Cybersicurezza: il ruolo delle emozioni nella protezione dei dati aziendali

La sicurezza informatica è una priorità per tutte le organizzazioni: secondo il Cost of Data Breach Report (IBM, 2024), nel 2023 il costo medio delle violazioni di dati ha raggiunto i 4,88 milioni di dollari a livello globale, con un incremento del 10% rispetto all’anno precedente (4,45 milioni) dovuto principalmente ad attacchi insider, ovvero quelli causati da soggetti interni all’organizzazione che utilizzano il proprio accesso aziendale ai sistemi.

I dipendenti, la prima linea di difesa delle aziende

Con l’evoluzione delle minacce che diventano sempre più sofisticate, sono chiamate a sensibilizzare i propri dipendenti sui rischi associati agli attacchi informatici. Anche se la maggior parte delle aziende ha un piano di iniziative volte a sensibilizzare i dipendenti sulla protezione dei sistemi informativi, il miglioramento delle pratiche di sicurezza non è certo assicurato (Sulaiman et al., 2022; Li et al., 2022). I dipendenti sono la prima linea di difesa, in quanto sono gli utenti finali di numerose applicazioni e sistemi aziendali: la protezione dalle minacce informatiche dipende in gran parte dal loro comportamento e dalla loro conformità alle politiche di sicurezza informatica. Come motivare i dipendenti a diventare più consapevoli, responsabili e informati sulla protezione dei dati aziendali?

L’impatto delle emozioni sulla sicurezza informatica

Diverse ricerche (ad esempio Sulaiman et al., 2022; Li et al., 2022; Alshammari et al., 2024) evidenziano come le emozioni abbiano un impatto significativo sul comportamento dei dipendenti perché condizionano le loro percezioni, scelte e risposte. Emozioni negative come ansia, paura e rabbia, compromettono la concentrazione, limitando la capacità di apprendere, ricordare e prendere decisioni. Mentre emozioni positive, come serenità e entusiamo, accrescono le capacità cognitive, come la flessibilità e la sensibilità ai segnali di pericolo, e inducono ad attuare comportamenti proattivi (Alshammari et al., 2024). Altri due fattori fondamentali in questo processo sono l’autoefficacia e la consapevolezza. La prima rappresenta la convinzione di riuscire a gestire sfide e rischi: emozioni negative tendono a ridurla, viceversa emozioni positive la rafforzano. La seconda riguarda la comprensione profonda e reale delle politiche, delle pratiche e dei rischi associati alla sicurezza informatica: un livello elevato di consapevolezza riduce l’impatto delle emozioni negative (Li et al., 2022). In generale, un calo delle capacità cognitive influisce negativamente su entrambe, col risultato che potrebbero esserci comportamenti inadeguati e negligenti (Li et al., 2022). In che modo vengono influenzate le azioni di protezione informatica?

La relazione tra emozioni e azioni: due modelli

Le teorie Broad and Build Theory (BBT) e Protection Motivation Theory (PMT) spiegano come l’interazione tra emozioni, autoefficacia e consapevolezza influenzi il comportamento dei dipendenti (Alshammari et al., 2024). La PMT, sviluppata da Rogers (1975) e successivamente aggiornata (Sulaiman et al., 2022; Li et al., 2022), è un modello che esplora i fattori che motivano le persone ad adottare comportamenti sicuri in ambito informatico.

Identifica cinque fattori principali:

• la gravità percepita di un attacco (es. infettare il computer con un virus tramite un allegato sospetto),
• la probabilità di vulnerabilità (es. essere vittima di un’e-mail di phishing),
• l’efficacia percepita della risposta (es. seguire procedure preventive),
• l’autoefficacia percepita (es. la convinzione di poter applicare misure di sicurezza) e
• i costi associati alla risposta (es. aderire alle policy di sicurezza).

Tutti questi fattori influenzano direttamente la motivazione alla protezione e, di conseguenza, le intenzioni e le azioni. La BBT sostiene che le emozioni influenzano la capacità di analizzare razionalmente l’ambiente e di rispondere in modo adattivo. Sono le emozioni positive quelle alla base di comportamenti virtuosi e costruttivi, di strategie utili e della capacità di sviluppare risorse.
Queste teorie sono considerate dai ricercatori come importanti riferimenti per valutare l’impegno nell’adottare azioni di protezione. Integrandole, si ottiene una comprensione più completa delle motivazioni e di cosa c’è dietro l’adozione di comportamenti sicuri (Alshammari et al., 2024).

Costruire una cultura della sicurezza informatica

Le organizzazioni potrebbero adottare un approccio che integri emozioni, autoefficacia e consapevolezza nella gestione della sicurezza informatica. In primo luogo, le iniziative formative potrebbero focalizzarsi sull’incremento della consapevolezza dei dipendenti, approfondendo la loro comprensione reale delle minacce e delle politiche aziendali. Le sessioni di formazione potrebbero utilizzare scenari realistici per stimolare apprendimento e  motivazione. Allo stesso tempo, l’autoefficacia può essere potenziata con esercitazioni pratiche che, mettendo ‘alla prova’, incrementano la fiducia nelle proprie capacità di gestire e prevenire le minacce.

Ridurre l’impatto delle emozioni negative

È poi fondamentale ridurre l’impatto delle emozioni negative, come ansia e frustrazione, che possono compromettere la reattività e la proattività. Inoltre, le comunicazioni interne dovrebbero rinforzare le norme sociali di protezione, ovvero facendo leva sull’influenza dei pari e sull’esempio di figure di riferimento all’interno dell’organizzazione. Infine, un monitoraggio continuo delle pratiche di sicurezza permetterà di identificare aree critiche, migliorando la gestione delle minacce e incentivando comportamenti sicuri (Sulaiman et al., 2022). La protezione dei sistemi e delle reti aziendali richiede un impegno condiviso da parte di tutti i membri dell’organizzazione a tutti i livelli: riuscire a salvaguardare dati e risorse digitali riguarda tutti.

Bibliografia

Alshammari, A., Benson, V., & Batista, L. (2024). The Influences of Employees’ Emotions on their Cyber Security Protection Motivation Behaviour: A Theoretical Framework. In 26th International Conference on Enterprise Information Systems.

Li, L., Xu, L., & He, W. (2022). The effects of antecedents and mediating factors on cybersecurity protection behavior. Computers in Human Behavior Reports, 5, 100165.

IBM, 2024. Cost of Data Breach Report.

Rogers, R. W. (1975). A protection motivation theory of fear appeals and attitude change1. The journal of psychology, 91(1), 93-114.

Sulaiman, N. S., Fauzi, M. A., Hussain, S., & Wider, W. (2022). Cybersecurity behavior among government employees: The role of protection motivation theory and responsibility in mitigating cyberattacks. Information, 13(9), 413.