Clinica Hildebrand

Per la Clinica Hildebrand, la Security Awareness non era un tema nuovo. L’azienda aveva già investito nella formazione dei 420 collaboratori, ma la sfida era fare evolvere un modello esistente rendendolo più continuo, integrato e misurabile. La formazione, infatti, si basava su una piattaforma separata dagli strumenti utilizzati quotidianamente, con accesso e credenziali dedicate dove anche le simulazioni di phishing avvenivano con frequenza limitata e senza una piena integrazione con il percorso formativo.

L’esigenza era quindi andare oltre una semplice sostituzione tecnologica e trasformare la Security Awareness in un processo continuativo e gestito, capace di avvicinare la formazione alle persone, e utilizzare i risultati per orientare le attività successive.

A spiegare la scelta di affrontare questa evoluzione insieme a Var Group Suisse è Simone Torelli, Responsabile servizio ICT di Clinica Hildebrand: “Con Var Group esiste da anni una consolidata collaborazione in diversi ambiti legati all’ICT. L’estensione della partnership anche al tema della Security Awareness rappresenta quindi una naturale evoluzione di un rapporto già collaudato e caratterizzato da una proficua sinergia.”

La risposta di Var Group Suisse è stata cambiare il modello, non semplicemente la piattaforma. Il progetto è partito dall’analisi delle esigenze della Clinica e da una PoC prima della piena implementazione: “La PoC personalizzata e il successivo periodo di sperimentazione hanno confermato la qualità della soluzione proposta e la sua capacità di rispondere alle nostre esigenze”, commenta Torelli.

Con il servizio di Managed Security Awareness, Clinica Hildebrand passa così a un programma continuativo in cui formazione, simulazioni di phishing, analisi e remediation non sono più attività separate, ma parti di un unico processo gestito. Dall’assessment iniziale alla definizione del piano formativo, dalla gestione delle campagne al monitoraggio dei risultati, ogni fase alimenta la successiva e permette di adattare progressivamente il percorso sulla base di quanto emerge.

Anche l’esperienza formativa cambia. I contenuti vengono portati negli strumenti che i collaboratori utilizzano ogni giorno, come Microsoft Teams, attraverso brevi moduli, quiz e scenari concreti. Un chatbot basato sull’Intelligenza Artificiale consente di approfondire dubbi e confrontarsi con situazioni realistiche, mentre Studio permette di trasformare documenti e materiali della Clinica in percorsi interattivi personalizzati, estendendo la formazione anche a policy, procedure e onboarding.

La stessa logica si applica alle simulazioni di phishing dove i risultati delle campagne vengono analizzati per individuare le aree di maggiore vulnerabilità e attivare formazione e remediation mirate. Dashboard, KPI e reportistica executive permettono di seguirne l’evoluzione nel tempo, trasformando così i dati raccolti in indicazioni concrete per le attività successive.

Conclude Torelli: “L’integrazione con l’ecosistema ICT della Clinica ha permesso di ottimizzare i processi di gestione, riducendo l’impatto operativo sul Servizio ICT.” Un’integrazione che è stata anche rapida da rendere operativa: “La rapidità con cui sono state implementate l’infrastruttura e le relative integrazioni mi ha positivamente sorpreso”, sottolinea Torelli.

I primi risultati mostrano come il nuovo modello abbia trasformato la Security Awareness da attività prevalentemente periodica a un processo continuativo e misurabile, capace di coinvolgere le persone e migliorare progressivamente sulla base dei dati raccolti.

La partecipazione dei collaboratori della Clinica Hildebrand rappresenta un primo indicatore concreto: oltre il 90% completa entro i tempi previsti sia la formazione ordinaria sia i remediation training assegnati a seguito delle simulazioni di phishing. Un livello di adesione accompagnato anche da un forte apprezzamento dell’esperienza formativa dove su 532 valutazioni raccolte, il 97% ha espresso un giudizio positivo, con il 52% nella fascia di massimo apprezzamento e il 45% in quella immediatamente successiva.

L’effetto non si limita alla partecipazione. La continuità tra formazione, simulazioni e remediation permette di intervenire sulle aree di maggiore attenzione e di verificare nel tempo l’evoluzione dei comportamenti, con un miglioramento significativo del vulnerability rate tra una campagna e l’altra. La misurazione diventa così parte integrante del percorso: ciò che emerge da una campagna contribuisce a definire quella successiva.

Il cambiamento porta benefici anche sul piano organizzativo. I collaboratori possono accedere alla formazione in modo più semplice e vicino alle dinamiche del lavoro quotidiano, mentre management e Servizio ICT mantengono visibilità sull’andamento del programma senza aumentarne il carico operativo. Un risultato a cui ha contribuito anche la collaborazione tra i team, proseguita dalla fase progettuale alla gestione continuativa del servizio.

L’esperienza ha contribuito infine a rafforzare una visione più ampia della Security Awareness all’interno della Clinica: “La formazione continua dei collaboratori rappresenta oggi uno degli elementi chiave di una solida strategia di sicurezza aziendale. La sicurezza informatica non viene considerata semplicemente un costo, ma un fattore abilitante critico per la tutela del patrimonio aziendale e la continuità dei servizi.”

Da formazione da erogare, a cultura della sicurezza da costruire, misurare e migliorare nel tempo.