Consapevolezza come capacità operativa
Le persone incontrano email, allegati, credenziali, richieste urgenti e dispositivi ogni giorno. Una formazione generica e annuale non basta a trasformare conoscenza in comportamento. La soluzione Prodigys costruisce programmi per ruolo, simulazioni controllate e un canale di segnalazione collegato al presidio.
Le campagne non servono a creare classifiche punitive. Click, inserimenti e segnalazioni vengono interpretati insieme a processo, interfacce e comunicazione. Il follow-up combina formazione mirata e correzioni tecniche o organizzative.
Analisi di ruoli e comportamenti
Si individuano ruoli, strumenti, dati e situazioni esposte: amministratori, personale, dirigenti, collaboratori e operatori esterni. Incidenti, segnalazioni e procedure esistenti aiutano a definire priorità.
Il programma distingue conoscenze comuni e competenze specifiche. Canali e tempi tengono conto del lavoro reale. La baseline non giudica le persone ma misura dove servono istruzioni, strumenti o processi migliori.
- ruoli e contesti;
- scenari ricorrenti;
- competenze attese;
- baseline e priorità.
Programma formativo
Moduli brevi affrontano phishing, credenziali, dispositivi, dati, lavoro remoto, social engineering e segnalazione. Esempi e linguaggio riflettono l'organizzazione. I responsabili trattano rischio, decisioni e risposta.
Quiz, discussioni ed esercizi verificano comprensione e capacità di agire. Materiali accessibili e sessioni di recupero sostengono diversi ruoli. Le procedure interne vengono incluse, così la formazione indica sempre che cosa fare.
- moduli comuni e per ruolo;
- esempi contestualizzati;
- esercizi e verifiche;
- procedure e contatti.
Simulazioni phishing controllate
Scenari, destinatari, periodo e dati raccolti vengono approvati prima della campagna. I messaggi evitano contenuti sproporzionati e proteggono le persone. Tecnica e comunicazione sono coordinate con i referenti.
Gli eventi misurati includono ricezione, interazione e segnalazione. I risultati sono aggregati quando possibile e non usati per umiliare. Problemi di recapito o strumenti vengono separati dal comportamento.
- piano e approvazione;
- scenari proporzionati;
- raccolta dati controllata;
- gestione sicura dei risultati.
Segnalazione e risposta
Il canale di segnalazione deve essere semplice e conosciuto. Gli utenti ricevono conferma e indicazioni, mentre il presidio raccoglie messaggio, allegati e contesto necessari al triage. Le segnalazioni reali e simulate sono gestite senza confusione.
Tempi, ruoli ed escalation vengono provati. Una segnalazione utile può attivare blocchi, comunicazioni o verifiche. Gli utenti vengono incoraggiati a segnalare dubbi senza timore di colpa.
- canale e istruzioni;
- triage e priorità;
- feedback agli utenti;
- integrazione con incident response.
Analisi e follow-up
I risultati vengono segmentati per scenario e ruolo e letti con limiti e contesto. Un click può dipendere da messaggio, pressione o interfaccia; una mancata segnalazione può indicare un canale poco accessibile. Le conclusioni combinano dati e feedback.
Il follow-up prevede microformazione, esercizi, miglioramenti delle email, autenticazione o procedure. Le azioni hanno proprietari e scadenze. Una campagna successiva verifica cambiamenti senza pretendere confronti perfetti tra scenari differenti.
- analisi contestuale;
- formazione mirata;
- azioni tecniche e organizzative;
- nuove prove.
Governance e continuità
Calendario, contenuti, partecipazione e risultati vengono mantenuti. Nuovi assunti e cambi di ruolo attivano percorsi. Fornitori e collaboratori vengono inclusi secondo accessi e rischi.
Revisioni collegano formazione, incidenti e cambi del contesto. I materiali vengono aggiornati e le campagne documentate. Il programma diventa continuo e proporzionato, non una serie di eventi isolati.
- calendario e registri;
- onboarding e cambi ruolo;
- fornitori e terze parti;
- riesame periodico.
Adozione, governo ed evoluzione
La consegna comprende matrice dei ruoli, programma, materiali, procedure di segnalazione, piano delle simulazioni, risultati e azioni. Un riesame verifica partecipazione, segnalazioni, tempi di triage e completamento del follow-up. Le persone ricevono indicazioni pratiche e i responsabili un quadro aggregato. Le azioni su strumenti e processi vengono seguite insieme a quelle formative, evitando di attribuire agli utenti problemi favoriti dall'organizzazione.
Controlli operativi e continuità
Le campagne successive vengono progettate su obiettivi specifici e confrontate soltanto quando scenario e popolazione lo consentono. Incidenti reali e nuove modalità di attacco aggiornano esempi e procedure. La documentazione conserva finalità, approvazioni, dati raccolti e tempi di conservazione. Il programma mantiene così fiducia, proporzionalità e collegamento con il governo della sicurezza.
Il programma include anche prove per nuovi assunti, collaboratori temporanei e persone che cambiano ruolo. I contenuti vengono adattati agli accessi e alle decisioni richieste, senza imporre lo stesso percorso a tutti. Le segnalazioni vengono campionate per verificare che il presidio risponda con indicazioni utili e nei tempi attesi. Incidenti reali, quasi incidenti e richieste di supporto aggiornano gli esempi. Gli interventi tecnici che riducono il rischio, come miglioramenti di autenticazione o interfaccia, vengono tracciati insieme alla formazione. Ogni ciclo si chiude con azioni, responsabilità e data di verifica, mantenendo continuità tra apprendimento e governo della sicurezza.
La verifica comprende la qualità del follow-up: le persone devono ricevere indicazioni coerenti e sapere come comportarsi in un caso reale. Responsabili e presidio controllano che le azioni tecniche promesse siano concluse e che i materiali riflettano gli strumenti correnti. Vengono inoltre riesaminati permessi sui risultati, dati conservati e comunicazioni, proteggendo la fiducia necessaria perché gli utenti continuino a segnalare senza timore.
