Secondo la ricerca dell'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano (2026), il 96% dei CISO italiani identifica la gestione del fattore umano come la prima criticità aziendale. Non le tecnologie obsolete né i firewall mal configurati, ma le persone.
Il paradosso è che le persone nella vita quotidiana proteggono istintivamente casa, portafoglio e oggetti di valore, eppure online abbassano la guardia: cliccano su link sospetti, riutilizzano password deboli e condividono dati sensibili con leggerezza. Non è superficialità, è una dissonanza cognitiva tra il mondo fisico, in cui i riflessi di sicurezza sono già automatici, e il mondo digitale, dove quei riflessi non si sono ancora formati.
Un dipendente non adeguatamente formato non è un punto debole inevitabile: è un human firewall potenziale mai attivato. Con il giusto metodo, il fattore umano può trasformarsi dalla vulnerabilità più diffusa alla risorsa più potente per proteggere la rete aziendale.
Il 74% delle aziende non fornisce alcuna formazione strutturata in cybersecurity ai dipendenti (European Commission, 2024). Anche chi la fornisce può non ottenere i risultati desiderati: solo il 2% degli attacchi di phishing viene evitato grazie ai modelli formativi tradizionali (University of Chicago, 2025).
I limiti dei modelli attuali sono tre:
1. Assenza di continuità: la formazione avviene una tantum e in modo passivo. Il cervello dimentica rapidamente le informazioni che non vengono rinforzate nel tempo, è quello che la neuroscienza chiama "curva dell'oblio".
2. Contenuto uniforme: un CEO esposto a spear phishing e un neoassunto ricevono lo stesso corso standardizzato ma le esigenze, i ruoli e i livelli di esposizione al rischio sono radicalmente diversi.
3. Mancanza di coinvolgimento: slide noiose e quiz puramente nozionistici non stimolano il cambiamento comportamentale.
Le evidenze neuroscientifiche dimostrano che per trasformare l'apprendimento in un riflesso automatico servono tre elementi combinati:
Il percorso che trasforma la conoscenza in comportamento automatico passa attraverso tre fasi: codifica (l'informazione entra nella memoria a breve termine), consolidamento (attraverso ripetizione ed emozione, si sposta in quella a lungo termine) e automatizzazione (il comportamento diventa un riflesso, senza sforzo cognitivo cosciente).
La maggior parte dei programmi si ferma alla prima fase, l’obiettivo è raggiungere la terza.
Per rispondere a questa sfida, Cyberoo ha sviluppato KEATRIX - Human Risk & Security TrAIning Platform: una piattaforma evolutiva che non si limita a trasmettere contenuti, ma genera un cambiamento comportamentale duraturo. Il nome unisce due riferimenti culturali emblematici: il professor Keating di L'attimo fuggente, simbolo di apprendimento critico e libero, e Neo di Matrix, che sceglie la conoscenza autentica al posto del conformismo.
Il metodo scientifico alla base di KEATRIX si chiama NELP (Neuroscientific Learning Pattern) e si articola in quattro fasi progressive:
I pilastri della piattaforma:
Una cultura della sicurezza informatica non si misura con le percentuali di completamento dei corsi, ma con cambiamenti comportamentali osservabili. Gli indicatori rilevanti includono il tasso di segnalazione degli incidenti, la riduzione degli errori ripetuti, i tempi di reazione agli stimoli critici e le performance nei test di phishing simulato.
KEATRIX monitora questi parametri in modo continuo, fornendo al management dati concreti per decisioni basate sul rischio reale. Il Return on Security Investment (ROSI) si calcola in riduzione misurabile degli incidenti e aumento della resilienza organizzativa. Gartner prevede che le aziende che adottano un approccio human-centric possono ridurre gli incidenti fino al 30%.
Nel 2026 le minacce informatiche sfruttano sempre più il fattore umano: deepfake, clonazione vocale, agenti AI autonomi capaci di gestire fino al 90% di una catena d'attacco senza alcun intervento umano. In questo scenario, la cultura della sicurezza non è un obbligo burocratico imposto dal reparto IT ma un vantaggio competitivo per l’azienda.
Ogni dipendente che impara a riconoscere un tentativo di phishing, a verificare l'identità di chi richiede dati sensibili, a segnalare comportamenti sospetti, diventa un livello aggiuntivo di difesa, la resilienza cresce e l'azienda continua a operare anche mentre l'attacco è in corso.
Per saperne di più su come il metodo NELP e KEATRIX possono trasformare l’approccio alla difesa nella tua organizzazione, scarica il nuovo ebook di Cyberoo "KEATRIX - Human Risk & Security TrAIning Platform".