Nei fatti, il lavoro da remoto è fatto da strumenti e software che permettono al lavoratore di collegarsi alle risorse aziendali interne ovunque si trovi. Questa grande libertà comporta però anche dei rischi, che sono gestibili se vengono presi in considerazione durante la fase di pianificazione.

Dispositivi aziendali o personali?

I rischi sono diversi se per il lavoro da remoto si utilizzeranno dispositivi forniti direttamente dall’azienda o dispositivi personali.

La motivazione è semplice: i dispositivi personali sono molto eterogenei tra loro, e la loro configurazione è al di fuori del controllo dell’azienda.

Alcuni dipendenti potrebbero avere notebook con sistemi operativi non aggiornati, o peggio ancora fuori supporto. Altri potrebbero avere installato del software che per sua natura comporta dei rischi per la cybersicurezza aziendale.

Allo stesso modo, un dispositivo personale o una rete domestica potrebbero essere compromessi senza che la persona ne sia consapevole, rischiando così di compromettere tutta la rete aziendale.

Per questo motivo, per sviluppare un modello in grado di gestire minacce e rischi bisogna tenere in considerazione che tipo di dispositivi useranno le persone per lavorare da remoto.

Sistema operativo e antivirus

Prima di consentire l’uso di dispositivi personali per il lavoro da remoto, è fondamentale accertarsi che siano soddisfatti dei requisiti minimi di sicurezza, come:

• Sistema operativo recente e aggiornato con patch di sicurezza periodiche;
• Software antivirus installato e periodicamente aggiornato.

Se il dipendente non dispone di Sistema operativo adeguato o software antivirus aggiornato, potrebbe essere opportuno dotarlo di licenza per l’installazione del software, o di un pc aziendale configurato in modo sicuro.

Credenziali di autenticazione

Soprattutto quando si usa un pc personale per lavorare è fondamentale gestire le credenziali di autenticazione in modo adeguato.

Come detto, i dispositivi personali potrebbero essere compromessi all’insaputa di chi li utilizza, mettendo a rischio anche le credenziali di autenticazione usate per accedere ai sistemi informativi aziendali.

Come se non bastasse, è possibile che questi dispositivi vengano usati in ambito familiare, aumentando ancora di più i rischi di abuso delle credenziali di accesso.

Fortunatamente, mitigare questi rischi è semplice: basta dotare i dipendenti di password manager, software in grado di memorizzare in modo sicuro (eventualmente anche in Cloud) migliaia di credenziali di accesso.

Nel caso in cui i dipendenti debbano accedere a risorse particolarmente importanti per l’operatività o per la natura dei dati trattati, sarebbe opportuno implementare tecniche di autenticazione multi-fattore, così da mitigare rischi di abuso delle credenziali di autenticazione e accesso non autorizzato ai sistemi aziendali.

Come accedere alle risorse aziendali?

Se le risorse aziendali non sono in Cloud, per accedervi da remoto ci sono due soluzioni:

• Utilizzare una connessione VPN;
• Installare un software per il controllo remoto.

La VPN (Virtual Private Network) è una connessione privata con cui è possibile collegarsi direttamente alle risorse aziendali. Le connessioni tramite VPN sono cifrate ed ogni utente deve essere autenticato.

Una volta connessi con VPN, i dipendenti potranno accedere direttamente al server aziendale, e lavorare come se fossero alla loro scrivania.

L’alternativa è utilizzare software per il controllo remoto. Una volta installati su un computer, questi software permettono di connettersi e gestire questo computer tramite un altro computer, collegato al primo grazie all’accesso remoto (a distanza).

Questi software devono essere però scelti con cura e assicurare che possano fornire un controllo centralizzato degli accessi, onde evitare rischi di accesso non autorizzato ai sistemi aziendali.

La scelta e configurazione di software per l’accesso remoto non è sempre semplice e dipende anche dal contesto di applicazione.

Per questo motivo, la soluzione preferibile a lungo termine potrebbe comunque essere la VPN.

Gestire le identità digitali

Quando si lavora da remoto, l’unico modo che hai per evitare rischi di accesso non autorizzato alle risorse aziendali è assicurare una buona gestione delle identità digitali.

In particolar modo:

• Verifica periodicamente e amministra le identità digitali e credenziali di accesso dei dipendenti, revocandole quando necessario, ad esempio in caso di assenza prolungata;
• Verifica periodicamente i diritti di accesso e autorizzazioni secondo i principi di minimo privilegio e separazione delle funzioni;

È molto frequente che in assenza di controlli gli utenti acquisiscano sempre più diritti di accesso nel corso del tempo (privilege creep).

Altri consigli “tecnici”

Si riportano di seguito alcuni ulteriori consigli tecnici da adottare per aumentare il livello di sicurezza informatica e delle informazioni in contesto di smart working:

• Mantenere aggiornati i dispositivi aziendali forniti con le ultime patch di sicurezza e adeguatamente equipaggiati con software antivirus e sistemi EDR (Endpoint Detection & Response); questo permette di ridurre ulteriormente il rischio di compromissioni di questi dispositivi al di fuori della rete aziendale e di comunicare tempestivamente eventuali anomalie ai team IT e cyber security aziendali, per gestire correttamente ed in tempo utile eventuali incidenti. La capacità di risposta agli incidenti offerta da questo tipo di piattaforma è anche utile per la gestione remota di questo tipo di eventi, in quanto permette di interrogare gli endpoint ed effettuare attività di blocco direttamente dal punto centrale di gestione.
• Prevedere una corretta hardenizzazione dei dispositivi ovvero applicare una configurazione che ne impedisca un utilizzo diverso da quello lavorativo. Bisogna quindi fare in modo, ad esempio, che i dispositivi non possano navigare in internet senza transitare per i proxy aziendali e inibire l’utilizzo delle porte USB per connettere unità di archiviazione di massa, o forzare la cifratura dei dispositivi rimovibili.
• Intensificare la periodicità di scansioni perimetrali ed interne con strumenti di vulnerability management allo scopo di identificare vulnerabilità, principalmente legate alla gestione del cambiamento (a seguito dell’introduzione dello smart working) e all’estensione del perimetro aziendale ICT, verificando le vulnerabilità sui sistemi server, sui dispositivi gateway che permettono la remotizzazione delle attività e sulle postazioni di lavoro del lavoratore in smart working.
• Verificare che i gateway VPN, e i dispositivi di protezione perimetrale in genere, siano up to date all’ultima release e all’ultima patch resa disponibile dal vendor, e che il dispositivo sia hardenizzato, eliminando servizi e funzionalità inutili, che non sia esposta l’interfaccia di gestione su rete pubblica, che non siano utilizzate password e account di default/deboli, che vengano utilizzati protocolli sicuri per la cifratura e “cypher suite” robuste.
• Adottare soluzioni di tipo Early Warning per la tempestiva comunicazione di vulnerabilità e minacce sulle tecnologie particolarmente esposte causa smart working (boundary protection, VPN gateway, workstation & endpoint).
• Applicare tecniche di virtualizzazione desktop (Virtual Desktop Infrastructure); adottando soluzioni che consentano l’accesso ad asset virtualizzati, interni alla rete aziendale e che permettano quindi di mantenere le informazioni all’interno del perimetro protetto dell’azienda, quali Virtual Desktop Infrastructure/Environment, application streaming o altro).
• Prevedere sistemi di cifratura dei dati locali (File System/Disk Encryption) al fine di prevenire la perdita di dati critici in caso di furto o smarrimento dei PC dei dipendenti in quanto la mobilità ne aumenta la probabilità di accadimento.
• Utilizzare esclusivamente connessioni cifrate (Virtual Private Network) per la connessione alle reti aziendali, utilizzando “cypher suite” con l’adeguato grado di robustezza (lunghezza delle chiavi, algoritmi non deprecati, …).
• Adottare sistemi anti-DDoS per essere pronti a mitigare il rischio di attacchi volumetrici. Infatti, se fino ad oggi le attività svolte da remoto erano una minima parte, ora sicuramente rappresenteranno una quota maggioritaria. Questo significa che una indisponibilità dei sistemi aziendali che terminano le VPN o più in generale dell’accesso alle risorse aziendali, determinerà un blocco o un rallentamento significativo delle attività.
• Adottare soluzioni multi-carrier che prevedano l’utilizzo di due o più carrier a garanzia della continuità dei servizi erogati e della operatività del proprio personale remoto legati ai disservizi dei carrier, che in periodi di sfruttamento elevato della rete diventano sempre più probabili e frequenti.