Sicurezza informatica e smart working: cosa devi sapere

Lo smart working, se da un lato porta innovazione e benefici, dall’altro aumenta la complessità delle operazioni di sicurezza informatica

Il difficile periodo che abbiamo attraversato a causa della pandemia ha reso il concetto di “smart working” un termine di uso comune. In realtà, nella grande maggioranza dei casi, quando si parla di smart working ci si riferisce al “lavoro da remoto”: lavorare principalmente dalla propria abitazione, senza ulteriori precisazioni sulle modalità organizzative del lavoro stesso.

Secondo una ricerca del Politecnico di Milano, si stima che più di 5 milioni di lavoratori continueranno ad utilizzare questa “nuova” modalità di lavoro nei prossimi mesi. D’altra parte, anche se il contesto sanitario fosse completamente diverso, ci sarebbe sempre l’onda inarrestabile della digitalizzazione a spingere verso una scissione tra lavoro e luogo di lavoro inteso nel senso tradizionale del termine.

Chi ha l’onere (e l’onore) di dirigere un’azienda deve entrare in un’ottica nuova: lo Smart Working sarà la modalità sempre più diffusa e ordinaria di vivere l’esperienza professionale.

Questo articolo approfondisce una questione spesso trascurata, ma che prenderà sempre più piede nelle discussioni sul tema smart working e sulle sfide che sta portando: il lavoro da remoto espone la sicurezza informatica aziendale a dei seri rischi.

A quali rischi di sicurezza informatica espone lo smart working

Come dicevo, le implicazioni dello smart working sono molteplici, ma osservandole in prospettiva della cyber-security possiamo ricondurle a due aspetti principali:

Problemi legati all’utilizzo di un device personale da parte dei lavoratori
Implicazioni dell’utilizzo di una VPN per accedere alle risorse aziendali

Chiaramente, questa è una semplificazione, e i più “tecnici” mi scuseranno. Tuttavia, guardare le cose da questa prospettiva permette a chi deve prendere decisioni in azienda di compiere scelte oculate e con cognizione di causa, o almeno di avere una panoramica iniziale del problema.

I due filoni comprendono infatti tanti temi, dalla sicurezza dei dati e delle informazioni sensibili ad aspetti legati a varie minacce informatiche. Per salvaguardare il corretto funzionamento del sistema azienda è fondamentale prendere decisioni che impattano inevitabilmente sulla sicurezza dell’azienda stessa e sulla sua sostenibilità nel tempo, ma anche e soprattutto sui collaboratori, sulle loro abitudini e sulla loro operatività.

1. I dispositivi personali possono essere porte spalancate per i malintenzionati

Ciascuno di noi possiede uno smartphone, gran parte un personal computer o un tablet. li utilizziamo per leggere email, per acquistare prodotti online su Amazon e Ebay, per navigare tra i nostri siti preferiti o per goderci un bel film a fine giornata. Quanti, però, prestano attenzione all’aggiornamento dei nostri dispositivi?

Verificare il corretto funzionamento del nostro antivirus – ammesso che ne abbiamo installato uno! – è solo la punta dell’iceberg. Le questioni sono molteplici: non sono molti coloro i quali si preoccupano di controllare la sicurezza di programmi ed app al momento dell’installazione, ad esempio, e l’elenco sarebbe ancora lungo.

Tralasciamo poi ogni considerazione sui siti web visitati dai nostri famigliari con il nostro computer, sui programmi che talvolta i nostri figli installano senza il nostro consenso esplicito (e preventivo!) e/o su quanto “scaricano” dai posti più “esotici”. Pochi, se non nessuno, si preoccupano della protezione dei dati che esponiamo in questi frangenti e della sicurezza delle informazioni che forniamo ad ogni click.

Questa poca attenzione non è una “colpa”, va detto: probabilmente la maggior parte di noi non possiede le conoscenze tecniche per tutelarsi al 100% dalle minacce provenienti dal web. In azienda, per questo, ci affidiamo a degli esperti interni che provvedono a tenere tutto sotto controllo: ma a casa? Per ovvi motivi, quando lavoriamo da remoto le cose di fanno di gran lunga più complesse.

La conseguenza principale di questa situazione è che anche nel migliore dei casi non possiamo garantire una vera cyber-security dei nostri device personali. E’ già complesso garantirla all’interno del perimetro aziendale: fuori da quello diventa una vera sfida…

2. L’accesso mediante VPN non è sicuro quanto si crede

Parliamo di VPN, ovvero del metodo più diffuso per collegarsi alle risorse aziendali dall’esterno.

Cosa c’è di più semplice? Un paio di click sull’icona del collegamento, magari con le credenziali di accesso già memorizzate, ed ecco comparire il mio ambiente di lavoro ordinario, disponibile da remoto, con tutto quello che mi serve per lavorare. Oltretutto il traffico dati è criptato: questo sì che ci fa sentire al sicuro anche mentre lavoriamo in smart working!

La realtà è un’altra, purtroppo: una VPN è sì, un collegamento diretto fra il mio endpoint e la rete aziendale, ma l’utente medio non è realmente consapevole di ciò che sta transitando sulla linea! Questo offre il fianco ad un serio problema di esposizione dei dati sensibili ad eventuali malintenzionati, fino al peggiore scenario possibile, un attacco informatico.

Infatti la porta, lato azienda, rimane costantemente aperta al traffico proveniente dalle VPN! Ciò accade perché i firewall aziendali si fidano ciecamente di questa tipologia di traffico, concedendo buone possibilità ad agenti malevoli di penetrare nei sistemi informatici aziendali.

Le cronache degli ultimi mesi testimoniano fatti decisamente spiacevoli accaduti proprio a causa di trascuratezze legate alle VPN. Tuttavia, non serve andare a scovare un caso specifico per comprendere l’entità del problema: le minacce informatiche possono provenire da una semplice e-mail!

Soluzioni: come proteggersi dai problemi di sicurezza informatica nello smart working?

L’isolamento in senso stretto può (forse) andare bene per fronteggiare una pandemia, ma chiaramente non è una strada praticabile nel mondo digitale. E’ necessario trovare percorsi diversi per coniugare sicurezza e operatività: sono 3 le considerazioni delle quali va tenuto conto quando ci si approccia ad affrontare queste sfide.

É determinante prendere coscienza della propria situazione e delle problematiche connesse
Esistono diverse strategie per affrontare il rischio informatico legato allo smart working
É un percorso che ha un inizio, ma non una fine, in quanto gli scenari cambiano e le minacce evolvono costantemente

La sfida, pertanto, è notevole, ma fortunatamente esistono ed evolvono anche le tecnologie per fronteggiarla!

Da dove partire?

Per sintetizzare: lo smart working, se da un lato porta innovazione e indiscutibili benefici, dall’altro aumenta la complessità delle operazioni di sicurezza informatica. Quanto detto fa comprendere chiaramente che non esiste una soluzione semplice e adatta a tutte le situazioni: ogni azienda è una storia a sé e possiede esigenze differenti che devono essere sempre considerate.

Per affrontare seriamente il problema è necessario innanzitutto coinvolgere il proprio responsabile IT per capire chiaramente la nostra situazione. Bisogna dotarsi di una:

Panoramica sullo status attuale: come stanno le cose in azienda e quali strategie sono state adottate fino a questo punto?
Prospettiva sul futuro: non farsi cogliere impreparati, scegliendo l’affiancamento di realtà professionali/aziendali con esperienza e competenza specifica.

Questa è la decisione di cui ti parlavo all’inizio.

Come ti suggerivo anche in questo articolo, infatti, il livello di complessità raggiunto dal cyber-risk è così elevato che le competenze sistemistiche generiche non sono più all’altezza degli scenari più recenti.

Fortunatamente, anche nel nostro paese si è cominciato a prendere sul serio il tema e con un po’ di attenzione si possono trovare le competenze informatiche necessarie per essere supportati in modo adeguato nel rafforzamento della propria sicurezza.