Il fattore umano rappresenta ancora oggi il principale anello debole nella catena della sicurezza informatica, soprattutto quando si tratta di posta elettronica, abuso di identità e gestione impropria dei dati. Come identificare, misurare e ridurre, in modo continuativo e data-driven, le vulnerabilità scaturite dalle persone?
Non si tratta solo di adottare Email Security Gateway (SEG) evoluti con tecnologie avanzate di rilevamento contro phishing, attacchi BEC e minacce potenziate dall’intelligenza artificiale, ma anche di strutturare una formazione personalizzata sulla sicurezza in base al profilo di rischio effettivo di ciascun utente attraverso un approccio integrato finalizzato a: la riduzione del rischio; il rafforzamento della resilienza operativa; una risposta efficace agli incidenti di sicurezza.
In altre parole, il problema non è il fattore umano, ma l’assenza di un modello che riconosca i limiti cognitivi come parte integrante della sicurezza. Trattare le persone come estensioni degli strumenti non aumenta il controllo: lo erode. La sicurezza efficace nasce quando il design dei workflow tiene conto di come le decisioni vengono realmente prese sotto pressione.
Un tema che è ampiamente trattato in diversi contesti istituzionali – incluso durante il Cyber Security Summit di CLUSIT lo scorso marzo – che richiede l’adozione di strategie concrete, non di approcci meramente dichiarativi, oltre a programmi di formazione taylor-made.
Indice degli argomenti
Flussi di lavoro di sicurezza che gli umani non detestano
Dal recente report “Designing Security Workflows Humans Don’t Hate” della società di cyber security di Dubai Secure.com, emerge un punto chiave: i flussi di lavoro in ambito sicurezza non sono pensati per le persone, né per il modo in cui lavorano davvero. Al contrario, sono spesso modellati sulla struttura e sui limiti degli strumenti tecnologici utilizzati.
Un approccio realmente human‑first ribalta questa logica: mette in evidenza ciò che conta davvero, riduce gli attriti nelle azioni corrette e riserva il giudizio umano solo ai momenti in cui è realmente indispensabile, invece di richiederlo ovunque.
Inoltre, quando i processi di sicurezza finiscono per ostacolare il lavoro dei team anziché supportarlo, le persone tendono ad aggirarli o a non seguirli più. Ed è proprio in quel momento che nasce il rischio più grande.
Flussi di lavoro di sicurezza che allontanano le persone
La sicurezza non è un sistema difettoso, ma un sistema sovraccarico. Troppo spesso i flussi di lavoro di sicurezza trattano le persone come fossero macchine: ci si aspetta che gli analisti gestiscano centinaia di allarmi, passino continuamente da uno strumento all’altro e prendano decisioni rapide sotto pressione, per ore, ogni giorno.
Non sorprende quindi che oltre il 70% dei professionisti dei Security Operations Center (SOC) dichiari di aver preso in considerazione l’idea di lasciare il proprio ruolo, schiacciato dallo stress e da un volume di allarmi ormai ingestibile. Non è il segnale di team poco resilienti o insufficientemente preparati, bensì, la prova evidente di flussi di lavoro mal progettati.
La trappola della visibilità – Più dati non significa più sicurezza. Quando tutto viene segnalato come urgente, i team smettono di fidarsi dei propri strumenti. Le minacce davvero critiche si perdono nel rumore di fondo, sommerse da un flusso continuo di segnalazioni.
Secondo un recente sondaggio di Trend Micro, il 51% dei team SOC si dichiara sopraffatto dall’eccessivo volume di allarmi, mentre gli analisti arrivano a dedicare oltre il 25% del loro tempo alla gestione di falsi positivi. Ne consegue che, quando tutto sembra allo stesso livello di urgenza, nulla viene trattato come realmente urgente.
L’alert fatigue, però, non è un effetto collaterale inevitabile della complessità. È il sintomo di un sistema che scarica il proprio debito decisionale sugli operatori. Ogni falso positivo non è solo tempo perso, ma attenzione sottratta alle minacce reali evidenze.
L’attrito è un rischio per la sicurezza
È importante sottolineare che quando un flusso di lavoro è lento, confuso o ripetitivo, le persone finiscono per cercare scorciatoie. Non si tratta di pigrizia, ma di un istinto di sopravvivenza operativa. Nel momento in cui uno strumento diventa un ostacolo anziché un supporto, viene inevitabilmente aggirato ed è proprio in quel momento che nascono le vulnerabilità più pericolose. Di fatto, quando la sicurezza è progettata contro le persone, le persone finiscono per lavorare contro la sicurezza.
.
Fonte immagine: Secure.com – Security Workflows Humans Don’t Hate.
Le squadre di sicurezza hanno bisogno di un design del flusso di lavoro migliore
I team di cybersecurity sono sopraffatti da un volume eccessivo di alert, che finisce per compromettere l’efficacia delle operazioni di sicurezza. Spesso la risposta a ciò è l’introduzione di strumenti più potenti o intelligenze artificiali più sofisticate, ma questo non basta se il flusso di lavoro di sicurezza non supporta – o addirittura ostacola – chi lo utilizza ogni giorno.
Ripensare i flussi di lavoro di cyber security: le tre direttrici chiave
Si tratta di ripensare i flussi di lavoro e ciò comporta agire su tre direttrici chiave e strategiche, fondamentali per ridurre il sovraccarico operativo e migliorare l’efficacia della risposta agli incidenti.
Direttrice 1 – Dare priorità al segnale, non al volume – Un modello di sicurezza efficace deve ridurre il rumore informativo e mettere in evidenza ciò che conta davvero. Il punteggio degli alert basato sul rischio, l’arricchimento contestuale e la correlazione comportamentale distinguono le minacce reali dal “rumore” informativo. Si ritiene che le organizzazioni che adottano sistemi di filtraggio intelligente riescano a ridurre fino all’80% gli avvisi, senza compromettere la qualità del rilevamento.
Direttrice 2 – Integrare la sicurezza negli strumenti già utilizzati – Ogni nuovo cruscotto introduce un ulteriore carico cognitivo. La sicurezza funziona meglio quando è integrata negli strumenti che le persone usano quotidianamente, quali: Slack, Jira o l’email. Di fatto, quando gli analisti possono gestire escalation, approvare risposte e chiudere incidenti, senza cambiare ambiente di lavoro, l’attrito operativo diminuisce e l’efficienza complessiva aumenta.
Direttrice 3 – Fornire contesto, non solo attività– Chiedere a un team di “risolvere una vulnerabilità”, senza fornire contesto sul rischio, sull’impatto e sul perimetro dell’incidente porta inevitabilmente alla “de‑prioritizzazione”. Il contesto trasforma un ticket in una decisione. Al contrario, alert che mostrano l’asset coinvolto, la classificazione della minaccia, ciò che è accaduto prima e dopo l’evento e l’azione raccomandata, permettono agli analisti di intervenire più rapidamente e con maggiore sicurezza.
Il ruolo dell’essere umano nel flusso della cyber security: come ottimizzarlo
Le soluzioni di cyber security basate sull’automazione sono fondamentali per gestire tutte quelle attività che non richiedono giudizio umano, come la correlazione degli eventi ricorrenti, la raccolta delle evidenze, l’instradamento dei ticket e i follow‑up operativi. Si tratta di compiti indispensabili, ma estremamente onerosi dal punto di vista cognitivo.
Inoltre, come si evince dal report di Secure.com, le organizzazioni che automatizzano questi flussi di lavoro registrano in genere un miglioramento del 45–55% del tempo medio di risposta (MTTR – Mean Time to Recovery) e una riduzione fino al 70% del carico legato al triage manuale. Un tempo prezioso che viene restituito agli analisti, permettendo loro di concentrarsi sulle attività che richiedono davvero competenze, esperienza e comprensione del contesto umano: approvazioni ad alto rischio, decisioni di escalation e valutazioni sui compromessi di rischio, ambiti in cui l’intervento umano resta insostituibile.
È però fondamentale distinguere tra automazione cieca e automazione intelligente. La prima si limita a replicare processi inefficienti su scala maggiore, accelerando il rumore anziché ridurlo. La seconda, invece, è progettata per supportare il giudizio umano: filtra, prioritizza, contestualizza e interviene solo dove ha senso farlo. L’automazione efficace non sostituisce le persone, ma le libera dal superfluo, amplificando il valore delle loro decisioni.
Inoltre, un design intelligente dei flussi di lavoro di cybersecurity protegge l’attenzione umana proprio nei momenti a più alto valore strategico. La sicurezza evolve attorno a un principio chiave: governance e usabilità non sono in contrapposizione. Ogni azione è tracciabile, ogni decisione è spiegabile e ogni flussi di lavoro è progettato per consentire agli analisti di concentrarsi su ciò che conta davvero, senza disperdere tempo ed energie nel rumore operativo.
Ancora, oggi il mercato offre soluzioni di cybersecurity capaci di integrarsi nativamente con gli ecosistemi tecnologici esistenti, quali: strumenti di sicurezza (i.e. SIEM ed EDR), piattaforme cloud (i.e. AWS, Azure, GCP), sistemi di ticketing i.e. (Jira, ServiceNow) e strumenti di collaborazione (i.e. Slack, Microsoft Teams). Tali soluzioni forniscono riepiloghi strutturati delle indagini, evidenziano i casi che richiedono una decisione umana e gestiscono automaticamente tutte le attività ripetitive, mantenendo una tracciabilità completa a fini di audit. Un approccio che consente di ottenere benefici concreti e misurabili.
Benefici chiave di un design intelligente dei flussi di lavoro di cyber security
L’approccio sopra descritto consente di ottenere i benefici concreti e misurabili, come di seguito descritti.
Triage e arricchimento automatici – Le piattaforme moderne filtrano gli alert ripetitivi e gestiscono in autonomia gli eventi a bassa gravità, riducendo fino al 70% il carico di lavoro del triage manuale.
Vista unificata per gli analisti – Tutte le informazioni rilevanti — asset coinvolti, threat intelligence e incidenti correlati — sono disponibili in un’unica interfaccia, eliminando il continuo passaggio tra strumenti diversi.
Playbook di risposta senza codice – I team possono creare, aggiornare ed evolvere i playbook di risposta agli incidenti senza scrivere codice, accelerando l’adattamento a nuove minacce.
Automazione controllata delle azioni operative – Le azioni ad alto impatto richiedono l’approvazione esplicita degli analisti, mentre le attività di routine e a basso rischio vengono automatizzate, sempre con tracciabilità completa ai fini di audit.
Decisioni spiegabili e verificabili – Ogni passaggio è tracciabile, verificabile e reversibile: anche in presenza di un’elevata automazione, la sicurezza resta governata, trasparente e conforme.
In sintesi, la sicurezza non fallisce perché i difensori smettono di impegnarsi, ma quando strumenti e flussi di lavoro rendono il loro operato inutilmente complesso. Al contrario, quando i flussi di lavoro funzionano e sono affidabili, le persone li adottano davvero e la postura di sicurezza diventa concreta, non solo un indicatore formale in un report di conformità.
Pertanto, il futuro delle operazioni di cybersecurity non dipende esclusivamente da un’intelligenza artificiale più avanzata, ma da un design dei flussi di lavoro più intelligente e centrato sulle persone.
Quantità e complessità non è sinonimo di cyber security
I flussi di lavoro aggirati non sono solo un problema operativo, ma un rischio concreto per la cyber security. Più alert non equivalgono a maggiore sicurezza: segnali prioritari, arricchiti di contesto, sono sempre più efficaci del rumore ad alto volume.
L’attrito, quindi, non è un limite delle persone, ma un problema di progettazione dei workflow. Quando il design è corretto e costruito sull’uso reale, la scelta più sicura diventa anche la più semplice da compiere e, proprio per questo, quella che viene naturalmente seguita.
Tale cambio di paradigma diventa ancora più urgente, se si considera il contesto attuale: ambienti cloud sempre più distribuiti, SOC moderni chiamati a gestire minacce amplificate dall’AI e una carenza strutturale di talenti in cybersecurity. Inoltre, in uno scenario in cui fare di più con meno non è una scelta, ma una necessità, progettare flussi di lavoro che rispettino il modo reale in cui le persone operano non è più un’opzione, ma una condizione essenziale di resilienza.
La sicurezza efficace non impone comportamenti: rende la scelta giusta la più semplice.
Non solo tool di cyber security, ma anche una formazione adeguata
Dotare i team di cyber security di strumenti avanzati è una condizione necessaria, ma non sufficiente. Senza una formazione adeguata e allineata alle reali condizioni operative di ogni organizzazione, anche le tecnologie più sofisticate rischiano di essere sottoutilizzate o applicate in modo inefficace.
La vera svolta non sta nell’adottare piattaforme sempre più potenti, ma nel costruire competenze solide e contestualizzate, che consentano ai professionisti di usare i tool, non come semplici interfacce operative, ma come leve strategiche governate con consapevolezza e precisione.
Conoscere davvero uno strumento significa sapere quando utilizzarlo, come integrarlo nel flusso di lavoro e perché rappresenta la risposta più efficace a una specifica minaccia. Una capacità che non nasce dall’esperienza occasionale, ma da una formazione mirata, progettata sui ruoli, sugli ambienti reali e sulle TTP (Tactics, Techniques and Procedures) degli attaccanti che i team affrontano quotidianamente.
Il beneficio più rilevante di questo approccio è la liberazione di tempo e di attenzione. DI fatto, quando i professionisti sfruttano appieno automazione, threat intelligence e capacità analitiche dei tool, possono concentrarsi sulle attività a maggior valore: l’analisi critica dei segnali deboli, il ragionamento adversarial, la gestione degli incidenti complessi e la definizione di strategie difensive proattive.
La cybersecurity, così, smette di essere un insieme di operazioni manuali e ripetitive e diventa ciò che dovrebbe essere: una disciplina guidata dalla competenza, dal contesto e dal giudizio umano.
Conclusione
Il futuro della cyber security non dipende esclusivamente da tecnologie sempre più avanzate, ma da flussi di lavoro progettati in modo intelligente e realmente centrati sulle persone. Governance e usabilità non sono in contrapposizione: sono fattori complementari per costruire una sicurezza efficace e sostenibile.
Inoltre, in questo contesto, anche la formazione deve evolvere per generare risultati concreti. Come evidenzia Isabella Corradini nel libro “Building a Cybersecurity Culture in Organizations – How to Bridge the Gap Between People and Digital Technology”, la cyber security è stata a lungo interpretata come una questione prevalentemente tecnologica. In realtà, la sicurezza informatica inizia dal miglioramento del rapporto tra le persone e le tecnologie digitali.
Pertanto, adottare un approccio realmente efficace significa sviluppare una visione olistica della cyber security, capace di andare oltre gli strumenti e tradursi in comportamenti consapevoli. Solo così le organizzazioni possono rafforzare la propria resilienza informatica, attraverso programmi di formazione continua, personalizzata e contestualizzata, supportati da una comunicazione interna chiara ed efficace.
Ancora, quando le persone sono adeguatamente formate e coinvolte in modo attivo, non rappresentano un anello debole della catena di sicurezza. Al contrario, diventano la prima e più solida linea di difesa.
In definitiva, la sicurezza non fallisce perché i difensori smettono di impegnarsi, ma quando strumenti e flussi di lavoro rendono il loro lavoro inutilmente complesso.
Continuare a progettare sistemi che funzionano solo se le persone compensano costantemente le loro inefficienze non è più sostenibile. Né per i team, né per la sicurezza. La sicurezza efficace non impone comportamenti: rende la scelta giusta la più semplice. Pertanto, si tratta di investire in design intelligente dei processi e in formazione continua e contestualizzata quale scelta più concreta per rafforzare la resilienza informatica.
Partecipa alla community