L’espressione cyber security awareness identifica l’attività posta in essere dalle aziende per sensibilizzare il personale sul tema della sicurezza informatica, fornendogli gli strumenti necessari per la prevenzione e la risposta efficace a eventuali attività sospette.
L’evoluzione degli attacchi e la necessità di prevenirli, così come la conformità normativa, rendono la security awareness una questione centrale, da non considerare meno strategica e importante di altre attività, come la protezione degli endpoint o i servizi del SOC. Con la Direttiva NIS2, in particolare, cyber hygiene, formazione e consapevolezza diventano parte integrante delle misure di gestione del rischio cyber. Inoltre con l’AI Act, anche l’utilizzo consapevole dei sistemi di AI entra nel perimetro delle competenze da sviluppare e governare.
Indice
Scenario cyber: crescono frequenza, impatti e pressione sull’Europa
Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati 5.265 incidenti cyber noti di particolare gravità a livello globale, il valore più alto mai rilevato dal report. Rispetto ai 3.541 incidenti del 2024, l’incremento è pari al 48,7%, mentre nel confronto con il 2021 la crescita arriva al 157%. Anche la media mensile mostra la stessa accelerazione: dai 171 incidenti al mese del 2021 si passa ai 439 del 2025.
L’aumento non riguarda solo il numero degli eventi, ma anche la loro gravità. Clusit evidenzia infatti un progressivo peggioramento degli impatti: nel 2025 gli incidenti classificati con severity High rappresentano il 55,6% del totale, quelli Critical il 28,2% e quelli Extreme il 2,7%, una nuova categoria introdotta per rappresentare gli eventi con conseguenze particolarmente gravi e sistemiche. Nel complesso, circa un incidente su tre rientra quindi nelle fasce Critical o Extreme.
L’Europa resta una delle aree più esposte. Nel 2025 il continente europeo rappresenta il 25,1% delle vittime a livello globale e registra una crescita del 21% degli incidenti rispetto all’anno precedente. Pur in un quadro in cui aumentano anche altre aree geografiche, il dato conferma che le organizzazioni europee continuano a operare in un contesto di rischio elevato, segnato da minacce sempre più diffuse, impatti più severi e una pressione crescente su settori pubblici e privati.
In tale scenario, includere la security awareness all’interno delle proprie strategie di sicurezza è una mossa fondamentale per indirizzare l’intera security posture dell’organizzazione. A maggior ragione nel contesto della Direttiva NIS2, che spinge le aziende ad adottare misure tecniche, operative e organizzative di gestione del rischio cyber, includendo pratiche di cyber hygiene, formazione e consapevolezza degli utenti. La security awareness diventa quindi un’attività da non considerare meno urgente o subalterna ad altri interventi, ma parte integrante della capacità dell’organizzazione di prevenire, riconoscere e rispondere alle minacce.
Che cos’è la cyber security awareness: 3 accezioni
L’espressione security awareness, o cyber security awareness, può assumere significati diversi a seconda del contesto:
- In senso ampio, indica il grado di consapevolezza di ogni individuo rispetto ai rischi di sicurezza a cui è esposto nell’uso quotidiano di tecnologie, dispositivi, applicazioni e dati. Questa consapevolezza riguarda sia la vita privata sia quella professionale: due ambiti sempre più connessi, ma caratterizzati da rischi e responsabilità differenti.
- In azienda, però, la security awareness identifica anche l’insieme delle attività con cui le organizzazioni sensibilizzano il personale sulla sicurezza delle informazioni, fornendo strumenti, conoscenze e comportamenti utili per prevenire, riconoscere e segnalare eventuali attività sospette. L’obiettivo non è soltanto trasferire nozioni, ma favorire lo sviluppo di una cultura della sicurezza condivisa, capace di rafforzare nel tempo la postura cyber dell’intera organizzazione.
1. Vita privata: proteggere identità, dispositivi e accessi personali
Nella vita quotidiana, la cyber security awareness significa saper riconoscere i rischi legati all’uso di smartphone, app, account personali, servizi online e strumenti di pagamento digitale.
Lo smartphone, per esempio, contiene spesso credenziali di accesso, codici temporanei, e-mail, dati bancari, documenti e informazioni personali. Un malware, una password debole o un tentativo di phishing possono quindi aprire la strada ad accessi non autorizzati, furti di identità o compromissioni degli account.
Per questo motivo si sono diffuse tecnologie come l’autenticazione multi-fattore, la biometria e le passkey, oggi sempre più centrali per rafforzare la protezione degli accessi, soprattutto in ambiti sensibili come quello bancario. La consapevolezza individuale resta però decisiva: anche il miglior sistema di protezione può essere aggirato se l’utente non riconosce un messaggio fraudolento, condivide dati riservati o utilizza dispositivi non aggiornati.
2. Vita professionale: ridurre il rischio umano nei processi aziendali
Se la cyber security awareness è fondamentale per proteggere la sfera (digitale) privata, lo è a maggior ragione in azienda, laddove dipendenti e collaboratori accedono ogni giorno alla posta elettronica, condividono file, utilizzano applicazioni cloud, trattano informazioni riservate e si collegano ai sistemi aziendali da reti e dispositivi diversi.
In molte realtà, la frammentazione applicativa è ancora marcata e gli esiti possono essere drammatici: file riservati inviati via e-mail al destinatario sbagliato, copie di documenti memorizzate in dispositivi non protetti, accesso ai sistemi aziendali da reti non sicure e – cosa particolarmente comune da quando il lavoro è diventato smart – utilizzo, come strumento di lavoro, di dispositivi personali non aggiornati.
Se a tutto ciò aggiungiamo gli errori e i rischi cyber in senso stretto, ovvero le minacce provenienti dall’esterno come gli attacchi di ingegneria sociale, malware, ransomware e molti altri, otteniamo una situazione preoccupante in cui il fattore umano risulta davvero l’anello debole della catena, come gli specialisti di settore sono soliti ripetere da tempo.
I principali rischi legati al fattore umano secondo le organizzazioni
Secondo il SANS 2025 Security Awareness Report, il principale rischio legato al fattore umano resta il social engineering, che include phishing, vishing, smishing e deepfake. Il report evidenzia come il phishing continui a essere la modalità più diffusa, ma segnala anche una crescita, per numero e sofisticazione, degli attacchi via SMS e voce. L’evoluzione dell’intelligenza artificiale contribuisce inoltre a rendere più semplice per gli attaccanti creare campagne personalizzate, incluse forme di vishing basate su voice cloning.
Il campione del SANS 2025 Security Awareness Report è composto da oltre 2.700 security awareness practitioner provenienti da più di 70 Paesi. Si tratta della survey più ampia realizzata da SANS su questo tema.
Il report segnala inoltre, subito dopo questi rischi, la mancata capacità di rilevare e segnalare tempestivamente gli incidenti: un aspetto cruciale perché la detection e il reporting riducono il tempo a disposizione degli attaccanti e richiedono una cultura della sicurezza non punitiva, capace di rendere semplice e naturale la segnalazione.
In effetti, le cronache recenti continuano a mostrare quanto spesso i data breach possano originarsi da un errore, da una leggerezza o da un comportamento non adeguatamente consapevole da parte delle persone. Il tema trova riscontro anche nel Verizon 2026 Data Breach Investigations Report, secondo cui l’elemento umano è presente nel 62% delle violazioni analizzate. Il dato comprende situazioni in cui le persone sono coinvolte attraverso errori non intenzionali, uso improprio o abuso di privilegi, credenziali compromesse e tecniche di social engineering.
Il report evidenzia inoltre che il social engineering rappresenta il terzo pattern di violazione più frequente, con il 16% dei breach, e segnala una crescente efficacia degli attacchi mobile-centric, come quelli basati su voce e messaggistica. Nelle simulazioni di phishing analizzate da Verizon, infatti, i vettori mobile-centric registrano un tasso mediano di click superiore del 40% rispetto alle simulazioni via e-mail.
In una situazione del genere, è inevitabile che i cyber criminali prendano di mira proprio le persone. Puntare sulla mancanza di consapevolezza dei rischi informatici garantisce agli hacker buone probabilità di successo ed è molto meno costoso di attacchi più sofisticati, come quelli basati sulle vulnerabilità zero-day. Dunque, come possono le aziende correre ai ripari?
3. Security awareness: un percorso di sviluppo della consapevolezza
La cyber security awareness ha anche un’ulteriore accezione, pur ovviamente connessa alla precedente: l’espressione identifica l’attività posta in essere dalle aziende per sensibilizzare il personale sul tema della sicurezza delle informazioni, fornendo loro gli strumenti necessari per la prevenzione e la risposta efficace a eventuali attività sospette. I processi di cyber security awareness includono dunque sia la coscienza di ciò che si sta facendo, sia tutti gli interventi attuati dalle aziende per migliorare la propria cyber security posture.
Obiettivo finale di un percorso aziendale di awareness non è tanto la conoscenza, per la quale sarebbe sufficiente un corso di formazione, bensì lo sviluppo e la diffusione della cultura della sicurezza in tutta l’azienda. In altri termini, le persone devono adottare gradualmente dei comportamenti virtuosi sotto il profilo della security, e far sì che questo si traduca in un mindset e delle best practice condivisi da tutta l’organizzazione.
Normative e competenze: perché la security awareness non può restare un adempimento formale
Con la Direttiva NIS2, la security awareness assume un ruolo ancora più centrale nelle strategie aziendali di cybersecurity. La normativa collega infatti sicurezza, governance, responsabilità manageriale, gestione del rischio, capacità di risposta agli incidenti e formazione delle persone, spingendo le organizzazioni a considerare la consapevolezza cyber non come un’attività accessoria, ma come parte integrante delle misure di gestione del rischio.
Il punto centrale è che la compliance non può più essere interpretata come un insieme di attività isolate o come un semplice obbligo documentale. Le nuove normative richiedono alle organizzazioni di dimostrare capacità operative, responsabilità chiare, competenze adeguate e processi strutturati.
Un programma di awareness limitato a training annuali o ad attività ad hoc per soddisfare audit e requisiti normativi rischia infatti di restare a un livello minimo, orientato più alla conformità formale che al cambiamento reale dei comportamenti. Per essere efficace, la security awareness deve andare oltre l’adempimento: deve diventare un percorso continuativo, capace di rafforzare nel tempo la cultura della sicurezza e la maturità dell’organizzazione.
Questo approccio è coerente anche con il quadro applicativo della NIS2, che richiama programmi di sensibilizzazione programmati nel tempo, ripetuti, allineati a policy e procedure di sicurezza, aggiornati rispetto all’evoluzione delle minacce e capaci di coprire pratiche di cyber hygiene, phishing, social engineering e di favorire comportamenti sicuri nell’uso quotidiano degli strumenti digitali.
Il tema si estende oggi anche all’utilizzo dell’intelligenza artificiale. L’AI Act introduce infatti il principio di alfabetizzazione in materia di AI, chiedendo a fornitori e utilizzatori di sistemi di AI di adottare misure per sviluppare competenze e consapevolezza del personale e degli utenti che usano tali sistemi per loro conto. In questo senso, la formazione awareness deve includere anche l’uso sicuro, responsabile e conforme degli strumenti di AI: dalla protezione dei dati inseriti nei prompt alla verifica degli output, fino al rispetto delle policy aziendali e dei limiti d’uso.
Questa evoluzione conferma una trasformazione più ampia delle competenze di sicurezza. Secondo il SANS | GIAC 2026 Cybersecurity Workforce Research Report, la pressione regolatoria sta accelerando l’organizzazione e la formalizzazione delle competenze di sicurezza, spingendo le aziende ad adottare framework strutturati, creare nuovi ruoli specialistici e rafforzare le skill già presenti nei team.
Questi dati confermano un cambio di prospettiva: la sicurezza non dipende solo dalla disponibilità di strumenti tecnologici, ma dalla capacità dell’organizzazione di sviluppare competenze, ruoli e comportamenti coerenti con un contesto regolatorio sempre più esigente. Per questo, un programma di security awareness efficace deve essere integrato nella strategia complessiva di gestione del rischio, compliance e resilienza cyber, includendo anche percorsi di consapevolezza sull’utilizzo dell’AI
4 pilastri per una security awareness efficace
Tuttavia, un conto è intraprendere un percorso aziendale di security awareness, un altro far sì che sia efficace. A titolo di esempio, le aziende devono saper integrare svariati elementi.
1. Coinvolgere tutto il personale
Le attività rivolte alla security awareness vanno estese a tutto il personale. I manager sono i primi a dover essere coinvolti, ma anche la partecipazione e il contributo dell’area HR sono decisivi per riuscire a progettare e personalizzare correttamente, a seconda dei gruppi di lavoro, i percorsi di formazione.
2. Garantire continuità nel tempo
Le attività vanno svolte su base continuativa, perché le minacce cambiano ed evolvono ogni giorno. Un percorso efficace non può quindi limitarsi a un singolo momento formativo, ma deve prevedere aggiornamenti periodici, richiami pratici e occasioni ricorrenti di verifica, così da mantenere alta l’attenzione delle persone e accompagnare l’evoluzione dei comportamenti nel tempo. Questa continuità è coerente anche con l’approccio richiesto dalla NIS2, che valorizza programmi di sensibilizzazione ripetuti, aggiornati rispetto all’evoluzione del rischio e collegati alle policy e alle procedure di sicurezza dell’organizzazione.
3. Creare cultura e capacità di risposta
Le attività devono essere finalizzate a creare non solo una security culture, ma anche a fornire tutti gli strumenti per la prevenzione delle minacce e per la risposta a eventi pericolosi. I programmi di security awareness sono fondamentali per apprendere le policy di sicurezza dell’azienda, comprendere i tipi di attacchi e le dinamiche più comuni, sviluppando un bagaglio di conoscenze tale da mettere in atto comportamenti virtuosi e risposte efficaci.
4. Assicurare engagement
In ultimo, le attività devono assicurare il coinvolgimento attivo dell’intera popolazione aziendale. Contenuti formativi, simulazioni e test che compongono il percorso devono coinvolgere, incuriosire, attrarre i destinatari, perché solo così potranno dirsi realmente efficaci.
Strumenti ed esempi di security awareness efficace
Parlando di strumenti dedicati a una security awareness efficace, le aziende possono contare su svariate opzioni, alcune delle quali tradizionali e altre certamente più innovative e di elevato livello tecnico.
La security awareness ha solitamente un approccio top-down e segue il forte progresso degli ultimi anni in quanto a strumenti di formazione: si parte quindi dal tipico incontro in aula, che però è complesso da organizzare e non riesce a tenere alta la concentrazione, e si passa a piattaforme di e-learning, a comunicazioni ad hoc, a pillole video on-demand.
Se invece parliamo di soluzioni avanzate, vengono in soccorso piattaforme e soluzioni dedicate. Il momento di formazione teorica, che oggi viene fornita on-demand dalla piattaforma stessa, va affiancato ad elementi pratici che permettano ai destinatari di migliorare strada facendo la propria cultura e la capacità di affrontare le sfide della sicurezza. Ci riferiamo, a titolo d’esempio, alle attività di simulazione, cioè a veri e propri attacchi simulati sempre diversi (es., attacco di phishing via e-mail), dalla cui reazione è possibile valutare la consapevolezza soggettiva e, di conseguenza, avere un’idea della security posture di tutta l’azienda.
Accanto a questi moduli, diventa sempre più importante prevedere percorsi di awareness specifici sull’utilizzo dell’AI: uso corretto degli strumenti autorizzati, protezione dei dati inseriti nei prompt, verifica degli output, riconoscimento di contenuti sintetici o manipolati e rispetto delle policy aziendali.
Sono poi fondamentali i test, con cui ciclicamente le aziende verificano non tanto il livello generale di conoscenza e di consapevolezza, ma il progresso graduale verso, appunto, la cultura della sicurezza.
In ottica di massimo engagement, tutte le attività possono essere assistite da dinamiche di gamification (punti, classifiche, giochi…), così da rendere ancor più efficace e coinvolgente il percorso.
Grazie ad apposite piattaforme, quindi, le aziende possono raggiungere un obiettivo che non è quello di obbligare le persone a seguire un corso (come si faceva un tempo e, almeno parzialmente, si fa ancora oggi), ma facilitare la costruzione di una vera e propria consapevolezza. Le piattaforme gestiscono la parte teorica, le simulazioni, i test permettono la personalizzazione del percorso, hanno contenuti interattivi e un potente motore di analisi in grado di rilevare il progresso a livello individuale, di dipartimento e di azienda.
Security awareness, perché affidarsi a un partner
I percorsi di security awareness si basano su piattaforme di mercato. A livello teorico, quindi, l’azienda potrebbe semplicemente acquistare le licenze ed erogare i servizi ai suoi utenti.
Per diversi motivi, però, molte organizzazioni preferiscono affidarsi a un partner: in primis perché gestire un percorso che deve essere continuativo e quotidiano richiede tempo e questo va gestito il più proficuamente possibile; inoltre, servono competenze dedicate, come per esempio la capacità di analisi dei report della piattaforma e la successiva personalizzazione delle attività non solo a livello di dipartimento, ma anche di singola persona con l’obiettivo primario di assicurare il necessario engagement. In ottica NIS2 e AI Act, il supporto di un partner può diventare ancora più rilevante per documentare le attività svolte, misurare i progressi, mantenere aggiornato il programma e renderlo coerente con policy, procedure obiettivi di gestione del rischio dell’organizzazione e requisiti di consapevolezza sull’utilizzo dell’AI.
Secondo il SANS 2025 Security Awareness Report, le sfide più comuni nella costruzione e gestione di un programma di security awareness efficace riguardano soprattutto la mancanza di tempo e di personale. Il report evidenzia inoltre altre criticità ricorrenti: la necessità di rafforzare le partnership con altri dipartimenti, i limiti di budget, il supporto non sempre adeguato della leadership e la difficoltà di coinvolgere in modo continuativo tutte le persone dell’organizzazione.
Il partner è poi colui che si occupa dell’integrazione della piattaforma, collabora con l’area HR e supporta la comunicazione interna per le attività dedicate, monitora il percorso e valuta concretamente i progressi, riportando ai manager aziendali e proponendo, grazie alla sua esperienza, interventi correttivi efficaci.
La security awareness è uno dei servizi di sicurezza che WIIT eroga ai propri clienti, con l’obiettivo di aiutarli a migliorare la security posture a 360 gradi. Grazie ai nostri servizi, che comprendono un Security Operations Center (SOC) con finestra di servizio h24, abbiamo l’ambizione di essere un partner a tutto tondo, che parte dalla progettazione e dall’implementazione di complessi modelli enterprise a supporto dei processi critici e li potenzia con servizi come quelli dedicati alla continuità del business e, appunto, alla cybersecurity. Limitatamente a quest’ultimo comparto, il nostro approccio è quello della protezione sinergica di tutti i possibili elementi di vulnerabilità, dalle reti agli endpoint, ma senza dimenticare, appunto, la risorsa più importante di tutte: la persona.
