Come 3 minuti a settimana di formazione di SoSafe sulla cybersecurity awareness hanno aiutato Freudenberg a reagire dopo aver evitato un tentativo di frode da 2 milioni di euro

Freudenberg Home and Cleaning Solutions GmbH ha integrato la cybersecurity awareness nella cultura aziendale, rendendo la formazione accessibile direttamente tramite le caselle di posta dei dipendenti.

Tasso di clic:

riduzione dell’82,5% (in 18 mesi)

Valutazione dei dipendenti su SoSafe:

4,8/5

Tempo di inserimento:

2 giorni

Prodotti:

Micro-learning Personalizzato
Simulazioni di Phishing e Phishing Report Button

Richiedi una demo

Freudenberg Home and Cleaning Solutions GmbH, parte del gruppo familiare Freudenberg, è conosciuta per marchi noti come Vileda®. Con una storia di 170 anni che ebbe inizio con una conceria a Weinheim, il gruppo è diventato oggi un leader globale nel settore tecnologico, attivo in 40 mercati in tutto il mondo. SoSafe ha collabourato con Martin Schmidt, Global Director of Digital Advisory, per aiutare Freudenberg a creare cybersecurity awareness all’interno dell’organizzazione.

Durante HuFiCon 2022, Martin è salito sul palco per condividere il percorso di Freudenberg come azienda multinazionale che ha creato una cultura della cybersecurity che non solo è resiliente, ma anche profondamente collabourativa. Tre anni dopo, le persone di Freudenberg costituiscono ora il suo firewall umano. Questa è la storia di come ci sono arrivati – attraverso il micro-learning, una sana competizione e un approccio human-first.

Se le minacce informatiche diventano personali, anche la formazione dovrebbe esserlo

Nel 2018, Freudenberg stava per perdere 2 milioni di euro a causa di una classica truffa ai danni del CEO. Sono stati presi di mira con una falsa email relativa a una “trattativa riservata per un’acquisizione”, telefonate intimidatorie e persino una fattura falsificata, il tutto nell’arco di tre ore.

Questo incidente li ha spinti ad approfondire la loro situazione. Sebbene l’infrastruttura IT di Freudenberg fosse in ordine, il tentativo di attacco è riuscito a sfruttare le vulnerabilità dei dipendenti. Gli esseri umani sono in grado di individuare segnali di allarme, ma a volte un piccolo errore basato sulla fiducia o un’esitazione può portare a un attacco informatico. Ecco dove risiedeva la vera lacuna.

Colmare questa lacuna inizia dall’awareness. Si tratta di aiutare le persone a capire come sono fatte le minacce, come individuarle, come rimanere un passo avanti e cosa fare se qualcosa sfugge.

Martin e il suo team – la cui missione è formare i dipendenti non solo con strumenti digitali, ma anche con competenze comportamentali – hanno affrontato questo incidente mettendo le persone al centro.

La sua esperienza con i tradizionali corsi in aula e la formazione volontaria ha rivelato una dura verità: la partecipazione era scarsa. Radunare le persone in un unico luogo, coinvolgere i manager e tracciare le iscrizioni e i follow-up non funzionava. Ma è vero che i dipendenti sono naturalmente poco inclini alla formazione? Non necessariamente, pensava Martin, soprattutto se rendi la formazione a loro accessibile. “Se vuoi davvero ottenere una partecipazione totale, l’unico modo è integrare le sfide nella vita quotidiana degli utenti — a partire dalla loro casella di posta.”

Martin e il suo team hanno notato qualcosa che tutti noi sperimentiamo ma raramente mettiamo in discussione: la nostra motivazione e la capacità di apprendere limitate anche a causa del sovraccarico di informazioni. Come ha osservato Martin, “…è importante avere una buona idea di come trasmettere la conoscenza alle persone in modo che la adottino, la assimilino, e la mettano in pratica.” In un flusso costante di contenuti, è facile ignorare le cose che non sembrano urgenti. Ma spesso ci vuole un errore – come il tentativo di vishing a cui stavano per credere – per farci rendere conto delle conseguenze di questa abitudine.

Martin consiglia: “Dai davvero priorità alla formazione. Suddividi i momenti di formazione in piccole sezioni – micro-learning – e proponili, ad esempio, nel momento dell’errore, quando chiaramente la motivazione ad apprendere è molto alta. Quindi, offri sessioni da cinque minuti che possono adattarsi perfettamente a una giornata lavorativa molto intensa. L’errore garantisce che ci sia alta motivazione nell’apprendere – tutti vogliono imparare dai propri errori.”

Il Micro-learning personalizzato di SoSafe si basa sulla scienza comportamentale ed è progettato per adattarsi. Offre formazione sulla cybersecurity pronta all’uso, suddivisa in piccoli slot che si integrano nei flussi di lavoro quotidiani.

Per ogni utente è disponibile un percorso di apprendimento personalizzato in base alle proprie necessità, in questo modo i contenuti sono pertinenti e coinvolgenti. La gamification stimola la competizione, la gratificazione e la voglia di migliorare – così l’apprendimento diventa meno un obbligo e più un’opportunità di crescita. Il risultato? Awareness che dura nel tempo, compliance che si mantiene aggiornata e team che rimangono sempre un passo avanti.

Per citare Martin: “L’apprendimento continuo è fondamentale nel mio lavoro… l’agilità nell’apprendimento è la chiave per essere davvero nativi digitali e per avere successo nel mondo lavorativo del XXI secolo.”

Anche quell’email mi ha ingannato

Martin e il suo team non si sono limitati a passare dalla formazione in aula al micro-learning personalizzato: hanno dovuto garantire che funzionasse e che l’impatto fosse duraturo.

Per testare l’efficacia, Freudenberg ha lanciato una campagna di phishing. L’obiettivo? Preparare gli utenti a riconoscere le minacce in tempo reale. In 18 mesi, hanno ridotto il click rate – la percentuale di utenti che cliccavano su un link di phishing simulato – da oltre il 20% al 3,5%.

Il team di Martin e SoSafe hanno raggiunto questi risultati grazie a una strategia chiara e a una stretta collabourazione, lavorando fianco a fianco dalla fase di onboarding al lancio delle simulazioni di phishing – e anche oltre.

Come ricordato da Martin, “Il CSM che ci ha aiutato a fare onboarding e a lanciare il programmema molto rapidamente, in poche settimane, cosa che non sarebbe stata possibile senza il loro supporto.”

Sono emersi molti spunti utili grazie a questa collabourazione.

I template di phishing dovevano riflettere le tendenze reali per rimanere efficaci. Così, quando i team di Freudenberg hanno ridotto il loro click rate al 3,5%, non si sono fermati lì. Invece di cercare di ottenere zero clic, hanno aumentato il livello di difficoltà con template più convincenti, che potevano ingannare facilmente.

“I punteggi peggioreranno,” ha detto Martin, “ma miglioreremo come azienda.”

Hanno anche puntato sul rinforzo positivo. Con il Pulsante di Segnalazione Phishing di SoSafe, agli utenti non veniva solo richiesto di eliminare le email sospette, ma venivano incoraggiati a segnalarle. Il plugin confermava quando gli utenti prendevano la decisione giusta e forniva suggerimenti e spiegazioni.

Come osservato da Martin: “Questo, tra l’altro, ha ridotto il numero di ticket ricevuti dalla simulazione di phishing, perché tutto viene gestito tramite questo sistema, e abbiamo ottenuto più segnalazioni di phishing reali.”

Il team di Martin ha fatto un uso intelligente del dashboard analitico di SoSafe. Con approfondimenti dettagliati su registrazioni, click rate, tassi di completamento e metriche specifiche degli utenti, sono riusciti a monitorare attivamente il coinvolgimento e a identificare dove fosse necessario supporto o rinforzo aggiuntivo, migliorando così l’efficacia sia dell’eLearning che delle simulazioni di phishing.

Con la privacy by design come principio fondamentale, hanno coinvolto da subito il Comitato aziendale (che rappresenta i dipendenti a livello aziendale). Tutti i dati delle simulazioni sono stati anonimizzati, e la compliance al GDPR di SoSafe ha contribuito a rassicurare i dipendenti sul fatto che le loro informazioni erano protette.

Per mantenere l’apprendimento continuo senza sovraccaricare gli utenti, il team ha deciso di affrontare una sfida diversa al mese. Questo è stato sufficiente per mantenere la continuità e garantire che la cultura della sicurezza rimanesse una priorità.

Una delle cose più creative che ha fatto Freudenberg? Hanno gamificato il processo. L’obiettivo non era solo creare maggiore resilienza, ma anche fare in modo che le persone fossero curiose, motivate e coinvolte. Come? Sfruttando uno spirito competitivo sano. Ogni trimestre, condividevano gli aggiornamenti e celebravano i vincitori delle sfide di phishing in tutta l’azienda. La cybersecurity è diventato uno sport di squadra – e parte delle conversazioni quotidiane sul posto di lavoro.

La cosa migliore? È diventato un settore nel quale le persone erano entusiaste di migliorare.

Le Simulazioni di Phishing Personalizzate di SoSafe creano awareness nel mondo reale attraverso scenari realistici e basati sul ruolo. Ogni simulazione si adatta al comportamento umano, rendendo ogni test rilevante. I dipendenti imparano a riconoscere le minacce nei contesti in cui accadono realmente.

Il firewall a “formaggio svizzero” di Freudenberg

Martin e il suo team hanno affrontato le differenze culturali tra i diversi Paesi, offrendo consulenze personalizzate ai dipendenti di tutto il mondo.

Per spiegare il ruolo degli esseri umani nella sicurezza, Martin utilizza una metafora facilmente comprensibile: il formaggio svizzero.

Proprio come il formaggio svizzero ha dei buchi, anche le varie difese tecniche presentano delle lacune. Ma quando sovrapponi questi strati – e aggiungi il firewall umano – quelle lacune smettono di allinearsi. Insieme, possono formare una solida linea di difesa.

Martin ha apprezzato l’approccio di SoSafe, non solo da un punto di vista tecnico, ma anche da quello umano.

Come ha detto lui: “Penso che siate stati anche una delle prime aziende a identificare questo tema, non solo da un punto di vista tecnico, ma anche da un punto di vista psicologico, che penso sia fondamentale qui – perché stiamo parlando di comportamento umano, non stiamo parlando di creare un altro sistema infrastrutturale.”

Ciò che ha colpito particolarmente Martin è stato anche il livello di servizio: “È un passo importante, passare da un approccio ‘toolbox’ a un approccio completamente assistito. E per me, come cliente, questo è stato fondamentale. Penso che dovrebbe esserlo anche per molte altre persone.”

La storia di Freudenberg dimostra che quando si parte dalle esigenze reali delle persone, si propone una formazione concreta e la si supporta con dati e assistenza, il comportamento cambia davvero. Ed è proprio lì che nasce una vera cultura della sicurezza.

Con SoSafe, puoi sempre garantire che l’awareness sulla cybersecurity non sia solo un esercizio annuale, ma diventi parte di come i tuoi team lavorano, pensano e reagiscono – ogni giorno.

Sviluppa la tua cultura
della sicurezza con facilità