Formazione efficace sulla sicurezza informatica

Molte aziende credono di aver assolto all'obbligo di formazione in materia di sicurezza informatica prenotando un corso di mezza giornata una volta all'anno. È la scelta più semplice da mettere a calendario, e anche la più facile da raccontare in fase di audit: una data, un'aula, un elenco di firme. Il problema è che non funziona — né per la sicurezza reale dell'organizzazione, né per la compliance NIS2. La ricerca sull'apprendimento dice da oltre un secolo qualcosa di diverso, e l'auditor, oggi, chiede tracce più solide di un foglio firme. Questo articolo raccoglie metodologia ed evidenze richieste in un unico riferimento.

Perché il corso una-tantum fallisce

Il formato dominante nelle PMI italiane è il corso annuale: 4-8 ore concentrate in una sessione unica, spesso in aula, con un attestato finale a chiusura. Funziona sulla carta dell'adempimento, ma non costruisce comportamenti.

Il motivo è strutturale, non di motivazione. Nel 1885 lo psicologo tedesco Hermann Ebbinghaus pubblicò Über das Gedächtnis, in cui documentò un fenomeno oggi ben noto: gli esseri umani dimenticano gran parte di ciò che hanno imparato entro le prime ore, a meno che le informazioni non vengano rinforzate nel tempo. La cosiddetta "curva dell'oblio" descrive un decadimento rapido: una quota significativa del contenuto è già persa entro 24 ore, e dopo una settimana, in assenza di richiami, resta una frazione minima di ciò che era stato appreso.

Tradotto in formazione di sicurezza informatica: un dipendente formato a gennaio sul riconoscimento del phishing arriva a marzo con una preparazione molto inferiore a quella post-corso, e ad ottobre — quando arriva l'email truffaldina ben confezionata — di quel corso ricorda quasi nulla.

Il falso senso di sicurezza

C'è un effetto collaterale meno discusso. Il corso una-tantum produce, nell'organizzazione, l'illusione di aver risolto il problema. La casella "formazione del personale" risulta spuntata, e questo riduce l'attenzione sulle misure complementari: simulazioni di phishing, comunicazioni interne ricorrenti, refresh sui temi caldi del momento. Il risultato è una superficie d'attacco che resta ampia per 11 mesi su 12, con la falsa percezione di essere coperti.

Spaced repetition — la ricerca sull'apprendimento

La risposta metodologica al decadimento della memoria non è nuova. La ricerca in psicologia dell'apprendimento ha consolidato negli ultimi decenni un principio che va sotto il nome di spaced repetition (ripetizione distanziata): le informazioni rivisitate a intervalli crescenti nel tempo si fissano in modo molto più stabile rispetto allo studio massivo concentrato in un'unica sessione.

Il meccanismo è documentato in contesti molto diversi: apprendimento delle lingue, formazione medica, addestramento militare, educazione scolastica. In ognuno di questi ambiti la conclusione è la stessa: a parità di ore totali investite, distribuire le sessioni dà risultati significativamente migliori del concentrarle.

Perché funziona

Ogni richiamo costringe il cervello a recuperare l'informazione dalla memoria a lungo termine. Quel recupero attivo, ripetuto a distanza, è ciò che consolida la traccia. Il fenomeno è noto in letteratura anche come testing effect: il momento di verifica (un quiz, una domanda di richiamo) è didatticamente più potente della rilettura passiva.

Applicazioni educative

Le piattaforme di apprendimento moderne — dalle lingue (Anki, Duolingo) alla formazione professionale continua — sono costruite attorno a questo principio. Il pattern è ricorrente: sessioni brevi, frequenti, con un momento di verifica attiva al termine, e con i contenuti che ritornano a distanza calibrata. Nello stesso modo si può progettare un percorso di formazione in materia di sicurezza informatica per i dipendenti di una PMI.

Micro-moduli mensili

La traduzione operativa dei due principi precedenti è un formato semplice: micro-moduli mensili.

Il formato

Ogni mese, una sessione breve — indicativamente 15-20 minuti — su un tema specifico. Non quattro ore una volta l'anno, ma dodici brevi appuntamenti distribuiti su dodici mesi. Lo sforzo totale del dipendente è comparabile, ma l'efficacia è strutturalmente diversa.

Topic ricorrenti

Una rotazione tipica copre i temi ad alta frequenza di attacco e li riprende a distanza:

Phishing e ingegneria sociale
Gestione delle password e autenticazione a più fattori
Sicurezza dei dispositivi (laptop, smartphone, supporti rimovibili)
Gestione delle informazioni e classificazione dei dati
Comportamento davanti a un incidente — chi avvisare, cosa non fare
Lavoro da remoto e reti pubbliche
Aggiornamenti, patch, software non autorizzato
Riconoscimento di tentativi di frode interna ed esterna

I temi non si esauriscono: ritornano nel ciclo successivo con angolature diverse e con esempi aggiornati alle minacce dell'anno in corso.

Quiz brevi a chiusura

Ogni modulo si chiude con un momento di verifica attiva: cinque-otto domande a risposta multipla, soglia di superamento esplicita (tipicamente 70–80%). Non è un esame, è il meccanismo che attiva il testing effect: il dipendente recupera attivamente quanto appena visto, e quel recupero è ciò che consolida la memoria. La soglia serve anche al management: chi non passa rifà il modulo, e il sistema lo sa.

Certificazione progressiva

Alla fine dell'anno, la somma dei micro-moduli completati produce una certificazione annuale. Non un attestato astratto, ma il risultato verificabile di dodici passaggi documentati. È il modello che ha più senso anche dal punto di vista dell'audit, come si vede nella sezione seguente.

Copertura management separata

Il management ha obblighi formativi distinti — in particolare l'art. 23 del D.Lgs. 138/2024, che parla di formazione specifica per l'organo direttivo sulla gestione del rischio. Il percorso management è quindi un secondo binario, parallelo a quello del personale, con temi propri (governance del rischio, responsabilità personali dei dirigenti, notifica incidenti) e una propria cadenza.

Evidenze di completamento per audit

La formazione efficace è quella che cambia i comportamenti. La formazione dimostrabile è quella che lascia tracce pulite all'auditor. Le due cose devono coincidere: un programma ben fatto produce naturalmente le evidenze giuste, senza bisogno di costruirle ex-post.

Cosa chiede la normativa

L'art. 24, comma 2, lettera g) del D.Lgs. 138/2024 (art. 21 della Direttiva NIS2) richiede esplicitamente "pratiche di igiene informatica di base e formazione in materia di sicurezza informatica". L'Annex A della ISO/IEC 27001:2022 organizza i controlli in quattro temi (Organizational, People, Physical, Technological): il controllo A.6.3 ("Information security awareness, education and training"), nel tema People, richiede che il personale riceva e mantenga aggiornata una formazione adeguata al ruolo. Né NIS2 né ISO 27001 prescrivono una frequenza fissa, ma entrambe richiedono che la formazione sia periodica, documentata, e verificabile.

Cosa chiede l'auditor in pratica

In un'ispezione ACN o in un audit ISO il valutatore non si accontenta di una dichiarazione generica. Le domande tipiche sono tre, e vanno tutte risposte con prove documentali:

Chi-quando-cosa: chi ha completato quale modulo, in che data. Si chiede un registro nominativo, non un riepilogo aggregato.
Prova del superamento del quiz: non basta che il dipendente abbia "partecipato". Serve la traccia che la verifica finale sia stata superata, con esito e soglia esplicita.
Freschezza temporale: un attestato datato 18 mesi fa non dimostra che la persona è formata oggi. L'auditor guarda la data dell'ultimo completamento e la confronta con la cadenza dichiarata nella policy interna.

Cosa deve esserci in archivio

Per rispondere a queste domande senza scavare nelle email, l'organizzazione deve conservare per ogni dipendente e per ogni modulo:

Attestato di completamento con timestamp non modificabile e, idealmente, hash crittografico (es. SHA-256) che ne certifichi l'integrità.
ID univoco del record di completamento, riferibile in modo non ambiguo alla persona, al modulo, alla data.
Log di accesso e di interazione — quando il modulo è stato aperto, quanto è durato, quando il quiz è stato superato e con quale punteggio.
Evidenza dei rinnovi — la storia dei completamenti precedenti, per dimostrare la continuità del percorso negli anni.
Riferimento normativo esplicito — quale articolo (es. D.Lgs. 138/2024, art. 24, c. 2, lett. g) o controllo (es. ISO A.6.3) il modulo copre.

Il principio: la formazione efficace lascia tracce pulite

L'errore ricorrente è trattare la formazione e le evidenze come due workflow separati: prima si fa formare il personale, poi qualcuno raccoglie i fogli firme. È un modello fragile, che si rompe al primo cambio di responsabile e che produce documentazione disomogenea.

Il modello sostenibile è opposto: la piattaforma di formazione è anche il sistema di evidenze. Ogni completamento genera, nello stesso momento, l'attestato con impronta SHA-256, l'aggiornamento del registro nominativo, l'incremento del contatore dei completamenti del mese. Quando arriva l'auditor, non c'è una raccolta da fare: c'è un Audit Pack da esportare. È questa la differenza tra "abbiamo fatto la formazione" e "possiamo dimostrare la formazione" — e in NIS2, come in ISO 27001, conta la seconda.

Il modulo Formazione di Comprova è costruito su questa logica: micro-moduli mensili, quiz a chiusura con soglia esplicita, e per ogni completamento un attestato con impronta SHA-256, registro nominativo aggiornato in tempo reale ed esportabile in CSV — pronto per finire nell'Audit Pack. Il riferimento normativo (D.Lgs. 138/2024, art. 24, c. 2, lett. g; ISO A.6.3) resta a te: Comprova non mappa i controlli ISO.