Un numero sempre maggiore di persone lavora da casa e questo crea problematiche per i team IT e di sicurezza informatica. Alcune di queste problematiche possono essere affrontate semplicemente apportando modifiche alle tecnologie e alle applicazioni utilizzate, ma richiederanno una maggior consapevolezza e un comportamento più attento alla sicurezza da parte dei lavoratori da remoto, che le organizzazioni dovranno quindi promuovere.

Questa è anche un’opportunità per avere migliori relazioni con i propri dipendenti. Coloro che non hanno familiarità con il lavoro da casa possono essere incerti sulle migliori pratiche da adottare per proteggere se stessi e le informazioni aziendali. In aggiunta, i professionisti IT e della sicurezza informatica potrebbero avere qualche preoccupazione in relazione all’improvvisa espansione del perimetro della rete aziendale.

È importante che il management e il team di gestione della sicurezza facciano il possibile per aiutare tutte le persone che non sono abituate a lavorare da casa a incrementare la loro protezione e, per estensione, a proteggere l’azienda. Ma in che modo il personale IT e di sicurezza informatica può contribuire ad aiutarli?

Comunicazione

La comunicazione è un primo e importante passo da compiere. Il primo fattore che rende i dipendenti maggiormente consapevoli è sapere quale risorsa aziendale sia la più importante o la più preziosa e questo include ogni informazione sensibile, compresa la proprietà intellettuale, i documenti finanziari e le informazioni sui clienti. A seconda dell’azienda, questo elenco potrebbe anche essere più lungo. Più che le semplici informazioni, però, qualsiasi computer è una risorsa potenzialmente preziosa. Se un aggressore entra in un sistema senza trovare nulla, difficilmente ne uscirà.

Credenziali

Le credenziali sono un modo comune per gli attaccanti per avere accesso ai sistemi aziendali. Esistono diversi modi per ottenerle, tra cui il credential stuffing, ovvero il riutilizzo delle credenziali di altri servizi precedentemente compromessi per tentare di effettuare il login. Se un’organizzazione ha servizi aziendali critici come la posta elettronica o sistemi di gestione di risorse condivise (i.e. siti di condivisione file come Google Drive o OneDrive) in cui l’accesso multi fattore è attualmente facoltativo, è necessario considerare la possibilità di renderlo obbligatorio e spiegare al personale perché l’autenticazione multi fattore può aumentare significativamente la difficoltà per gli attaccanti di accedere ai sistemi.

Fintanto che i token sono consentiti come fattore aggiuntivo (hard token o token basati su app) e non come messaggio SMS, la tecnologia multi fattore è un importante controllo di sicurezza, soprattutto per qualsiasi accesso da remoto ai dati e alle risorse aziendali. I messaggi SMS sono stati in passato dirottati dagli aggressori per bypassare i sistemi multi fattore.

shadow-it-100467238-primary.idge

VPN (Virtual Private Networks)

Le risorse VPN sono state messe a dura prova in quanto la maggior parte delle aziende non è abituata ad avere così tante persone che lavorano da casa. Tuttavia molti lavoratori potrebbero non avere la necessità reale di utilizzare una VPN. Ad esempio, se utilizzano principalmente applicazioni e posta elettronica locali e native o basate sul web, potrebbero non aver bisogno di una VPN. È a questo punto che è utile avere una comprensione delle minacce. Finché i lavoratori svolgono esclusivamente funzioni aziendali e non navigano in siti web arbitrari, la maggior parte delle risorse aziendali basate sul web garantiscono di base la riservatezza, così come farà la posta elettronica ospitata sul cloud come Google Business Suite o Microsoft Office 365.

“Questo è un altro esempio di quanto sia importante la comunicazione e la formazione”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye. “Finché gli scenari sono perfettamente compresi da tutti, il personale IT e di sicurezza informatica può ridurre la pressione sull’infrastruttura VPN e continuare proteggere l’azienda”.

Anti malware

Possedere un anti malware è essenziale. Molte aziende stanno realizzando una forma di antivirus attraverso il proprio Mail Transfer Agent (MTA) e la posta elettronica è un vettore comune di attacco, ma questo non dovrebbe essere un motivo per rinunciare ad avere un anti malware sui sistemi desktop. Questo è particolarmente vero se i dipendenti utilizzano i propri dispositivi per accedere alle risorse aziendali che possono essere ospitate su un provider basato sul cloud.

Tuttavia, l’anti malware non è perfetto: gli utenti devono proteggere se stessi e i loro sistemi utilizzando le comuni pratiche di igiene informatica. Le organizzazioni dovrebbero aiutare i dipendenti a comprendere che, anche se dispongono di software anti malware, non sono protetti totalmente. Essi hanno ancora bisogno di effettuare pratiche di safe computing, come ad esempio convalidare sempre gli allegati, i link ai siti web e le richieste di trasferimento di denaro facendo una telefonata. In caso di dubbio, i dipendenti dovrebbero sentirsi incoraggiati sempre a contattare l’help desk.

IT Shadow

L’IT Shadow è un problema per molte organizzazioni. Le risorse approvate dall’IT devono essere disponibili per i dipendenti che a loro volta devono sapere come usarle da casa. Questo metterà in difficoltà le persone che utilizzano risorse IT non autorizzate, come ad esempio i siti di file sharing. Le persone utilizzano sistemi di IT shadow spesso non sanno che esiste una risorsa approvata aziendalmente per soddisfare le loro esigenze o la evitano perché è troppo difficile accedervi. Le organizzazioni dovrebbero assicurarsi che tutte queste problematiche vengano affrontate e che l’IT shadow possa essere ridotto al minimo o eliminato.

Lavorare da casa può essere molto produttivo. Alcuni studi hanno dimostrato che i lavoratori da remoto sono più efficienti e, anche per questo motivo, non deve essere difficoltoso eseguire il proprio lavoro né deve generare un incremento del rischio per la sicurezza delle informazioni. Vi sono alcune questioni che il personale IT e di sicurezza informatica dovrebbe fare per aiutare i dipendenti a superare questo momento.