Formazione MSP: Con quale frequenza e di che tipo?

Secondo il rapporto Evolving Landscape of the MSP 2024 di Barracuda Network, il 38% dei fornitori di servizi gestiti (MSP) offre formazione sulla consapevolezza della sicurezza (SAT). Tuttavia, gli esperti affermano che la percentuale dovrebbe essere molto più alta a causa dell'alto ritorno sull'investimento (ROI), e la SAT è anche un buon richiamo per nuovi clienti. Lo stesso rapporto ha mostrato che il 24% degli MSP ha riferito che la SAT era uno dei motivi di attrazione per nuovi clienti.

Secondo Keepnet Labs, la formazione sulla consapevolezza della sicurezza informatica ha portato a una riduzione del 70% dei rischi legati alla sicurezza nel 2023. Secondo CyberPllot, questa formazione può comportare un risparmio medio di $149 all'anno per dipendente. La maggior parte degli esperti SmarterMSP.com con cui ha parlato afferma che la formazione sulla cybersecurity, se effettuata regolarmente, è il modo più conveniente per prevenire le violazioni. La maggior parte degli esperti concorda sul fatto che la formazione dovrebbe essere coinvolgente e divertente e rendere i lavoratori partner e stakeholder nella sicurezza informatica dell'azienda.

Formazione sulla sicurezza informatica come linea di difesa critica

Anthony Haggarty, ingegnere della sicurezza per un MSP, sottolinea il ruolo cruciale della formazione sulla sicurezza. “Gli attacchi informatici sono in aumento e il costo per le aziende sta crescendo. Purtroppo, molti di questi attacchi hanno successo grazie a una fonte di rischio importante per ogni azienda: i suoi dipendenti,” dice Haggarty, notando che i dipendenti sono un importante fattore di rischio per le aziende, dal aprire un'email al cliccare su un allegato al trasferire fondi. “Ma è un rischio che può essere mitigato in modo efficace ed economico con un piano di formazione e consapevolezza sulla sicurezza.”

Haggarty sottolinea che è difficile assegnare un importo in dollari al ROI della formazione sulla sicurezza informatica dei dipendenti quando si misurano gli effetti di qualcosa che non è accaduto. Pertanto, un MSP e i suoi clienti devono considerare la formazione sulla sicurezza informatica come una sorta di polizza assicurativa che limita i danni futuri. "Con il panorama delle minacce odierno, un attacco informatico è praticamente certo, quindi la formazione sulla sicurezza informatica dei dipendenti è una polizza assicurativa che non è opzionale." Raccomanda che gli MSP conducano corsi di formazione sulla sicurezza almeno trimestralmente.

Approcci alla formazione

Jonathan Hansen, CEO di MSP con sede nello Stato di Washington, sottolinea anche l'importanza della formazione. "Abbiamo visto in prima persona come la gamification e gli standard strutturati trasformano i dipendenti nella prima linea di difesa di un'azienda, riducendo il rischio e rafforzando la sua postura complessiva di sicurezza. Abbiamo anche visto le conseguenze sfortunate delle aziende che trascurano la formazione sulla cybersecurity."

Paige Hanson, esperto IT, concorda sul fatto che la migliore formazione sia continua. “La formazione sulla sicurezza informatica non può essere un esercizio una tantum. Deve essere continua, adattiva e coinvolgente.” Aggiunge che il miglior approccio è quello di variare i metodi di formazione durante tutto l'anno e utilizzare metodi diversi per coinvolgere i dipendenti. Alcuni suggerimenti di Hanson e le sue riflessioni su di essi.

• Pranzi di apprendimento: Questi sono fantastici perché stimolano discussioni.
  Formazione specifica per ruolo: Questi programmi la rendono pertinente a quel dipartimento e gruppo invece di una formazione generica, che potrebbe non essere rilevante per le persone che partecipano.
• Altoparlanti esterni: Un oratore avvincente può portare nuove intuizioni
• Esercizi di simulazione: Preparare i team per gli incidenti.

Hanson afferma inoltre che gli MSP possono sfruttare le giornate di sensibilizzazione dell'industria. "Queste sono un'ottima opportunità per coinvolgere!" Tra queste vi sono:

• Settimana Nazionale della Protezione dei Consumatori (2-8 marzo)
• Giornata Mondiale del Backup (31 mar)
• Giornata della gestione dell'identità (8 aprile)
• Giornata Mondiale delle Password (1 maggio)
• Mese della sensibilizzazione sulla sicurezza informatica (Ottobre)
• Settimana Internazionale della Consapevolezza delle Frodi (16-22 Nov)

Formazione continua e coinvolgente sulla sicurezza informatica per MSP

Nel frattempo, Mike Estep, VP delle Comunità presso MSP di Denver, Blackpoint Cyber, ritiene che la formazione sulla sicurezza informatica dovrebbe essere obbligatoria per tutti i dipendenti. "Il tempo di aggiornamento dipende dal tipo di formazione, quindi per i framework di conformità dovrebbe essere annuale, a meno che un framework cambi richiedendo ulteriori passaggi aggiuntivi", afferma.

Per la formazione specifica del prodotto come Microsoft 365, Estep dice che Blackpoint lo ha trasformato in un gioco e ha offerto corsi che venivano aggiornati regolarmente ogni 90 giorni. Per quanto riguarda la formazione sulle competenze aziendali, Blackpoint cerca di offrire aggiornamenti ogni quattro-sei mesi, non proprio nuove versioni, ma aggiornamenti. "Per i clienti, forniamo formazione sulle applicazioni come parte dei nostri servizi. Crediamo che se i nostri clienti potessero utilizzare un prodotto meglio, allora considererebbero l'aiuto per l'efficienza come una ragione per cui eravamo il miglior MSP", spiega. Estep aggiunge che i framework di conformità dovevano sempre passare attraverso altri fornitori per la reportistica relativa agli audit. "È lo stesso per cose come la Formazione sulla Consapevolezza della Sicurezza. La formazione è importante, ma la tua capacità di superare un audit è il motivo per cui ci piacciono le aziende specializzate nella reportistica di conformità SAT."

Con l'evoluzione del panorama degli attacchi informatici, la formazione continua, coinvolgente e personalizzata non è più facoltativa ma essenziale. Che si tratti di sessioni trimestrali o di apprendimento gamificato, aggiornamenti regolari e metodi di formazione adattivi possono permettere ai dipendenti di diventare la prima linea di difesa. In definitiva, gli MSP che danno priorità all'educazione alla sicurezza informatica rafforzeranno la loro postura di sicurezza e costruiranno un successo a lungo termine per sé stessi e per i loro clienti.

Nota: L'articolo è apparso originariamente su SmarterMSP.com.