Cybersicurezza: il ruolo delle emozioni nella protezione dei dati aziendali

I dipendenti, la prima linea di difesa delle aziende

Con l’evoluzione delle minacce che diventano sempre più sofisticate, sono chiamate a sensibilizzare i propri dipendenti sui rischi associati agli attacchi informatici. Anche se la maggior parte delle aziende ha un piano di iniziative volte a sensibilizzare i dipendenti sulla protezione dei sistemi informativi, il miglioramento delle pratiche di sicurezza non è certo assicurato (Sulaiman et al., 2022; Li et al., 2022). I dipendenti sono la prima linea di difesa, in quanto sono gli utenti finali di numerose applicazioni e sistemi aziendali: la protezione dalle minacce informatiche dipende in gran parte dal loro comportamento e dalla loro conformità alle politiche di sicurezza informatica. Come motivare i dipendenti a diventare più consapevoli, responsabili e informati sulla protezione dei dati aziendali?

L’impatto delle emozioni sulla sicurezza informatica

Diverse ricerche (ad esempio Sulaiman et al., 2022; Li et al., 2022; Alshammari et al., 2024) evidenziano come le emozioni abbiano un impatto significativo sul comportamento dei dipendenti perché condizionano le loro percezioni, scelte e risposte. Emozioni negative come ansia, paura e rabbia, compromettono la concentrazione, limitando la capacità di apprendere, ricordare e prendere decisioni. Mentre emozioni positive, come serenità e entusiamo, accrescono le capacità cognitive, come la flessibilità e la sensibilità ai segnali di pericolo, e inducono ad attuare comportamenti proattivi (Alshammari et al., 2024). Altri due fattori fondamentali in questo processo sono l’autoefficacia e la consapevolezza. La prima rappresenta la convinzione di riuscire a gestire sfide e rischi: emozioni negative tendono a ridurla, viceversa emozioni positive la rafforzano. La seconda riguarda la comprensione profonda e reale delle politiche, delle pratiche e dei rischi associati alla sicurezza informatica: un livello elevato di consapevolezza riduce l’impatto delle emozioni negative (Li et al., 2022). In generale, un calo delle capacità cognitive influisce negativamente su entrambe, col risultato che potrebbero esserci comportamenti inadeguati e negligenti (Li et al., 2022). In che modo vengono influenzate le azioni di protezione informatica?

La relazione tra emozioni e azioni: due modelli

Le teorie Broad and Build Theory (BBT) e Protection Motivation Theory (PMT) spiegano come l’interazione tra emozioni, autoefficacia e consapevolezza influenzi il comportamento dei dipendenti (Alshammari et al., 2024). La PMT, sviluppata da Rogers (1975) e successivamente aggiornata (Sulaiman et al., 2022; Li et al., 2022), è un modello che esplora i fattori che motivano le persone ad adottare comportamenti sicuri in ambito informatico.

Identifica cinque fattori principali:

• la gravità percepita di un attacco (es. infettare il computer con un virus tramite un allegato sospetto),
• la probabilità di vulnerabilità (es. essere vittima di un’e-mail di phishing),
• l’efficacia percepita della risposta (es. seguire procedure preventive),
• l’autoefficacia percepita (es. la convinzione di poter applicare misure di sicurezza) e
• i costi associati alla risposta (es. aderire alle policy di sicurezza).

Tutti questi fattori influenzano direttamente la motivazione alla protezione e, di conseguenza, le intenzioni e le azioni. La BBT sostiene che le emozioni influenzano la capacità di analizzare razionalmente l’ambiente e di rispondere in modo adattivo. Sono le emozioni positive quelle alla base di comportamenti virtuosi e costruttivi, di strategie utili e della capacità di sviluppare risorse.
Queste teorie sono considerate dai ricercatori come importanti riferimenti per valutare l’impegno nell’adottare azioni di protezione. Integrandole, si ottiene una comprensione più completa delle motivazioni e di cosa c’è dietro l’adozione di comportamenti sicuri (Alshammari et al., 2024).

Costruire una cultura della sicurezza informatica