In alcuni articoli sul lavoro ibrido abbiamo esplorato i potenziali rischi informatici in cui possono incorrere gli utenti a causa dell’utilizzo spesso non corretto del cloud e di altri servizi digitali. Ma che dire del pezzo chiave della tecnologia che li collega? I dispositivi portatili, così come computer, smartphone, tablet e chiavette, hanno sempre rappresentato un elemento di grande rischio per la sicurezza IT aziendale. Prima dello scoppio della pandemia questi dispositivi erano principalmente fissi. Mentre ora che gli uffici riaprono e il lavoro ibrido diventa una realtà, i nuovi modelli di lavoro moltiplicano le esigenze aziendali, in termini di infrastruttura necessaria a mantenere un adeguato livello di produttività, esponendo i datori di lavoro a una serie di rischi di sicurezza. Il numero di dipendenti che fanno la spola tra casa, spazi di lavoro condivisi, sedi dei clienti e l’ufficio aumenta sempre più e rappresenta un potenziale molto maggiore di rischio di violazioni per i dispositivi e i dati.
Un nuovo modo di lavorare
Oltre il 64% delle aziende spera di adottare il lavoro ibrido dopo l’allentamento delle restrizioni definite a livello globale. Tuttavia, mentre una mix tra lavoro in ufficio e a distanza viene adottato dalla maggior parte dei dipendenti, guidando così sia la produttività che il benessere del personale, nuove sfide da affrontare si presentano all’orizzonte. Al centro di queste si trova la risorsa più importante e potenzialmente l’anello più debole dell’organizzazione nella catena della sicurezza: i suoi lavoratori.
Ciò che probabilmente emergerà quando le restrizioni saranno allentate, sarà una maggiore fluidità nel modo e nel luogo di lavoro dei dipendenti. Oltre a dividere il tempo tra ufficio e casa, ci potrebbe essere l’opportunità di lavorare da spazi di lavoro condivisi, mentre le visite ai clienti e ai partner ricominceranno in presenza. Tutto questo significa solo una cosa: cambiamento. Questo è un potenziale problema quando si tratta di cybersicurezza, poiché gli esseri umani sono creature abitudinarie. Uno dei modi migliori per insegnare pratiche più sicure è incoraggiare comportamenti di sicurezza automatici, ma questo diventa molto più difficile quando i dipendenti non hanno più un unico modello di lavoro.
I rischi per la sicurezza dei dispositivi utilizzati durante il lavoro ibrido
I dipendenti si porteranno dietro dispositivi mobili, si connetteranno in viaggio e potenzialmente trasporteranno anche documenti cartacei sensibili. In questo contesto, i principali rischi informatici possono essere collegati a:
Dispositivi mobili smarriti o rubati: se non protetti con codici di accesso, crittografia forte o funzionalità di cancellazione remota, computer portatili, smartphone e tablet potrebbero esporre dati e risorse aziendali.
Documenti cartacei smarriti o rubati: nonostante la popolarità delle tecnologie digitali, i documenti tradizionali rimangono un rischio per la sicurezza.
Spia digitale: con l’avvento di un maggior numero di viaggi da e per l’ufficio e altri luoghi, si ha un rischio maggiore che gli individui vicini possano cercare di ascoltare le conversazioni video, o curiosare le password e altri dati sensibili. Tali informazioni, anche se solo parzialmente catturate, potrebbero essere utilizzate per commettere furti di identità o effettuare successivi tentativi di attacco di social engineering.
Reti Wi-Fi non sicure: più lavoro a distanza significa anche una maggiore esposizione a hotspot Wi-Fi potenzialmente rischiosi in luoghi pubblici come stazioni ferroviarie, aeroporti e caffè. Anche se queste reti richiedono una password, i dipendenti possono essere a rischio di intercettazioni digitali, attacchi malware, dirottamento delle sessioni o attacchi man-in-the-middle.
Come mitigare il rischio di sicurezza dei dispositivi
La buona notizia è che queste minacce esistono da anni e policy collaudate possono aiutare a ridurle. L’urgenza deriva dal fatto che, molto presto, la maggioranza dei dipendenti potrebbe esserne esposta, a confronto con il numero relativamente piccolo di lavoratori remoti pre-pandemia. Ecco cosa fare:
Formazione e consapevolezza dei dipendenti: programmi efficaci di formazione del personale possono aiutare a ridurre il rischio di phishing. Gli stessi processi possono essere adattati per la sensibilizzazione dei dipendenti sulle potenziali minacce menzionate sopra, compresi argomenti come la gestione delle password, il social engineering e l’uso sicuro del web. Le tecniche di gamification sono sempre più popolari perché è stato dimostrato che accelerano il processo di apprendimento, migliorano la ritenzione delle conoscenze e producono cambiamenti di comportamento duraturi.
Politiche di controllo degli accessi: l’autenticazione degli utenti è una parte fondamentale di qualsiasi strategia di sicurezza aziendale, soprattutto quando si gestisce un gran numero di utenti remoti. Le policy dovrebbero essere adattate alla propensione al rischio dell’organizzazione, ma le best practice di solito includono password forti e uniche, memorizzate in un gestore di password, e l’autenticazione a più fattori (MFA). Quest’ultima significa che, anche se una ‘spia’ digitale cattura la password o le credenziali monouso, l’account rimarrà sicuro.
Sicurezza dei dispositivi: va da sé che i dispositivi stessi dovrebbero essere protetti e gestiti dall’IT. Crittografia forte del disco, autenticazione biometrica, blocco remoto e cancellazione dei dati, protezione del codice con blocco automatico, sicurezza dell’endpoint, patch regolari/aggiornamenti automatici e back-up del cloud sono tutti elementi importanti.
Zero Trust: questo modello di sicurezza sempre più popolare è stato progettato per un mondo in cui gli utenti possono accedere alle risorse aziendali in modo sicuro da qualsiasi luogo e su qualsiasi dispositivo. La chiave è l’autenticazione continua basata sul rischio di utenti e dispositivi, la segmentazione della rete e altri controlli di sicurezza. Le organizzazioni dovrebbero essere in grado di gestire la violazione, applicare una politica di minimo privilegio e trattare tutte le reti come non attendibili.
Conclusioni
Il passaggio al lavoro ibrido non sarà facile, ma con una solida serie di policy di sicurezza applicate da tecnologie e vendor affidabili, i datori di lavoro hanno molto da guadagnare dal “liberare la loro forza lavoro”.