Formazione per aziende
Il fattore umano della cybersecurity
La tecnologia difende i sistemi. Ma la maggior parte delle violazioni non passa da una falla tecnica: passa da una persona che, in buona fede, ha cliccato. Porto in azienda ciò che manca quasi sempre alla formazione sulla sicurezza — la parte psicologica: perché quel clic avviene, e come si può ridurre la probabilità che avvenga.
delle violazioni analizzate coinvolge un elemento umano Verizon Data Breach Investigations Report 2026
Il punto cieco della formazione tradizionale
La security awareness classica è tecnica: insegna a controllare un indirizzo, a diffidare di un allegato, a verificare un mittente. Sono cose giuste e necessarie. Ma non spiegano il fatto centrale: le persone formate continuano a cliccare.
Il motivo è che un attacco di social engineering ben fatto non punta alle conoscenze. Punta a come funzioniamo: alla fretta, al rispetto per l'autorità, al timore di creare un problema, al desiderio di essere utili. Sono leve psicologiche, e vanno affrontate con strumenti psicologici.
→ Approfondimento: «Perché le persone cliccano — la psicologia del phishing»
I moduli
Perché le persone cliccano
I meccanismi psicologici sfruttati dal phishing e dal social engineering: urgenza, principio di autorità, reciprocità, paura di sbagliare. Come riconoscerli mentre agiscono su di noi.
Chi c'è dall'altra parte
Un identikit psicologico di chi attacca: come ragiona, come sceglie il bersaglio, perché non percepisce il danno che provoca. Conoscere l'avversario cambia il modo di difendersi.
L'errore, la fretta, la vergogna
Perché chi sbaglia spesso non lo segnala — e come una cultura che punisce l'errore allunga i tempi di risposta a un incidente. Cosa può fare concretamente l'organizzazione.
Modulo per il vertice
Versione dedicata a organi di amministrazione e dirigenza, in coerenza con l'art. 23 del D.lgs. 138/2024: rischio cyber, responsabilità e ruolo della leadership nella cultura della sicurezza.
Obblighi formativi e NIS2
Il D.lgs. 138/2024, che recepisce la direttiva NIS2, all'art. 23 comma 2 prevede una formazione specifica in materia di sicurezza informatica per gli organi di amministrazione e direzione, che rispondono personalmente dell'inadempimento. Le specifiche di base adottate dall'ACN con la determinazione n. 379907/2025 — che dal 15 gennaio 2026 ha abrogato e sostituito la precedente n. 164179/2025 — includono inoltre una misura dedicata a sensibilizzazione e formazione del personale, che richiede un piano formativo definito e documentato, l'indicazione dei contenuti erogati, il tracciamento del personale formato e le modalità di verifica dell'apprendimento. I termini di adeguamento dipendono dalla coorte di inserimento nell'elenco NIS: per i soggetti inseriti nel 2025 la scadenza è il 31 ottobre 2026, da cui prende avvio anche la fase ispettiva dell'ACN.
Al termine di ogni intervento rilascio attestato di partecipazione, elenco dei contenuti erogati e materiale utile alla documentazione formativa. Resta inteso che la valutazione della conformità complessiva compete all'azienda e ai suoi consulenti in materia.
Formazione finanziata
Le imprese versano già per legge lo 0,30% del monte salari ai fondi interprofessionali (Fondimpresa e gli altri fondi di categoria). Sono risorse accantonate che, se non utilizzate, si perdono: in molti casi possono coprire interamente l'intervento formativo. Vale la pena verificarlo con il proprio consulente del lavoro prima di considerare il costo.
Come si attiva
- Primo confronto per capire settore, ruoli e criticità percepite.
- Proposta su misura: moduli, durata, destinatari, modalità (presenza o remoto).
- Erogazione dell'intervento.
- Consegna di attestati e documentazione dei contenuti.
Gli interventi sono di natura formativa e organizzativa e non costituiscono attività clinica né psicoterapia.