Proteggere l’accesso da remoto alle proprie infrastrutture aziendali e, allo stesso tempo, mantenere alta la produttività dei dipendenti potrebbero sembrare due concetti in antitesi tra loro, a meno di non identificare le necessarie regole tecniche e operative per la corretta organizzazione delle attività produttive.
Diciamo che per principio di vita, io sono sempre stato orientato al punto di vista costruttivo e cerco di trarre sempre nuovi stimoli e cogliere le opportunità che gli eventi ci presentano. Ovviamente emozionalità permettendo.
Indice degli argomenti
Il fattore umano
Quello che è certo è che per necessità abbiamo dovuto, chi più chi meno, stravolgere la nostra quotidianità per rivedere e riprogettare le nostre priorità. Con tutto lo stress che ciò ha significato.
È inutile dire che una di queste è proprio il lavoro che per molti di noi ha subito dei profondi cambiamenti. Che hanno coinvolto anche il tessuto imprenditoriale: già in altri frangenti ho espresso l’idea che il lavoro che le aziende hanno svolto, implementando la remotizzazione delle postazioni di lavoro, ha garantito la business continuity cercando di sostenere un impatto momentaneamente negativo. E per certe realtà il lavoro svolto è stato eccezionale.
Ora che la necessità del primo periodo si è, bene o male, trasformata nella realtà quotidiana si vede la necessità di rendere la remotizzazione una gestione strutturata.
L’applicazione del principio di security by default
Di cosa stiamo parlando? Essenzialmente delle due domande principali che ci dobbiamo porre. Come posso implementare la sicurezza di un’unità produttiva remota? In che grado la remotizzazione impatterà sulla capacità produttiva degli utenti?
L’aspetto della sicurezza è certamente, tra i due, quello che può generare le ansie più grandi. Facciamo un punto. Una media azienda ha investito per anni nello sviluppo IT in un modello che vedeva prevalere la modalità server client, poiché sono gli utenti che si recano in azienda ed in sede trovano la propria postazione di lavoro.
Quindi una volta stabilito il perimetro, la sicurezza IT viene sviluppata in base a questi scenari che si sono consolidati nel tempo.
La nuova necessità, arrivata per altro all’improvviso, vuole invece esplodere le postazioni remote in un contesto in cui ogni utente remoto rappresenta un’unità di rischio a sé da valutare e sulla quale operare, insieme alle altre, una politica di implementazione per raggiungere almeno gli standard di sicurezza minimi.
Considerate che in un perimetro ben delimitato, per quanto esteso esso possa essere, le minacce che possano insistere in ambito human, technology ed environment sono bene o male identificabili e mitigabili con una buona politica di sicurezza.
Visto che oggi la cyber criminalità si è evoluta e si sono evoluti anche gli strumenti che ogni singolo utente ha a disposizione, aggiornerò per lo meno di anno in anno le analisi che mi porteranno a valutare i miei rischi. Non dimentichiamoci che per molte realtà i rischi esterni sono quelli meno preoccupanti; invece i rischi interni possono rappresentare un problema enorme, in quanto se le misure di sicurezza IT contemplano anche eventuali analisi comportamentali per prevenire fenomeni di dipendenti infedeli, tali sono molto più complesse da attuare nel caso in cui ci sia l’obbligo (e quindi la necessità) di remotizzare il lavoro con conseguente perdita di controllo su molti fattori.
Fortunatamente, anche la tecnologia si è evoluta ed oggi possiamo dire di avere la possibilità di attuare un sistema di remotizzazione con standard di sicurezza di alto livello.
Cosa fare in azienda
Di fronte ad una sfida così complessa, chi ritiene che solo l’installazione e configurazione di un firewall sia sufficiente incorre in un errore di superficialità. Per quanto un firewall ben strutturato prevenga tutta una serie di problemi, non si può non considerare l’adozione di un SIEM (Security Information and Event Management).
Adottare, infatti, una soluzione di monitoraggio continuo è la maniera migliore per evidenziare gli ambiti sui quali intervenire con una logica progressiva di interventi correttivi.
Ciò prevede che si siano una serie di strumenti necessari per raccogliere e analizzare dati che arrivano da strumenti diversificati:
- strumenti di sicurezza: Intrusion Detection Systems, Intrusion Prevention Systems, VPN concentrators, Web filters, Honeypot, Firewalls, Software di sicurezza (es. antivirus);
- dispositivi di rete: router, switch, DNS server, wireless access point, WAN, Data transfer, Private Cloud Network;
- apparati: dispositivi degli utenti, server di autenticazione, database, cloud-hosted server;
- applicazioni: applicazioni intranet, applicazioni web, applicazioni SaaS.
Il principio è basato sulla capacità di aggregare dati significativi, provenienti da molteplici fonti, stabilendo in tempo reale analisi e correlazioni finalizzate a individuare comportamenti anomali, segnali critici e a generare allarmi, rispondendo alle esigenze di incident response, compliance e analisi forensi. La natura stessa della tecnologia comporta un continuo adeguamento in base alle continue valutazioni sulla sicurezza effettuate dai CSO, unitamente a tutti gli adeguamenti normativi del caso.
Se la cosa può apparire complessa e adottabile solo da strutture di una certa dimensione, si deve pensare che oggi le aziende ed organismi che forniscono servizi di cyber sicurezza propongono la soluzione SIEM “as a service”, con tutte le garanzie che ne derivano.
Come strutturare il remoto
Per quel che riguarda invece la postazione remota, la soluzione ideale sarebbe quella che l’azienda fornisce tutto il necessario all’utente che si vedrà, ovviamente, una postazione di lavoro opportunamente attrezzata e limitata al solo uso per la quale è stata fornita.
Se ciò non fosse possibile, al minimo si dovrebbe prevedere un collegamento VPN come minimal requirement, meglio se basato su certificato di autenticazione.
Attualmente, alcuni operatori dati mobile hanno evoluto l’offerta di SIM dati con indirizzo IP pubblico statico a prezzi ormai sempre più competitivi. In tal modo sei hai l’IP corretto il sistema ti chiede l’autenticazione per accedere in VPN, altrimenti vieni respinto.
In più, le risorse da utilizzare dovrebbero essere sottoposte a restrizione basata su utente la cui gestione dev’essere centralizzata.
Anche in questo caso, se si è scelto di adottare la soluzione di sicurezza gestita da un fornitore esterno, esso saprà come strutturare al meglio gli accessi remoti in sicurezza.
Calcolare il ROI degli investimenti in sicurezza
Certamente molti faranno alcune considerazioni: oggi garantire la business continuity passa per la remotizzazione delle postazioni e tutto quello che implica la loro messa in sicurezza, ovviamente si traducono in investimenti. Investimenti e non costi.
Quindi, dato per scontato che gli utenti mantengono il medesimo senso di responsabilità, la domanda è se tutto ciò non sia dispersivo e comporti una diminuzione di efficienza del personale coinvolto.
Interessante, da questo punto di vista, è lo studio di Minsait del quale si riporta uno stralcio.
“L’estensione del programma di Smart Working in Italia è stata un successo, grazie alle capacità e agli strumenti tecnologici messi a disposizione dei nostri dipendenti, la cui professionalità e impegno ci hanno permesso di garantire il servizio ai clienti con la qualità che ci contraddistingue. Questo, insieme alla priorità di salvaguardare la salute e la sicurezza di tutti, ci ha portato a estendere ulteriormente lo Smart Working per tutti i nostri collaboratori nel Paese”, ha affermato Pedro Garcia, AD di Minsait in Italia.
Stando ai dati della survey, degli oltre 1200 professionisti della società di tecnologia e consulenza che lavorano in Italia, il 72% afferma di aver aumentato la propria produttività grazie allo Smart Working, mentre il 24% dichiara che questa modalità di lavoro non ha impattato sulla propria produttività. Per il 59% è migliorata anche la qualità della vita, grazie ad una maggiore autonomia e responsabilizzazione e ad una migliore conciliazione dell’attività lavorativa con la propria vita privata.
Sorridono anche le tasche, con il 77% dei professionisti della società che dichiara di aver risparmiato sui costi di trasporto per raggiungere l’ufficio, riuscendo anche a contribuire alla riduzione delle emissioni di CO2 e a rispettare maggiormente l’ambiente, considerato dal 73% dei professionisti tra i principali vantaggi di questa modalità di lavoro.
Lo Smart Working ha anche facilitato la formazione dei professionisti. Nei mesi di marzo e aprile, Minsait ha registrato un incremento del 59% delle ore di apprendimento online rispetto allo stesso periodo nel 2019. I professionisti hanno a disposizione dal 2018 la piattaforma di formazione online Udemy for Business, incorporata nella Corporate University della società.”
