Controllo 10: 

Il personale è adeguatamente sensibilizzato e formato sui rischi di cybersecurity e sulle pratiche da adottare per l’impiego sicuro degli strumenti aziendali (es. riconoscere allegati e-mail, utilizzare solo software autorizzato, etc…). I vertici aziendali hanno cura di predisporre per tutto il personale aziendale la formazione necessaria a fornire almeno le nozioni basilari di sicurezza.

Considerando che ancora oggi, l’anello debole della catena di sicurezza informatica è l’essere umano, quello della formazione e della consapevolezza è un aspetto importantissimo.

È un’affermazione che và via via riducendo i margini di validità, infatti capita anche che, talvolta, sia proprio l’essere umano il fattore di successo. Ma è anche vero che questo accade quando le persone sono state adeguatamente formate e le competenze richieste per i ruoli assegnati siano robuste. Capita però, come detto, che nonostante i controlli anche di natura tecnologica, a causa dell’essere umano si verifichino incidenti anche abbastanza gravi da mettere in discussione la continuità operativa e la sopravvivenza dell’azienda stessa.
L’articolo 29 del GDPR afferma: “chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento”.
Ogni giorno centinaia di migliaia di account aziendali vengono compromessi, la formazione e la consapevolezza non è mai abbastanza.

Sul tema della formazione e della sensibilizzzione, si sofferma anche la direttiva NIS 2 (2022/2555) e il relativo decreto di recepimento n. 138 del 4 settembre 2024, recita all’art. 23 comma 2

– lettera a): sono tenuti (gli organi di amministrazione e gli organi direttivi) a seguire una formazione in materia di sicurezza informatica;

– lettera b): promuovono l’offerta periodica di una formazione coerente a quella di cui alla lettera a) ai loro dipendenti, per favorire l’acquisizione di conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto sulle attività del soggetto e sui servizi offerti.