale, osservare chi clicca e restituire un alert immediato, spesso gamificato, nel momento esatto dell’errore.

Qui il rinforzo arriva quando il cervello è già in uno stato di allerta emotiva, la stessa condizione in cui si troverebbe durante un attacco vero. Non è un caso che sia proprio questa la leva che produce risultati misurabili: lo stesso report di KnowBe4 registra, dopo dodici mesi di simulazioni ripetute, una riduzione dell’86% del tasso di errore, che porta il tasso teorico ben sotto il 5% (KnowBe4, 2025). La formazione, intesa come simulazione con feedback, funziona: il problema non è lì.

Il problema è che informare e formare, da soli, costruiscono una difesa che regge finché l’attaccante gioca secondo le regole del test.

Serve un terzo livello, quello che qui chiamiamo educare, che non produce un certificato ma una capacità: restare lucidi quando l’urgenza emotiva spinge a cliccare d’istinto invece di fermarsi per tre secondi a riflettere.

È un lavoro continuativo, non un evento annuale, e si articola in tre passaggi concreti.

• Il primo passaggio è la consapevolezza senza paura. Se un problema viene presentato come irrisolvibile, nessuno prova seriamente a risolverlo: si limita a subirlo o a ignorarlo. Comunicare il rischio informatico con toni catastrofisti produce rassegnazione, non vigilanza.
• Il secondo passaggio è l’autodifesa pratica: non consigli generici come «fai attenzione ai link sospetti», ma istruzioni verificabili, tipo «controlla il dominio del mittente prima di aprire un allegato con estensione .zip».
• Il terzo passaggio è il senso di appartenenza: finché la sicurezza resta percepita come un problema dell’IT o degli omini della sicurezza, la persona si sente osservata, non coinvolta. Quando la responsabilità diventa collettiva, la persona diventa un sensore attivo, non un bersaglio passivo.

La differenza tra i tre livelli diventa concreta in un singolo episodio. Una richiesta di cambio IBAN attribuita a un fornitore arriva a un addetto in tre versioni della stessa persona.

La versione soltanto informata ha superato il quiz sei mesi prima, ma in quel momento la nozione non riaffiora: procede.

La versione formata riconosce il pattern perché somiglia alle simulazioni ricevute via email, quindi si insospettisce; se però la richiesta arriva per telefono, un canale che le esercitazioni non avevano toccato, il riconoscimento non scatta.

La versione educata non prova a stabilire se il messaggio sia autentico: si ferma perché la richiesta tocca un pagamento, esce dal canale in cui è arrivata e richiama il fornitore su un numero già noto.

Tuttavia, consideriamo che solo la terza versione regge quando cambia il canale, ed è esattamente la variazione che un attaccante introduce per prima.

Il motivo per cui questo terzo livello non è opzionale è scritto nei numeri delle violazioni reali, non nei test di laboratorio. Il Data Breach Investigations Report 2025 di Verizon attribuisce a un fattore umano circa il 60% delle violazioni analizzate (Verizon, 2025).

Gli attaccanti non sfidano la memoria delle persone, ma la loro capacità di restare lucide sotto pressione emotiva, in un momento in cui né il modulo e-learning né le slide possono più intervenire.

Misurare il successo di un programma di awareness solo con il tasso di superamento dei quiz o con il click-through rate delle simulazioni significa fotografare la memoria, non la resistenza. È più difficile costruire indicatori che misurino la lucidità sotto pressione, ma è su quel terreno che si decide se un’organizzazione tiene o cede al primo attacco ben scritto.

Le implicazioni per il CISO

Per un CISO la distinzione fra i tre livelli si traduce in come viene diviso il budget e in cosa viene misurato.

Informare costa poco e copre tutti: è la voce che di solito assorbe la quota maggiore della spesa in awareness, perché è la più semplice da acquistare e da rendicontare. Formare costa di più e richiede continuità, ma è l’unico livello che produce già oggi un numero difendibile davanti al vertice. Educare è il livello più difficile da erogare e da misurare, ed è quello che di norma riceve meno risorse, nonostante sia il solo che agisce sul comportamento sotto pressione.

Un programma che dichiara di lavorare sui tre livelli, ma spende quasi tutto sul primo, sta di fatto misurando la memoria e chiamandola resistenza.

Il segnale da portare in sede di budget non è il tasso di superamento dei quiz, ma se per ciascun livello esiste almeno un indicatore, e se il livello che conta di più non è anche quello lasciato senza misura.

Una proposta metodologica

Per impostare concretamente questa architettura, il punto di partenza è la matrice di indicatori: uno per informare (tasso di completamento e superamento test), uno per formare (click-through rate sulle simulazioni, tempo di segnalazione dell’evento sospetto) e uno per educare (esito di test multicanale, che alternano email, telefono e messaggistica sullo stesso scenario, per verificare se il comportamento tiene quando cambia il vettore).

Senza questo terzo indicatore, il report di sicurezza continuerà a mostrare progressi sulla carta anche quando il rischio reale resta invariato.

Il Manuale CISO Security Manager (per la preparazione all’esame CISSP e la pratica quotidiana) fornisce il modello per costruire questa matrice, con la definizione di ciascun indicatore e i criteri per assegnare budget e responsabilità a ognuno dei tre livelli.

Per imparare ad andare in bici serve qualcuno che ti regga il sellino. La sicurezza funziona allo stesso modo: l’azienda deve decidere se reggerti il sellino o limitarsi a consegnarti le istruzioni.