Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

Immaginate il mondo digitale come una città enorme e frenetica dove ogni edificio è un'azienda, ogni strada è un cavo dati e ogni cittadino è un dipendente. In questa città, mostri invisibili chiamati "minacce informatiche" cercano costantemente di entrare, rubare tesori o causare il caos. Per molto tempo, i pianificatori urbani (gli esperti di tecnologia) hanno pensato che l'unico modo per mantenere la città sicura fosse costruire muri più forti, installare serrature migliori e assumere più guardie. Ma si sono resi conto di una cosa importante: anche il castello più forte cade se le persone che vivono all'interno non credono che le mura siano reali, o se pensano che le guardie siano inutili, o se sentono che le regole sono troppo fastidiose da seguire.

È qui che entra in gioco un'idea famosa chiamata Teoria della Motivazione alla Protezione (Protection Motivation Theory). Pensatela come una lista di controllo mentale che il nostro cervello esegue quando affrontiamo un pericolo. Prima, ci chiediamo: "Quanto sarebbe grave se accadesse?" (Valutazione della minaccia - Threat Appraisal). Poi, ci chiediamo: "Posso fermarlo? C'è un piano? È troppo faticoso?" (Valutazione del coping - Coping Appraisal). Se la risposta alla seconda parte è "Sì, posso gestirlo", ci sentiamo motivati ad agire. Tuttavia, la maggior parte degli studi ha solo osservato come gli individui si sentano riguardo alle proprie password o al cliccare sui link. Non hanno davvero chiesto: "Come si sente un dipendente riguardo alla capacità dell'intera azienda di combattere questi mostri?".

Entra in gioco il Framework di Cybersecurity del NIST, che è come un enorme, ufficiale progetto su come una città dovrebbe gestire la propria sicurezza. Non dice cosa devi sentire, ma elenca i sei compiti che una città deve svolgere: Governare (creare regole), Identificare (trovare i punti deboli), Proteggere (costruire muri), Rilevare (individuare gli intrusi), Rispondere (combattere il contrattacco) e Recuperare (riparare il disastro). La grande domanda che questo team di ricerca voleva rispondere era: Possiamo creare uno strumento per misurare esattamente come i dipendenti percepiscono la sicurezza della loro città, usando la lista di controllo mentale della Teoria della Motivazione alla Protezione, ma riempiendola con i compiti specifici del progetto NIST?

---

La Grande Idea: Un nuovo "Radar di Sicurezza" per le aziende

Un team di ricercatori dalla Turchia ha deciso di costruire un nuovo strumento, che chiamano Scala di Percezione della Cybersecurity Organizzativa (PMT-OCPS). Potete pensare a questa scala come a un "Radar di Sicurezza" che le aziende possono usare per scansionare le menti dei loro dipendenti. Invece di chiedere: "Sai come cambiare la tua password?" (che è un test tecnico), questo radar chiede: "Credi che il team di sicurezza della tua azienda sia effettivamente bravo a fermare gli hacker?" e "Senti che le regole di sicurezza sono troppo fastidiose da seguire?".

I ricercatori sono partiti da un enorme mucchio di 46 domande. Hanno chiesto a un panel di esperti — psicologi, professionisti della cybersecurity e maghi del linguaggio — di esaminarle. Gli esperti hanno detto: "Queste sono buone, ma rendiamole più chiare e tagliamo il superfluo". Dopo un po' di lucidatura e un piccolo test con 47 persone, hanno ridotto la lista a 29 domande e, infine, a un "Radar di Sicurezza" compatto di 27 domande.

Cosa hanno scoperto: I Sei Pilastri del sentirsi al sicuro

Quando hanno testato questo nuovo radar su due grandi gruppi di persone (519 persone per il primo test e 400 persone diverse per confermare i risultati), hanno scoperto che i dipendenti non hanno solo un unico grande sentimento riguardo alla sicurezza. Invece, le loro menti scompongono il sentimento in sei pilastri distinti. È come avere sei diversi sensori su una nave spaziale, ognuno dei quali controlla un sistema diverso:

1. Gravità Percepita (Perceived Severity): "Quanto è spaventoso il mostro?" Misura quanto i dipendenti pensano che un attacco informatico sarebbe grave per l'azienda (ad esempio, perdere denaro, essere citati in giudizio o rovinare la reputza).
2. Vulnerabilità Percepita (Perceived Vulnerability): "Quanto è probabile che il mostro ci prenda?" Riguarda quanto i dipendenti sentono che i sistemi digitali della loro azienda siano esposti agli attacchi.
3. Efficacia Preventiva (Preventive Efficacy): "Gli scudi funzionano?" Misura se i dipendenti credono che le misure di prevenzione dell'azienda (come aggiornamenti software, formazione e serrature) siano effettivamente efficaci nel fermare gli attacchi prima che inizino.
4. Capacità di Intervento (Intervention Capability): "Possiamo combattere?" Questa è una scoperta nuovissima! I ricercatori hanno scoperto che i dipendenti distinguono tra "prevenire" un attacco e "combatterne" uno. Questo pilastro misura se i dipendenti si fidano della capacità dell'azienda di rilevare un attacco, rispondere ad esso rapidamente e recuperare dopo il danno subito.
5. Auto-efficacia (Self-Efficacy): "Posso aiutare io?" Questo non riguarda l'azienda; riguarda il dipendente. Si sentono capaci di individuare un'email di phishing o segnalare un problema?
6. Costo della Risposta (Response Cost): "È troppo un impegno?" Misura quanto i dipendenti trovano fastidiose o onerose le regole di sicurezza. Se le regole sembrano uno zaino pesante, questo punteggio sale e le persone sono meno propense a seguirle.

Il Momento "Eureka!": Prevenzione vs Intervento

La parte più eccitante di questo studio è ciò che è accaduto alla parte di "Efficacia della Risposta" della teoria originale. Nei vecchi tempi, gli scienziati pensavano che l' "Efficacia della Risposta" fosse un unico grande secchio: "Le misure di sicurezza funzionano?". Ma questo studio ha dimostrato che, in un'azienda, quel secchio si divide in realtà in due secchi separati: Prevenzione (fermare i cattivi alla porta) e Intervento (gestire il disastro se entrano).

I ricercatori suggeriscono che i dipendenti siano abbastanza intelligenti da sapere che avere una grande serratura sulla porta (Prevenzione) è diverso dall'avere un ottimo team di emergenza pronto a riparare il disastro se scoppia un incendio (Intervento). Questa divisione è cruciale perché un'azienda potrebbe essere ottima in uno ma terribile nell'altro, e questo nuovo radar può fare la differenza.

Quanto è buono il Radar?

I ricercatori sono stati molto meticolosi. Non hanno solo tirato a indovinare; hanno analizzato i numeri.

• Affidabilità: Il radar è coerente. Se fai il test oggi e di nuovo tra tre settimane, ottieni quasi lo stesso punteggio (un punteggio di stabilità di .882).
• Accuratezza: I sei pilastri che hanno trovato sono reali e distinti. I dati hanno mostrato che "Prevenzione" e "Intervento" sono effettivamente sentimenti diversi, non solo la stessa cosa ripetuta.
• Verifica nel mondo reale: Hanno testato il radar su due gruppi diversi: dipendenti di istituzioni sportive e personale universitario. Hanno scoperto che le persone che avevano seguito una formazione sulla cybersecurity si sentivano più sicure (maggiore Auto-efficacia) e pensavano che le regole fossero meno fastidiose (minore Costo della Risposta). Le persone che conoscevano una specifica "Unità di Cybersecurity" nella loro azienda sentivano che l'azienda era più brava a combattere (maggiore Capacità di Intervento). Questo dimostra che il radar coglie effettivamente le differenze reali nel modo in cui le persone si sentono.

Cosa Significa (e cosa non significa)

Questa nuova scala è uno strumento potente per le organizzazioni. Non vi dice se un computer è infetto da un virus; vi dice se le persone si sentono al sicuro e capaci. Se un'azienda usa questo radar e scopre che il suo punteggio di "Capacità di Intervento" è basso, sa che deve mostrare ai propri dipendenti quanto è bravo il suo team di risposta alle emergenze. Se il punteggio del "Costo della Risposta" è alto, sa che le sue regole di sicurezza sono troppo complicate e devono essere semplificate.

Tuttavia, i ricercatori sono onesti riguardo ai limiti. Questo studio è stato condotto in Turchia, principalmente con lavoratori del settore pubblico, quindi non sappiamo con certezza se il radar funzioni esattamente allo stesso modo in una banca a New York o in una fabbrica a Tokyo. Inoltre, questo studio ha solo chiesto alle persone cosa sentivano; non le ha osservate per vedere se seguissero effettivamente le regole. Ma suggerisce fortemente che il modo in cui i dipendenti pensano riguardo alla sicurezza della loro azienda è un pezzo enorme del puzzle che ci era mancato.

In breve, questo articolo ha costruito una bussola a sei parti per aiutare le aziende a navigare nel lato umano della cybersecurity. Dimostra che per mantenere sicura la città digitale, devi costruire muri forti, ma devi anche assicurarti che i cittadini credano che le mura funzionino, si fidino del team di emergenza e non sentano che le regole di sicurezza siano troppo pesanti da trasportare.