Memorizzazione duratura: ripetizione distanziata e quiz
Perché una formazione seguita una sola volta non basta, e che cosa dicono NIST, ENISA e NCSC sulla sensibilizzazione continua.
In 30 secondi
- Dove succede
- In qualsiasi programma di sensibilizzazione, sia che si riduca a una sessione annuale sia che consista in richiami brevi e regolari.
- Che cosa dicono le agenzie
- Un programma di apprendimento si concepisce come un ciclo di miglioramenti continui1.
- Il riflesso
- Tornare ai richiami brevi quando arrivano, rispondere ai quiz senza cercare la risposta e segnalare un messaggio sospetto invece di ignorarlo.
Di cosa si tratta
Una formazione sulla cybersicurezza seguita una sola volta lascia poche tracce, se in seguito nulla la richiama alla mente. Questa scheda considera tre metodi per far durare i buoni riflessi: richiami distanziati nel tempo, domande che obbligano a recuperare la risposta a memoria (il quiz) e simulazioni vicine al lavoro reale.
La scheda si basa su testi di agenzie: NIST, ENISA, CISA e NCSC. Questi testi parlano di programmi continui, di cultura e di comportamenti. Nessuno dei documenti letti descrive il funzionamento della memoria né misura l'oblio dopo una sessione unica. La scheda si attiene quindi a ciò che le agenzie scrivono e segnala ciò che non dicono.
Domande dirette
Perché una formazione vista una sola volta si dimentica?
Le fonti citate qui non rispondono a questa domanda. Non contengono alcuna misura dell'oblio né studi sulla memoria. Ciò che mostrano è indiretto: le agenzie concepiscono la sensibilizzazione come un processo che dura nel tempo. Il NIST presenta nel suo progetto di linee guida un modello di ciclo di vita « that allows for ongoing, iterative improvements », cioè miglioramenti continui e ripetuti1.
Che cosa sono la ripetizione distanziata, il quiz e la simulazione?
La ripetizione distanziata consiste nel rivedere una nozione a intervalli, per esempio per pochi minuti ogni volta. Il quiz chiede di recuperare la risposta invece di rileggerla. La simulazione pone il dipendente davanti a un caso vicino al suo lavoro. Questi tre metodi non sono nominati nelle fonti citate qui: servono come griglia per leggere le raccomandazioni delle agenzie, senza attribuire loro pareri che non esprimono.
Che cosa cambia per me rispetto a una sessione annuale?
Una sessione annuale arriva una volta, a una data fissata. I richiami brevi tornano nel corso dell'anno. Le agenzie organizzano proprio momenti ripetuti: ottobre è il mese europeo della cybersicurezza, con ENISA e la Commissione europea2, ed è anche il mese della sensibilizzazione alla cybersicurezza negli Stati Uniti, con quattro gesti di base alla portata di tutti3.
Che cosa si dice di un dipendente che non conosce le proprie responsabilità?
Il NIST scrive in un progetto del 2013 che ogni persona che possiede, utilizza, si affida a o gestisce informazioni « must fully understand their specific security responsibilities »4. Questo testo è un progetto di formazione per ruolo, poi sostituito da una versione successiva4.
1Cosa cambia per i dipendenti1 min
Per un dipendente, il cambiamento riguarda la frequenza e la forma. Invece di un modulo lungo seguito una volta, un programma concepito come ciclo prevede ritorni regolari. Il NIST descrive il proprio approccio come un modello che consente modifiche « to accommodate cybersecurity, privacy, and organization-specific events », cioè che si adatta agli eventi propri dell'organizzazione1.
Le agenzie insistono anche sulle abitudini. L'ENISA organizza campagne per promuovere buone pratiche e un cambiamento di comportamento, con il miglioramento dell'igiene digitale come asse centrale: dare alle persone « the knowledge and habits » necessarie per individuare e ridurre i rischi quotidiani2.
Un gesto preciso è messo in evidenza dalla CISA: tra quattro gesti di base, evitare e segnalare i messaggi di phishing3. Il NCSC britannico indica che segnalare un messaggio fraudolento è gratuito e richiede un minuto5. Precisa che segnalare permette di ridurre il numero di messaggi fraudolenti ricevuti e di proteggere gli altri5.
2Cosa cambia per la direzioneDirezione1 min
Per la direzione, i testi letti parlano di programma, di ciclo e di misurazione. Il progetto del NIST fissa tra i suoi obiettivi quello di integrare i programmi di apprendimento negli obiettivi dell'organizzazione per gestire i rischi, di proporre una cultura della cybersicurezza centrata sui dipendenti e di affrontare la difficoltà di misurare l'effetto dei programmi1. Propone inoltre indicatori e metodi di valutazione perché il programma sia migliorato regolarmente1.
L'ENISA, da parte sua, punta a un ecosistema in cui la buona igiene digitale sia « embedded as a standard practice » in tutti i settori2. Pubblica strumenti per le organizzazioni, tra cui una versione aggiornata di « Awareness Raising in a Box », uscita il 10 aprile 20242. La CISA mette a disposizione un kit di strumenti con cui le organizzazioni costruiscono le proprie campagne3.
Un rapporto dell'ENISA del 2019 tratta gli aspetti umani della cybersicurezza, tra cui psicologia, sociologia, antropologia ed economia comportamentale6.
3Cosa dice il testoTesto ufficiale1 min
Nessuna delle fonti citate qui è un testo giuridico vincolante sulla ripetizione distanziata, sul quiz o sulla simulazione. Sono linee guida, pagine di campagna e rapporti.
Il progetto NIST SP 800-50 Rev. 1, pubblicato il 28 agosto 2023, mira ad aiutare le agenzie federali statunitensi e altre organizzazioni a costruire un programma di apprendimento in cybersicurezza e protezione della vita privata secondo un approccio per ciclo di vita1. Si rivolge a organizzazioni grandi e piccole e a pubblici vari di dipendenti1. La versione iniziale di questa guida risale al 20031.
Il NIST SP 800-16 Rev. 1, nella sua seconda versione di lavoro dell'ottobre 2013, descrive un metodo di formazione per ruolo destinato al personale con responsabilità importanti in materia di sicurezza informatica4.
Sul versante europeo, l'ENISA spiega che le sue campagne puntano a un cambiamento di comportamento e di cultura2. Un rapporto dell'ENISA sulle competenze in cybersicurezza, pubblicato il 24 novembre 2021, analizza l'offerta di competenze in Europa e le politiche degli Stati membri per rafforzare i loro organici7.
4A che punto è l'applicazione1 min
Il progetto NIST SP 800-50 Rev. 1 del 2023 è stato sostituito: la pagina indica che è diventato obsoleto il 12 settembre 2024 con la versione finale1. Il periodo di commenti pubblici è chiuso1. Il contenuto della versione finale non è nelle fonti citate qui. Quanto al NIST SP 800-16 Rev. 1, la seconda versione di lavoro è obsoleta dal 14 marzo 2014, sostituita da una terza4.
Per la NIS 2, le fonti citate qui non indicano lo stato di applicazione né gli obblighi di formazione. Una sola informazione si avvicina: la pagina dell'ENISA segnala un documento del 26 giugno 2025, preparato ai sensi degli articoli 6 e 10 del regolamento sulla cybersicurezza, sulle competenze e sui ruoli dei professionisti della cybersicurezza necessari ai soggetti essenziali e importanti della NIS 27. Il testo di questo documento non è stato letto. Non permette di affermare che la NIS 2 imponga richiami distanziati, quiz o simulazioni.
Infine, il NCSC pubblica dei totali: a settembre 2026, oltre 59,6 milioni di segnalazioni ricevute e 263,7 mila truffe rimosse su 466 300 indirizzi5.
Scheda
- Identificativo
- CP-389
- Ala
- 6. Governance e GRC
- Competenza Brain
- Imparare con BRAIN (learn_with_brain)
- Riflesso Brain
- air-009
- Schema
- G2 · Mito contro realtà
- Lingue
- de, en, es, fr, it
- Fonti
- 7 fonti verificate il 3 novembre 2026
Fonti7 fonti
- NIST, «Building a Cybersecurity and Privacy Learning Program», 28 agosto 2023. https://csrc.nist.gov/pubs/sp/800/50/r1/ipd (consultato il 3 novembre 2026)
- ENISA, «Awareness and Cyber Hygiene». https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene (consultato il 3 novembre 2026)
- CISA, «Cybersecurity Awareness Month». https://www.cisa.gov/cybersecurity-awareness-month (consultato il 3 novembre 2026)
- NIST, «A Role-Based Model for Federal Information Technology/Cybersecurity Training». https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026)
- ENISA, «Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity», 16 aprile 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consultato il 3 novembre 2026)
- ENISA, «Addressing Skills Shortage and Gap Through Higher Education», 24 novembre 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Memorizzazione duratura: ripetizione distanziata e quiz», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp389_it_2026,
author = {Brain},
title = {Memorizzazione duratura: ripetizione distanziata e quiz},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/memorizzazione-duratura-ripetizione-distanziata-quiz/},
note = {CC BY 4.0}
}