| Undefined
Se vi state chiedendo se il lavoro da remoto sia un rischio.. fate bene.
L’impatto del ricorso globale allo smartworking in conseguenza della pandemia, ha aperto nuovi e imprevisti scenari di pericolo per la sicurezza dei dati aziendali.
La commistione tra vita privata e lavorativa ha creato vulnerabilità senza precedenti: il minore controllo esercitato a distanza dagli IT, l’uso dei dispositivi aziendali per attività personali e viceversa e il massiccio trasferimento ai servizi in cloud senza preparazione dei dipendenti a distanza hanno favorito il crimine informatico, che ha sfruttato le vulnerabilità dei sistemi e del fattore umano come porte di accesso ai dati critici aziendali.Secondo il “Dell technologies Global data protection index (Gdpi) 2021,” nell’ultimo anno oltre il 90% delle aziende italiane ha subito danni - con casi estremi fino 1 milione di dollari - a causa della perdita di dati critici dovuti al lavoro da remoto o ibrido.
Dispositivi personali e aziendali: “Mamma, mi dai il tuo pc per collegarmi con la scuola?”
Smartworking, didattica a distanza e adozione di nuovi stili di vita (crescita degli acquisti e delivery on line, servizi per la famiglia on line, etc) hanno di fatto eliminato il confine tra dispositivi personali e di lavoro.
Se pensate che il lavoratore, a casa, separi nettamente l’uso dei dispositivi personali e aziendali, vi sbagliate di grosso.
Ce lo dice chiaro e tondo il rapporto “Blurred Lines & Blindspots di HP Wolf Security” secondo il quale il 70% dei lavoratori ammette di usare dispositivi di lavoro per scopi personali, mentre il 69% di usare per attività lavorative dispositivi personali non configurati per la sicurezza aziendale.
La mancanza di consapevolezza sui rischi informatici da parte dei dipendenti li rende i target privilegiati della strategia della criminalità informatica; basti pensare che il fattore umano è stato la causa principale del 95% delle violazioni di dati critici. Lo dice l’IBM Cyber Security Intelligence Index Report 2020.Infatti, attacchi di phishing, social engeneering e compromissione della e mail aziendale e social sono aumentati vertiginosamente, e hanno rappresentato nel 2021 la metà di tutte le perdite causate dal crimine informatico.
Il dipendente a casa è il target numero 1 dei cyber criminali.
Dove è finito il perimetro di sicurezza?
La maggior parte delle perdite dovute a violazione degli accessi, sono state rilevate tramite i dispositivi mobili: tra le cause, le connessioni alla stessa rete domestica o hotspot sia per le attività personali che per quelle strettamente correlate all'attività lavorativa.
Con lo smart working, infatti, il network aziendale si è esteso all’utilizzo delle reti domestiche alle quali i dipendenti si collegano o a hotspot pubblici, fuori dal controllo dei dipartimenti IT aziendali.
Il perimetro di sicurezza dell’azienda si è ampliato, così come la necessità di riportare sotto un minimo standard di sicurezza reti che, pur non facendo parte del network aziendale, ne rappresentano porte di accesso.
Ciò avviene principalmente perchè i dipendenti usano i propri dispositivi aziendali anche per degli scopi personali.Per questo motivo è fondamentale avere degli standard di sicurezza informatica notevolmente superiori rispetto a quando era regola recarsi in sede per poter lavorare.
Mancanza di regole e formazione: “Sì, ma cosa devo fare?!”
Le aziende si sono trovate impreparate nel dover affrontare questo passaggio in maniera così improvvisa e drastica. Soprattutto le pmi, non hanno adottato adeguate policy stringenti relative alla privacy e alla sicurezza informatica.
Inoltre, i programmi di formazione per migliorare la consapevolezza dei rischi non sono stati valutati come asset strategico.
Anche le dirigenze dovrebbero essere perfettamente formate ad evitare tali rischi, essendo maggiormente esposte alle mire degli hacker e dai criminali della rete proprio perché in possesso delle informazioni più strategiche ed appetibili.
Per poter garantire un certo livello di sicurezza, è necessario essere sempre informati dei rischi e delle possibili soluzioni, mantenendo un approccio positivo e funzionale alla risoluzione dei problemi sotto questo punto di vista.
Come si può aumentare il livello di sicurezza informatica dello smart working? Le soluzioni.
Ci sono alcune strategie da adottare che possono permettere aumentare il livello di sicurezza dello smart working, allontanando il più possibile eventuali attacchi da parte dei criminali della rete alla ricerca di dati da poter rubare.
Il responsabile della Sicurezza Informatica: una figura strategica.
Avere nel proprio staff una figura preposta alla sicurezza è sicuramente un elemento strategico: oltre ad occuparsi della sicurezza tecnologica, dovrà essere responsabilizzato alla sensibilizzazione e formazione di tutti i dipendenti e collaboratori fornendo precise istruzioni e protocolli di comportamento. Accesso ai dati? Non per tutti!
MFA, il sistema di autenticazione a 2 fattori: due chiavi sono meglio di una!
Tra le metodiche che devono essere utilizzate, il sistema di autenticazione a due fattori ad oggi molto comune per accedere ai servizi bancari on line, alle email aziendali e alla maggior parte dei servizi e storage in cloud.
Il sistema di autenticazione a due fattori prevede di dover digitare un codice ricevuto su un dispositivo precedentemente autenticato.Ad esempio, per accedere ad una area personale di un servizio, dopo aver inserito la password, viene richiesta una conferma dell’identità personale dell’utente: codice univoco inviato via SMS ad un telefono o via e-mail precedentemente registrati ed autenticati.
Il Sistema di autenticazione a due fattori, previene il 99,9% degli attacchi agli account, secondo una ricerca di Microsoft Security.
Accesso ai dati? Non per tutti!
Molto importante è impedire l'accesso ai dati ai propri dipendenti, se non per quelli strettamente necessari all'attività lavorativa e alle sue mansioni.
Meglio definire processi e precisi privilegi di accesso; i dati finanziari ad esempio saranno accessibili solo ed esclusivamente al relativo personale, le informazioni riservate come piani di crescita, brevetti, etc saranno di esclusivo accesso a poche persone di livello dirigenziale.
In questo modo si potrà contrastare un attacco hacker destinato proprio al dipendente, ad esempio tramite il phishing.Secondo l’ Identity Theft Research Center, infatti, condividere documenti senza precise procedure e inviare informazioni a persone sbagliate sono le prime cause di data breach.
Back to work! Il back up dimezza i tempi del ripristino all’operatività.
I backup sono indispensabili all'azienda, in modo tale da poter tornare ad accedere ai dati e ripristinare la piena operatività nel minor tempo possibile nel caso in cui si verificasse un attacco volto al tenerli sotto chiave in attesa di un eventuale riscatto.Definire e mettere in pratica un protocollo preciso a cui attenersi per effettuare il back up dei dati aziendali periodicamente e con strutture robuste e affidabili è un must. Non solo i back up devono essere frequenti e disponibili, ma devono essere anche conservati separatamente dalla rete aziendale (copie off-line) al fine di prevenire situazioni in cui i malware o gli attaccanti possano danneggiare anche le copie che, in caso di incidente, sono le fonti per il ripristino dell’ operatività aziendale..
Il Firewall umano: aumentare il grado di consapevolezza nei dipendenti.
Sebbene i firewall e altre tecnologie siano la base della sicurezza informatica di un'organizzazione, non possono proteggere tutto: le persone sono sempre di più il miglior fattore di protezione per i rischi legati allo smartworking.
Evitare comportamenti scorretti fornendo adeguati programmi di formazione per il lavoro a distanza, rendere consapevoli del rischio di attacchi informatici i dipendenti a tutti i livelli, fornire loro gli strumenti di conoscenza adeguata è sicuramente un elemento di grande protezione.
I dipendenti a casa, lontani dall’ambiente professionale, hanno bisogno anche di istruzioni chiare e precise che li supportino nel momento in cui possono avere dubbi su come comportarsi o su cosa fare.
Fornire manuali operativi a cui attenentesi, oltre a mitigare il rischio del fattore umano, migliorerà anche il loro coinvolgimento nelle procedure di sicurezza informatica.
Francesco Nonni @ F3RM1 Foundation