La curva dell'oblio di Ebbinghaus

Per il dipendente, la questione pratica è non dipendere da un ricordo. Una sessione seguita una volta non sostituisce un gesto semplice a portata di mano.

L'NCSC ne offre un esempio: segnalare un messaggio di phishing. Secondo la sua pagina, la segnalazione è gratuita e richiede un solo minuto: « Reporting a scam is free and only takes a minute. »⁵ L'NCSC spiega che queste segnalazioni permettono di ridurre il numero di comunicazioni fraudolente ricevute, di diventare un bersaglio più difficile e di proteggere gli altri⁵. Il servizio dice inoltre di avere il potere di indagare su indirizzi e siti fraudolenti e di farli rimuovere⁵.

L'NCSC aggiunge un'abitudine che non richiede alcuna formazione: i criminali usano le informazioni disponibili online, social network compresi, per rendere i loro messaggi più convincenti. Riflettere su ciò che si pubblica e rivedere le impostazioni di privacy riduce il rischio di essere presi di mira⁵.

La CISA riassume i gesti di base in quattro punti, presentati durante il mese della cybersicurezza, a ottobre: evitare e segnalare il phishing, usare password robuste, attivare l'autenticazione a più fattori con un gestore di password, aggiornare i software⁶. Ogni promemoria (un poster, un messaggio interno, un breve aggiornamento di team) può riprenderne uno solo.

Per la direzione, le fonti consultate vanno nel senso della misurazione, più che del semplice conteggio dei partecipanti. Il NIST indica che la sua guida comprende indicatori e metodi di valutazione proposti, per migliorare regolarmente il programma³. Precisa anche che le raccomandazioni sono adattabili, per organizzazioni grandi o piccole, comprese quelle che costruiscono un programma da zero³.

Il NIST presenta il suo programma come un processo che gestisce sensibilizzazione, formazione ed educazione per un insieme variegato di pubblici di dipendenti federali³. Una seconda bozza pubblica del 2013, poi sostituita, descriveva un modello di formazione per ruolo destinato alle persone con responsabilità importanti in informatica o in cybersicurezza⁴. In questa scheda se ne deduce che un modulo annuale identico per tutti risponde male a questa varietà di pubblici, ma nessuna fonte lo afferma.

La CISA propone da parte sua un kit di strumenti per il mese della cybersicurezza 2026, con immagini e presentazioni che le organizzazioni possono usare per le proprie campagne⁶. L'ENISA descrive le politiche degli Stati membri dell'Unione secondo quattro obiettivi: sensibilizzazione, formazione, sfide ed esercitazioni². La sensibilizzazione vi è un obiettivo tra gli altri, accanto alla formazione e alle esercitazioni.

Nessuna di queste pagine fissa una soglia di frequenza, per esempio un numero di promemoria all'anno. La scheda non ne indica quindi alcuna.

Il principale documento consultato è la pubblicazione SP 800-50 revisione 1 del NIST, intitolata « Building a Cybersecurity and Privacy Learning Program ». Fornisce alle agenzie federali statunitensi e alle organizzazioni indicazioni per costruire un programma di apprendimento in cybersicurezza e protezione della privacy secondo un approccio basato sul ciclo di vita³. Si fonda su norme, regolamenti, testi legislativi e buone pratiche largamente accettati³.

Questa pubblicazione sostituisce la SP 800-50 del 2003 e la SP 800-16 del 1998³. La pagina cita il Cybersecurity Enhancement Act e la circolare OMB A-130 tra le leggi e i regolamenti associati³.

Una versione precedente della SP 800-16 revisione 1, datata ottobre 2013, descrive un modello di formazione per ruolo. Precisa che ogni persona che possiede, usa o gestisce informazioni deve comprendere bene le proprie responsabilità di sicurezza⁴. Questa versione è una seconda bozza pubblica e la pagina indica che è stata sostituita il 14 marzo 2014 da una terza bozza⁴.

Il rapporto dell'ENISA del 2021 formula da parte sua cinque raccomandazioni sulla carenza di competenze in cybersicurezza nell'Unione. Le pagine consultate non ne dettagliano il contenuto².

I documenti consultati sono guide. Le pagine non parlano di un obbligo di legge per un'impresa privata di formare i dipendenti con una frequenza determinata, e la scheda non ne afferma alcuno.

Sul versante statunitense, la versione finale della SP 800-50 revisione 1 risale a settembre 2024, dopo due bozze pubblicate a settembre 2021 e ad agosto 2023³. È destinata alle agenzie federali e alle organizzazioni³.

Sul versante europeo, la pagina dell'ENISA sulla cultura della cybersicurezza classifica il suo rapporto del 2019 tra i contenuti scritti per il settore privato¹. Elenca anche alcuni appuntamenti: una terza conferenza europea sulla sensibilizzazione, prevista l'11 novembre 2026¹. Le pagine non dicono quali organizzazioni applichino queste guide, né con quali risultati.

Quanto all'idea centrale di questa scheda, resta da verificare in una fonte dedicata. Una misurazione dei comportamenti reali, per esempio il tasso di segnalazione dei messaggi sospetti, è coerente con le indicazioni del NIST. Nessuno dei documenti consultati la quantifica.