Formazione cyber evolutiva: le linee guida per costruire vera consapevolezza

Non passa giorno in cui un report di sicurezza evidenzi vulnerabilità degli utenti e del personale per i tentativi truffaldini e manipolatori di attaccanti e criminali digitali: uno stato di “impreparazione” e sottostima a cui porre rimedio con una formazione che sia veramente efficace, che sia fattiva o che permetta di cambiare davvero le abitudini digitali.

Una formazione che lasci il segno in modo da essere di supporto anche alle singole persone nel momento in cui sono oggetto e soggetto di attacco da parte di abili truffatori digitali nei momenti di raggiro telefonico con tecniche di social engineering; tecniche che, seppure semplici, sono efficaci a tal punto da essere seguite senza dubbi, senza verifiche, senza fermarsi un momento a riflettere.

Quindi quanta strada deve fare il sistema della formazione o il processo di formazione per essere veramente efficace? Che tipo di intervento non solo formativo, ma anche educativo ed esercitativo si rende necessario vista la cronica impreparazione, la sottostima e la percezione solitamente manchevole delle persone sui temi della sicurezza informatica?

Ne abbiamo parlato con il professor Alessandro Armando, Presidente del Comitato Scientifico della Fondazione SERICS, Direttore del CINI Cybersecurity National Lab e professore presso l’Università di Genova.

Ma come primo passo è necessario guardare allo stato attuale della situazione italiana che risulta ancora fortemente impreparata davanti alle minacce digitali.

Impreparazione e sottostima ancora molto estese in Italia

Uno degli ultimi rapporti di sicurezza usciti sottolinea ancora una volta uno stato di debolezza e vulnerabilità alla minaccia digitale per l’Italia in cui sembra crescere l’esposizione delle aziende italiane agli attacchi informatici.

Dall’Y-Report 2025, (report annuale di Yarix, centro di competenza per la cybersecurity di Var Group) risultata che l’Italia è al quinto Paese europeo per numero di dispositivi infetti, con 60.000 casi con un incremento del 57,9% rispetto al 2023.

L’Italia è preceduta da Spagna (120 mila), Germania (73 mila), Polonia (71 mila) e Francia (66 mila), e seguita da Romania (54 mila), Regno Unito (44 mila), Portogallo (34 mila) e Ungheria (29 mila).

I dati sono relativi ad un 2024 caratterizzato anche da oltre 170 mila credenziali di accesso a portali aziendali critici compromesse nel 2024. Il numero è in aumento rispetto al dato del 13,4% registrato per il 2023.

Quindi circa due dipendenti su dieci, (pari al 20% del personale di un’azienda), cedono al raggiro o truffa ed inseriscono inconsapevolmente o sotto processo manipolativo, le proprie credenziali nei moduli ingannevoli contenuti nelle e-mail di phishing (e-mail ingannevoli che inducono a cliccare su link malevoli).

Anche i malware che rubano informazioni (infostealer) sono ancora molto diffusi: solo nel corso del 2024, il team YCTI (Yarix Cyber Threat Intelligence) ha identificato oltre 8,1 milioni di sistemi compromessi differenti (PC, telefoni aziendali, tablet) e più di 920 milioni di credenziali compromesse da questo tipo di software con un incremento del 376,7% rispetto al 2023.

Dopo aver infettato un dispositivo, l’infostealer raccoglie dati sensibili da credenziali salvate sul browser a carte di credito, fino a cookies e wallet e li trasmette al cyber criminale che li usa per accedere a quei sistemi in modo regolare ma chiaramente illegale visto che stanno impersonando qualcun altro.

Anche le truffe legate alla Business E-mail Compromise (BEC), ovvero e-mail apparentemente legittime, inviate da indirizzi compromessi o contraffatti, che simulano comunicazioni ufficiali per indurre l’utente ad aprire allegati o cliccare link dannosi, sono ancora molto numerose nei settori del manufacturing (23,72%) e il food (8,33%) che appaiono fra i più colpiti.

Esigenze della formazione sulla sicurezza informatica

Da questa situazione che fa sembrare di “essere sempre sotto scacco” bisogna uscire con metodo. La formazione in sicurezza informatica e nel contesto digitale deve quindi cambiare per arrivare ad ottenere obiettivi concreti sia preventivi per la protezione, ma anche di preparazione del singolo individuo ai momenti di raggiro, di predisposizione al lecito dubbio, di capacità per la verifica puntuale: una consapevolezza momento per momento di ciò che è un comportamento sicuro.

A livello di aziende è necessario quanto già detto a livello del singolo ma anche di più: la formazione in ambito cybersecurity non è più un’opzione, ma una necessità strategica dato il livello attuale della minaccia che è sempre più concreta e persistente a livello di imprese, istituzioni e cittadini.

Il professor Alessandro Armando spiega che “investire oggi in competenze, ricerca e cultura della cyber sicurezza è anche una scelta di responsabilità verso le prossime generazioni”.

In particolare, chiarisce il professore “la formazione non deve essere una iniziativa commerciale, ma il frutto di un ecosistema che unisca università, centri di ricerca, imprese ad alto contenuto tecnologico, con l’obiettivo di rafforzare la sicurezza del cyberspazio italiano ed europeo. Una formazione di qualità come quello erogata da chi ha un legame strutturale con il mondo della ricerca, garantisce che i contenuti siano sempre aggiornati, scientificamente fondati e orientati al futuro”.

La caratteristica cruciale per il professore Armando è la multidisciplinarietà: “la cyber sicurezza va affrontata non solo dal punto di vista tecnico, ma anche giuridico, etico, organizzativo. I percorsi formativi devono essere pensati per figure tecniche, manageriali, legali e istituzionali, offrendo una visione sistemica del rischio e della protezione degli asset digitali. Nessuna categoria può essere esclusa oggi, perché la sicurezza informatica riguarda tutti: professionisti e dipendenti, studenti e dottorandi, docenti e formatori, ricercatori ed esperti tecnici, pubblica amministrazione, cittadini fragili. Inoltre, l’approccio più appropriato dovrebbe essere modulare e personalizzabile, capace di adattarsi alle esigenze specifiche di settori industriali diversi, della Pubblica Amministrazione o delle PMI”.

I sottotemi della cyber security su cui fare formazione

“Quando si affronta la formazione sulla sicurezza informatica” evidenzia il docente “è opportuno abbracciare tutto lo spettro della cyber security, con un’attenzione particolare a quelli più emergenti e strategici per il contesto attuale e si dovrebbero approfondire temi come la progettazione sicura dell’AI, il rilevamento di disinformazione e la protezione della privacy nei dati condivisi. Tutte le attività formative dovrebbero includere laboratori pratici”.

Entrando nel merito di tutti gli argomenti che possono costituire un percorso di formazione nell’ambito della cyber security si può restare stupiti di quante tecnologie e normative e problematiche si debbano affrontare.

A tal proposito il prof. Armando esplicita l’esigenza di “trattare la sicurezza di tecnologie emergenti come l’identità digitale, le applicazioni cloud-native e i sistemi cyber-fisici facendo attenzione all’analisi e gestione delle minacce cyber, con inclusione della compliance normativa (es. NIS2/DORA) senza dimenticare temi di sovranità digitale per approfondire il delicato equilibrio tra protezione dati e strategie geopolitiche, corsi di privacy e sicurezza dei dati per affrontare i diversi aspetti della protezione delle informazioni in scenari emergenti (e.g., cloud/fog/edge, AI/ML), evidenziando sfide, risultati e direzioni di ricerca per ciascuno di essi. Altri corsi dovrebbero includere tecniche OSINT e le tecniche allo stato dell’arte per la rilevazione e contrasto delle fake news per giornalisti e attivisti”.

La formazione necessaria per le aziende

Dato che lo scenario della minaccia non sembra dare tregua, allo stesso modo non sembra essere rimandabile un intervento formativo efficace per i dipendenti perché, spiega il docente, “oggi le aziende, indipendentemente dalle dimensioni, si trovano di fronte a minacce informatiche sempre più sofisticate, in un quadro normativo in evoluzione e con una crescente digitalizzazione dei processi”.

Cosa fare, quindi? “in questo contesto, ci sono alcuni corsi chiave che risultano particolarmente strategici, in particolare quelli che rafforzano la sicurezza informatica, la resilienza organizzativa e la conformità normativa”.

“L’ideale” continua il professore, “è costruire percorsi integrati che coinvolgano diversi livelli e funzioni dell’azienda, perché la sicurezza non è solo una questione tecnica, ma un fattore strategico che impatta tutta l’organizzazione a partire dagli organi di governo. Nella Fondazione SERICS (Security and Rights in CyberSpace, entità che ha come scopo principale la ricerca scientifica e tecnologica n.d.r.) abbiamo aperto appositamente una academy, un polo formativo, di cui vorrei citare alcuni corsi di immediata applicazione come, ad esempio, ‘difesa da attacchi avanzati, offuscati e evasivi’, pensato per Security Operation Center, analisti di sicurezza e aziende che gestiscono infrastrutture critiche. Oppure ‘intelligenza artificiale: progettazione sicura e robusta’, che esamina le vulnerabilità dei sistemi AI e propone strategie di progettazione sicura, ideale per aziende che sviluppano soluzioni AI o integrano modelli di terze parti. Poi ‘orchestratori distribuiti e applicazioni cloud native’. Corso fondamentale per aziende in transizione verso architetture cloud native”.

Un ulteriore elemento che deve sempre essere considerato riguarda invece il progetto formativo, che per ogni azienda può essere diverso seguendo le peculiarità ed i budget di ogni entità.

In questo senso il docente chiarisce come sia necessario “costruire il percorso più idoneo e funzionale sia in termini di organizzazione che di contenuti didattici, insieme al committente, partendo dai suoi fabbisogni. Si può orientare in base al settore di provenienza, ma oggi esiste una trasversalità dei fabbisogni, una mancanza di competenze di base per cui si dovrebbe partire da una formazione di base, sino ad una più articolata in grado di perfezionare le conoscenze dei professionisti della cybersicurezza, di docenti e di ricercatori”.

“Questi approcci formativi e tutti i principi sin qui esplicitati sono applicati nei corsi SERICS” conclude il prof. Armando.

L’offerta formativa SERICS

“La formazione SERICS affonda le sue radici nella ricerca scientifica e tutti i corsi che si svolgeranno nel corso del 2025 saranno a partecipazione è gratuita, in quanto completamente finanziati dal PNRR”.

Nella proposta formativa sono inclusi:

L’Academy si avvale di un comitato scientifico composto da 18 professori e ricercatori di fama nazionale, oltre a docenti esperti, tutor, instructional designer e professionisti del settore pubblico e privato.

Tutti i percorsi sono progettati con approcci blended, fortemente esperienziali, in grado di unire didattica teorica e simulazioni operative (cyber-game, test, casi studio).