Smart working e sicurezza IT
Oggi siamo nell’era dello smart working e del mobile workforce. Questo offre la possibilità di lavorare da remoto e in questi casi se il nostro business è organizzato in maniera corretta, offre grandi vantaggi ai lavoratori e alle aziende. Per garantire smart working e sicurezza it è necessario però osservare alcune regole di fondo per garantire la sicurezza dei dati e delle reti aziendali.
Data Security for the Mobile Workforce
Il remote work permette ai lavoratori di lavorare in maniera continuativa e migliore sia che restino a casa o che si spostino ma questa nuova opportunità comporta anche nuovi rischi per la sicurezza.
Una volta che un lavoratore non si trova più all’interno di una rete aziendale protetta, circondato da colleghi fidati, i rischi per la sicurezza aumentano in maniera notevole.
Questo è il motivo per cui le aziende che hanno dipendenti che lavorano da remoto devono creare politiche e procedure di sicurezza nuove che i dipendenti devono impegnarsi ad applicare e ad seguire.
1 – FORNIRE LAPTOP
Una delle prime preoccupazioni è fornire laoptop e/o telefoni protetti e sicuri. Non è sufficiente confidare nell’operato dei lavoratori per evitare il rischio di malware. I dipendenti potrebbero scaricare app o utilizzare social mettendo così a rischio, anche e involontariamente la sicurezza.
2 – CREARE BLACK E WHITE LIST
Il modo migliore per mantenere la sicurezza delle applicazioni e assicurarsi che nessun malware in agguato entri nella propria rete attraverso dispositivi remoti dei dipendenti, è avere una lista bianca di app, programmi e impostazioni predefinite.
In altre parole si tratta di una configurazione sicura di “ripristino” su cui un dispositivo può essere cancellato e ripristinato. Se una app o un dato discutibile su un dispositivo non sono riportati nelle white list si procederà ad eliminarli. In maniera equivalente, una lista nera è un elenco di app, dati e altre attività che è noto essere una minaccia. Potrebbe trattarsi di malware, applicazioni non sicure nell’app store o tipi di dati che tendono ad indicare malware nascosti. In questi casi dovrebbero essere subito contrassegnati da una bandiera rossa sulle scansioni dei dispositivi e ci sono alcuni modi per garantire che i dispositivi aziendali non installino nemmeno determinate app.
3 – ESEGUIRE REGOLARI SCANSIONI E AGGIORNAMENTI DEI DISPOSITIVI
I dipendenti remoti si collegano alla rete aziendale e ai documenti importanti con i loro dispositivi, ma i dispositivi fuori dall’ufficio possono raccogliere malware in molti modi, dalle e-mail di phishing al wifi pubblico non garantito.
Una soluzione potrebbe essere quella di richiedere che i dipendenti in maniera regolare si rechino in azienda per fare scansioni dei dispositivi in modo da assicurarsi che i loro laptop e telefoni non abbiano virus nascosti. Nel caso in cui non sia possibile farli rientrare in azienda si potrebbe fornire ai dipendenti remoti un buon software di scansione ed eseguire la scansione due o quattro volte all’anno. Un’altra soluzione (meno semplice ma efficace) potrebbe essere quella di richiedere a tutti di reinstallare il sistema operativo una volta all’anno. Questa sarebbe anche una buona scusa per ripulire i file personali e creare backup di qualsiasi cosa importante.
4 – UTILIZZARE SOLO RETI WIFI PRIVATE E PROTETTE
Le reti wifi non garantite sono uno dei maggiori rischi per la sicurezza della forza lavoro mobile e la maggior parte dei professionisti remoti è abituata a raccogliere qualsiasi rete wifi disponibile, ma mentre ci sono molte piccole reti wifi innocue al mondo, ci sono anche molte reti che possono nascondere rischi anche seri. Infatti, un host wifi che sa cosa sta facendo può accedere e infettare qualsiasi dispositivo ad esso collegato. Di solito lo fanno fingendo di essere un business wifi locale o un wifi di quartiere apparentemente sicuro.
Fortunatamente la soluzione è semplice: per prima cosa bisogna consigliare vivamente ai lavoratori da remoto di stare lontani da reti wifi sconosciute e in secondo luogo si possono fornire loro hotspot mobili in modo da mettere a disposizione la rete wifi sicura configurata dall’azienda, in qualsiasi posizione in grado di ricevere un segnale.
5 – PROIBIRE L’USO DI COMPUTER PUBBLICI
Sarebbe buna norma inoltre che i lavoratori da remoto diffidino dei computer pubblici come ad esempio quelli di: hotel, biblioteche, spazi di lavoro condivisi ecc. Gli hacker adorano infatti i computer pubblici perché possono facilmente installare keylogging e software spyware che permettono loro di raccogliere le password delle persone che usano quei computer.
6 – LOGOUT AUTOMATICO
Qualsiasi portale, app o software del sito Web utilizzato dall’azienda dovrebbe disconnettere automaticamente gli utenti in stand-by. Questo garantirebbe che nessun ladro, nessun successivo utente o un amico che prende in prestito un dispositivo possa usufruire dell’account protetto di un dipendente. Le app e i siti Web connessi automaticamente sono l’antitesi della sicurezza.
Il suggerimento è quello di utilizzare log-in alternativi con password intelligenti in modo da permettere ai dipendenti di eseguire nuovamente il login in modo facile e quasi impossibile per gli spettatori o per malware che decifrano le password.
7 – UTILIZZARE IL CLOUD
Uno dei modi migliori per proteggere i dati dell’azienda dagli attacchi della rete locale è quello di mantenere file e servizi sul cloud. Un DMS (archiviazione di file cloud) garantisce che i dipendenti non scarichino mai direttamente un file infetto.
Le piattaforme di collaborazione basate su cloud semplificano il telelavoro per i membri del team remoto ed inoltre finché si lavora con fornitori di cloud affidabili il lavoro su cloud semplifica anche i backup, i ripristini e l’integrazione.
8 – COMUNICAZIONE REMOTA CRITTOGRAFATA
Qualsiasi comunicazione remota, con dipendenti o clienti, deve essere crittografata in ogni punto possibile. La crittografia mette tutti i dati in un codice illeggibile.
In questo modo anche se un hacker rubasse i dati non sarebbe in grado di utilizzare nulla di crittografato perché non disporrebbe della chiave di crittografia. Questo non è così importante all’interno della rete dell’ufficio, ma i dati possono essere rubati in transito attraverso Internet come pacchetti. Quindi e-mail e file di lavoro inviati avanti e indietro da dipendenti mobili creano una linea toccabile di dati aziendali.
I dati crittografati non possono essere letti quindi un accorgimento minimo sarebbe quello di crittografare le e-mail aziendali. Idealmente, tutto il software aziendale verrà crittografato su entrambe le estremità per garantire che tutti i dati archiviati in un dispositivo o che viaggiano sul Web siano crittografati in ogni momento.
9 – USB SCONOSCIUTE
Probabilmente è noto a tutti che i link nelle email sono pericolosi. Non tutti sanno invece che le connessioni USB sono altrettanto probabili vettori per malware e infezioni. Qualsiasi chiavetta USB o dispositivo collegato tramite USB può essere infettato da un virus spesso mascherato da file innocui come musica o PDF.
Sarebbe importante chiedere a chi lavora in smart working di non collegare mai una chiavetta USB o un cavo da dispositivo a dispositivo ai laptop o ai telefoni aziendali. La ricarica può essere effettuata tramite un convertitore da presa a USB, hub e dispositivi.
10 – PASSWORD
Nonostante ci si trovi in un’era di dispositivi di scansione dell’iride e delle impronte digitali la password ha ancora un’enorme importanza. Le password sono l’unica misura di sicurezza universale che può essere gestita tramite siti Web, app mobili, e-mail e portali di auto-aiuto. La qualità di una password è davvero importante: le password semplici e facili possono anche essere semplicemente e facilmente decifrate da programmi di forza che indovinano le prime migliaia di combinazioni di password più probabili.
Un buon suggerimento sarebbe quello di creare password di alta qualità usando il metodo acronimo. Solo loro sapranno quale acronimo hanno scelto ed è facile da ricordare.
11 – PASSWORD E PIN DEVONO ESSERE NASCOSTI
Parlando di sicurezza delle password, non bisogna mai permettere che password o pin vengano stampati su uno schermo. Gli hacker sono noti per colpire i lavoratori remoti e ottenere un angolo personale o della telecamera sui loro schermi al fine di rubare le password. Questo potrebbe essere particolarmente pericoloso perché, per la maggior parte delle persone, una password funziona per molti account diversi.
Per proteggere le password non bisogna mai permettere che una password sia visibile oltre il conteggio dei caratteri e, se possibile nnon visualizzare nemmeno il conteggio dei caratteri.
12 – POLITICHE DI BLOCCO
I laptop sono uno degli oggetti più popolari da rubare di tutti i tempi. Sono spesso oggetti di valore e sovente pieni di importanti dati aziendali. I professionisti che lavorano da remoto sono anche facilmente identificabili dalla loro configurazione di ufficio mobile e comportamento professionale in luoghi pubblici e quindi “prede” facili da individuare.
E’ importante spiegare alle persone che devono tenere i loro laptop e dispositivi di lavoro sempre con sè, sotto controllo e bloccati in ogni momento quando non sono utilizzati.
13 – MONITORAGGIO RETE
Infine è importante fare buon uso del monitoraggio della rete. Se un dipendente in remote working viene violato o espone accidentalmente l’azienda a malware, il monitoraggio della rete offre le maggiori possibilità di rilevarlo.
Il monitoraggio della rete stabilisce una base di funzionamento della rete e può quindi identificare anomalie causate da malware nascosti in agguato e dall’utilizzo delle risorse. Potrebbe anche essere in grado di rilevare file insoliti provenienti da connessioni remote dei dipendenti.
Proteggere l’azienda e offrire opportunità di lavoro a distanza è un interessante equilibrio tra connettività e sicurezza.
SMEUP ICS: le soluzioni
La filosofia di SMEUP ICS è quella di creare soluzioni ad hoc basate sulle reali necessità del cliente. Per questo motivo difficilmente ci troverete a parlare di “pacchetti standard” che ben si prestano alla risoluzione di qualsiasi problema. Ci sono dei comportamenti standard che però adottiamo per arrivare ad individuare la soluzione corretta, come l’IT Assessment.
L’obiettivo delle attività di IT Assessment è di produrre una fotografia del livello di efficacia e sicurezza dell’architettura del sistema informativo del Cliente. Nel corso dell’assessment si identificano le principali aree di criticità tecnica e le relative raccomandazioni in termini di impatto, in ottica di eventuali progetti migliorativi/innovativi futuri. Infine, sulla base degli obiettivi del Cliente e delle caratteristiche della infrastruttura rilevata, SMEUP ICS propone i punti di miglioramento, atti a rimuovere “single point of failure”, per mitigare nel futuro il rischio di fermi completi del servizio.
Il Technical Assessment viene condotto secondo la metodologia di SMEUP ICS e l’insieme delle informazioni raccolte nel corso dello stesso ci consentono di valutare tutti gli elementi quantitativi e qualitativi necessari per produrre la valutazione complessiva dell’ambiente tecnologico analizzato; in particolare le conclusioni dell’Assessment sono volte a delineare, dove rilevante, possibili raccomandazioni per interventi di miglioramento:
- Caratteristiche dell’ambiente IT analizzato
- Posizionamento delle componenti infrastrutturali HW e SW rispetto agli standard correnti e in base al livello dei servizi da erogare al business
- Evidenza di possibili aree di criticità
- Raccomandazioni in termini di interventi sulle criticità/gap rilevati.
Abbiamo anche individuato dei punti di forza utili a Smart working e sicurezza IT, che possiamo riassumere così:
- Analisi dei rischi: deve essere effettuata ogni anno, così come vanno ricontrollate le legittimità dei diversi trattamenti di dati messi in atto dall’organizzazione
- Modifica delle password: cambiarle almeno una volta all’anno
- Monitoraggio dei comportamenti rischiosi per l’organizzazione o per i terzi: i comportamenti rischiosi devono essere eventualmente anche sanzionati
- Messa in sicurezza dei dati con backup e firewall: possedere una seconda copia dei dati e controllare l’entrata e l’uscita di dati dalla rete o dal computer, scegliendo cosa far passare e cosa no
Sales Specialist SMEUP ICS – Gruppo Sme.UP
My LinkedIn Profile
Naviga per categoria:
Seleziona una categoria d’interesse dal nostro magazine
