Ottobre è il mese europeo della cybersecurity e, quest’anno, uno dei temi centrali indicati dall’European Union Agency for Cybersecurity (ENISA) riguarda direttamente il mondo del lavoro: quanto sono preparate le persone ad affrontare i rischi informatici che incontrano ogni giorno?
Con la progressiva digitalizzazione delle attività aziendali, infatti, la sicurezza non dipende più soltanto dall’efficacia delle infrastrutture tecnologiche. Email, credenziali, applicazioni cloud, documenti condivisi e strumenti di collaborazione fanno parte della quotidianità di milioni di lavoratori e ogni interazione può diventare un possibile punto di ingresso per una minaccia informatica.
Le minacce informatiche coinvolgono tutti i settori
Il quadro delineato da ENISA nel Threat Landscape 2026 nasce dall’analisi di oltre 8.000 eventi e incidenti osservati tra gennaio e dicembre 2025. Il 73% delle organizzazioni prese di mira rientra tra le entità considerate essenziali o importanti secondo la definizione della NIS2. La Pubblica Amministrazione risulta il settore maggiormente coinvolto, seguita, tra gli altri, da servizi alle imprese, trasporti, manifattura e finanza.
Tra le minacce continuano ad avere un ruolo importante il ransomware, le violazioni dei dati, le frodi e tecniche di social engineering, che cercano di sfruttare la fiducia o il comportamento delle persone per ottenere informazioni, credenziali o accesso ai sistemi.
Phishing e messaggi fraudolenti restano quindi problemi estremamente concreti, ai quali si aggiungono modalità sempre più sofisticate e il crescente utilizzo dell’intelligenza artificiale anche da parte di soggetti malevoli.
Tre lavoratori su quattro incontrano contenuti sospetti
Particolarmente interessanti sono i dati richiamati da ENISA sulla consapevolezza dei lavoratori europei.
Secondo l’indagine citata dall’Agenzia, il 74% dei dipendenti dichiara di aver ricevuto email, messaggi, comunicazioni vocali o link sospetti nei sei mesi precedenti. Il phishing è la forma più frequentemente segnalata, ma vengono riportati anche tentativi di sottrarre dati personali, password, malware, ransomware e truffe generate con l’ausilio dell’intelligenza artificiale.
Il dato mostra quanto la cybersecurity sia diventata una questione quotidiana anche per chi non ricopre un ruolo tecnico.
Un impiegato amministrativo, una persona che lavora nelle risorse umane, un commerciale o un responsabile di funzione possono trovarsi di fronte a un tentativo di phishing esattamente come un professionista IT. La differenza può farla la capacità di riconoscere un comportamento anomalo e sapere come reagire.
La consapevolezza non sempre si traduce in formazione
L’indagine evidenzia anche un’apparente contraddizione.
L’83% dei lavoratori ritiene che un attacco informatico potrebbe avere conseguenze serie per la propria organizzazione, ma soltanto il 45% dichiara che la propria azienda diffonde regolarmente informazioni o aggiornamenti di sensibilizzazione sulla cybersecurity.
Allo stesso tempo, l’85% degli intervistati manifesta interesse a migliorare le proprie competenze.
Tra gli ostacoli alla formazione vengono indicati soprattutto il tempo disponibile durante il lavoro, i costi, la mancanza di informazioni sui percorsi formativi e, in alcuni casi, un supporto insufficiente da parte dell’organizzazione.
È proprio qui che la formazione assume un ruolo strategico: non si tratta di trasformare tutti i lavoratori in specialisti di sicurezza informatica, ma di costruire un livello di consapevolezza adeguato ai rischi reali.
Dalla cybersecurity tecnica alla cultura della sicurezza
Password robuste, autenticazione, aggiornamenti software e sistemi di protezione rimangono naturalmente indispensabili. Ma la tecnologia da sola non può impedire a una persona di aprire un allegato convincente, comunicare una credenziale o seguire le istruzioni contenute in un messaggio apparentemente autentico.
Per questo la cybersecurity deve diventare anche una competenza organizzativa diffusa.
Significa imparare a riconoscere i principali segnali di rischio, verificare richieste anomale, proteggere credenziali e informazioni, conoscere i canali interni per segnalare un incidente e comprendere le conseguenze che un comportamento apparentemente innocuo può produrre sull’intera organizzazione.
Lo stesso approccio emerge anche nella NIS2, dove sicurezza digitale, gestione del rischio, governance, responsabilità, gestione degli incidenti e ruolo delle persone sono strettamente collegati.
Formare le persone per rendere la sicurezza praticabile
Una delle sfide principali per le organizzazioni non è quindi soltanto definire procedure di sicurezza, ma fare in modo che queste siano comprese e applicabili nel lavoro quotidiano.
La formazione può contribuire attraverso esempi concreti, simulazioni, casi realistici e percorsi differenziati in funzione dei ruoli. L’obiettivo non dovrebbe essere semplicemente conoscere una definizione di phishing o ransomware, ma sapere riconoscere una situazione sospetta e adottare il comportamento corretto quando si presenta realmente.
Il Cybersecurity Month rappresenta quindi una buona occasione per ricordare un principio semplice: la sicurezza informatica è tanto più efficace quanto più le persone sanno riconoscere i rischi e comprendono il proprio ruolo nel prevenirli.
