Quello umano è ancora l'anello più debole della catena della cyber security, come dimostrano ampiamente la cronaca degli incidenti di sicurezza IT e soprattutto le strategie di attacco portate avanti dalla criminalità e dai threat actor. Per rendere più "solide" le persone di fronte ai pericoli che arrivano dalla rete la strada miawarenessgliore resta quella della formazione, motivo per cui l'italiana Sababa Security ha sviluppato il Sababa Awareness Program.

Si tratta di un piano di formazione e awareness in campo cyber security che vuole, spiega Sababa, "migliorare il livello di consapevolezza degli utenti finali verso le minacce derivanti dai cyber-attacchi". Se i cyber criminali cercano di sfruttare l’emotività degli utenti messi sotto pressione, una adeguata formazione permette - è il punto di vista di Sababa - di mantenere ragionevolmente alto il loro livello di attenzione quando diventano bersaglio di un attacco, anche semplicemente una campagna di phishing.

Il Sababa Awareness Program è personalizzabile in base alle esigenze della singola azienda, viene costantemente aggiornato in termini di argomenti, prevede attività integrate e ricorrenti di formazione e verifica. Tutto il programma si declina in cinque fasi successive: Blind Campaign, Training Program, Reporter, Targeted Campaign / Mixed Training, Program Review.

La Blind Campaign permette di comprendere il livello di conoscenza dell’intera azienda, tramite una raccolta di informazioni per definire l’ambiente e il suo perimetro, attivare la piattaforma di e-learning, costruire relazioni con gli interlocutori interni all’azienda coinvolti nello sviluppo del programma.

Il Training Program consiste nella definizione di un piano integrato di formazione in base ai risultati della Blind Campaign. Una volta approvato dall’azienda, il piano generalmente si svolge in un periodo di almeno 12 mesi e sfrutta diverse metodologie di formazione e verifica.

La fase Reporter è l’attivazione di un plugin per misurare l’effettiva capacità del personale aziendale di individuare campagne di phishing.

Targeted Campaign e Mixed Training sono due sottofasi integrate. La prima prevede campagne personalizzate in base alle esigenze del cliente e a quanto stabilito nella fase di programmazione. La seconda si basa su contenuti di formazione – specifici per livello di maturità, dipartimenti e ruolo aziendale – con un loro test di verifica.

La Program Review è un’analisi trimestrale dei risultati del programma, per analizzare l’andamento delle attività e definire, se necessario, azioni correttive sulla base degli obiettivi stabiliti nel piano generale.