Che cosa significa sicurezza centrata sulla persona
L'approccio parte da un'osservazione che la maggior parte dei team di sicurezza fa già nella pratica: sono le persone, e non i sistemi, a decidere se un controllo funziona. Una regola lenta, poco chiara o in conflitto con il lavoro viene aggirata, per quanto solida appaia sulla carta. Per questo usabilità, contesto e motivazione sono trattati come proprietà di sicurezza, accanto a cifratura e controllo degli accessi.
Non significa meno controlli e non coincide con la formazione di sensibilizzazione. È un'impostazione progettuale: i controlli vengono verificati su flussi di lavoro reali, spiegati nel momento in cui si applicano e perfezionati grazie ai riscontri. Il suo terreno naturale è il lato umano delle minacce interne, dove lo stesso dipendente può essere un attore distratto, il bersaglio di un attacco di ingegneria sociale o, di rado, un aggressore deliberato.
Perché i controlli solo tecnologici falliscono
I programmi che partono dalla tecnologia presumono che, esistendo la regola, le persone la seguano. In realtà un'attività bloccata raramente scompare: si sposta su un percorso che il team di sicurezza non vede, ed è così che Shadow IT e Shadow AI crescono anche in organizzazioni con policy rigide. Gli aggiramenti più comuni sono questi:
- Inviare un file di lavoro a un indirizzo personale perché lo strumento di condivisione approvato è lento
- Incollare una bozza o il messaggio di un cliente in un chatbot di IA pubblico per finire prima
- Condividere un account per non attendere l'approvazione di un accesso
- Evitare uno strumento di sicurezza che interrompe ogni attività
Principi fondamentali
L'approccio si descrive di solito con pochi principi. Sono abitudini progettuali condivise e non un unico standard formale, e fornitori e analisti li formulano in modi diversi.
| Principio | Che cosa significa | In pratica |
|---|---|---|
| Progettare per il lavoro realePartire da come si svolgono i compiti | I controlli nascono attorno ai compiti effettivi, non a un processo idealizzato | Parlare con i team e rivedere i flussi prima di scrivere una regola |
| Rendere facile la via sicuraMeno attrito dell'aggiramento | Il percorso approvato è almeno veloce quanto quello rischioso | Offrire uno strumento di condivisione autorizzato e rapido da usare |
| Spiegare al momento giustoContesto invece di un manuale | Le persone capiscono il motivo di una regola quando le riguarda | Un messaggio chiaro quando un'azione viene bloccata, con un contatto |
| Proporzionare al rischioRisposta adeguata | Controlli rigorosi per i dati di valore, mano leggera per il resto | Classificare prima i dati, poi adattare il controllo alla loro sensibilità |
| Leggere gli errori come segnaliImparare prima di sanzionare | Gli errori ripetuti mostrano dove un processo o uno strumento fallisce | Correggere la causa di un errore ricorrente, non solo la persona |
Come metterla in pratica
Un programma centrato sulla persona è un ciclo, non un rilascio unico. Si parta dalla classificazione dei dati, perché l'impegno segua il valore, e poi si ripeta lo stesso ciclo per ogni gruppo di controlli.
- 1
Mappare i flussi reali
Osservare come i team trattano davvero i dati sensibili, scorciatoie comprese.
- 2
Adattare i controlli al rischio
Applicare controlli rigorosi dove l'errore costa caro e controlli più leggeri e illustrativi altrove.
- 3
Guidare al momento giusto
Mostrare messaggi brevi e chiari quando un'azione è bloccata o rischiosa, con un passo successivo evidente.
- 4
Verificare e perfezionare
Vedere dove le persone aggirano o si bloccano e cambiare la regola o lo strumento, non solo la formazione.
Anello debole o persona al centro
La frase «le persone sono l'anello più debole» ricorre spesso nei discorsi sulla sicurezza e plasma la progettazione: se il problema sono le persone, la risposta è togliere loro le scelte. La sicurezza centrata sulla persona rovescia la domanda e si chiede perché la scelta sicura sia difficile. I due sguardi portano ad abitudini diverse.
| Aspetto | Visione dell'anello debole | Visione centrata sulla persona |
|---|---|---|
| Punto di partenza | Regole e strumenti | Compiti e flussi di lavoro |
| Un errore è | Una colpa individuale | Un segnale sul processo |
| Strumento principale | Restrizioni e sanzioni | Guida, impostazioni predefinite e riscontri |
| Ruolo dei dipendenti | Un rischio da contenere | Partecipanti attivi alla difesa |
| Misura del successo | Numero di azioni bloccate | Meno aggiramenti rischiosi e incidenti |
Come appare in Anexet
Anexet non sostituisce formazione e cultura, ma la sua console sostiene il ciclo centrato sulla persona. Una regola di blocco può mostrare una breve notifica sulla postazione del dipendente, con un testo scritto dall'amministratore, e l'accesso ai widget della dashboard e agli elenchi di utenti si configura per ruolo. Poiché Anexet Activity è installato in sede (on-premise), i dati dietro queste viste restano all'interno dell'organizzazione.
1 / 2
Equilibrio tra protezione e privacy
Osservare il comportamento solleva una domanda umana a sé: quanta visibilità è equa. Un programma centrato sulla persona intende il monitoraggio come proporzionato e trasparente. Il personale dovrebbe sapere che cosa viene raccolto e perché, l'accesso ai dati a livello individuale dovrebbe limitarsi ai ruoli che ne hanno bisogno e l'approfondimento dovrebbe seguire un allarme, non la curiosità.
Qui trova posto anche l'analisi del comportamento di utenti ed entità (UEBA): come modo per accorgersi di un cambiamento rispetto al normale schema della persona stessa, non come un verdetto su di essa. Le regole sul monitoraggio dei dipendenti e sui dati personali variano secondo il Paese e il datore di lavoro, per cui la verifica legale viene prima del rilascio, non dopo.
Un monitoraggio che il personale non comprende può danneggiare la fiducia da cui dipende l'intero approccio.
Da dove cominciare
Si cominci in piccolo e in modo concreto. Si scelga un tipo di dato di alto valore, si veda come le persone lo spostano davvero e si confronti il percorso approvato con le scorciatoie. Si elimini l'attrito che spinge verso la scorciatoia, poi si aggiungano controlli di prevenzione della perdita di dati (DLP) per ciò che resta, con messaggi che dicano che cosa è accaduto e che cosa fare dopo. Si rivedano i risultati con i team e si ripeta.
Un controllo che le persone capiscono viene seguito. Un controllo che non sanno spiegare viene aggirato.
Anexet TeamCome Anexet affronta questo
Anexet sostiene il ciclo centrato sulla persona dal lato tecnico. Fornisce visibilità e messaggi, mentre persone, processi e cultura restano il lavoro proprio dell'organizzazione.
Notifiche sui blocchi
Gli amministratori scrivono il testo che i dipendenti vedono sulle loro postazioni quando un trasferimento, un dispositivo o un programma viene bloccato.
Visibilità basata sul rischio
Risk Analysis, disponibile nel piano Premium, ordina i dipendenti per rischio, così l'attenzione va ai cambiamenti di comportamento e non all'attività quotidiana di tutti.
Accesso per ruolo
L'accesso ai widget della dashboard e agli elenchi di utenti si configura per gruppo di utenti, e ogni ruolo vede solo ciò che gli serve.
Anexet Activity
Scopri di più