La sicurezza informatica nell’epoca del telelavoro
Il mondo del lavoro si sta sempre più spingendo verso una dematerializzazione, dalla presenza costante in ufficio a un più flessibile contributo da remoto. Complice anche la recente pandemia da coronavirus, e le relative limitazioni imposte dai vari governi mondiali, sempre più lavoratori si sono dovuti convertire allo smart working. Connessi dalle loro abitazioni, fruendo di propri dispositivi e di connessioni veloci, eseguono a grande distanza compiti che normalmente porterebbero a termine in ufficio. Ma come si inserisce la sicurezza informatica nell’epoca del telelavoro?
Quello del telelavoro non è di certo uno strumento nuovo: esiste praticamente dai primi tempi della diffusione delle connessioni always-on. Eppure è proprio nel 2020 che ha trovato una diffusione capillare, data la necessità di ridurre al minimo i contatti sociali. Si tratta di un’evoluzione repentina, che in molti casi non ha permesso alle aziende di adoperarsi per tempo pur di garantire la sicurezza delle loro attività.
Telelavoro: i rischi più comuni
Indipendentemente dal momento storico in cui tutti si trovano immersi, dove lo smart working è diventata per molti l’unica alternativa, del telelavoro si parla da ben prima dell’apparizione della pandemia da coronavirus. Il mercato si stava lentamente orientando in quella direzione, vedendo nella possibilità di avvalersi di lavoratori da remoto non solo una positiva capacità di rendere flessibile il lavoro, ma anche un’opportunità per ridurre i costi. D’altronde, già oggi sono molte le categorie di professionisti abituati a prestare il loro contributo da remoto, dagli sviluppatori ai giornalisti, passando per molte altre figure.
Eppure, il telelavoro mette le aziende di fronte anche a dei rischi da non sottovalutare:
- Furto di informazioni riservate: il problema più evidente del telelavoro è rappresentato dal possibile furto di informazioni riservate, che normalmente non sarebbero in grado di superare i confini fisici dell’azienda. Sia per specifici comportamenti dei dipendenti, i quali possono fornire a terzi dati approfittando dell’assenza di un monitoraggio in presenza, che per la scarsa sicurezza delle soluzioni informatiche adottate. A volte si tratta di veri e propri casi di phishing, con i dipendenti che cadono nella trappola di un portale del tutto sovrapponibile a quello aziendale ma creato per scopi malevoli. Altre possono entrare in gioco sistemi più sofisticati, come lo sniffing delle connessioni WiFi e molto altro ancora. Dei problemi, questi ultimi, che si rendono ancora più evidente quando il lavoratore sfrutta device personali e connessioni consumer;
- Diffusione di malware: poiché il lavoratore tende a sfruttare dispositivi personali, spesso impiegati ben oltre alle necessità lavorative, non si può escludere il rischio malware. Un documento creato su un computer non sicuro, ad esempio, potrebbe rappresentare un veicolo di diffusione di virus, trojan, keylogger e affini, senza che l’azienda possa agire con largo anticipo per limitarli;
- Violazione call: una delle modalità più diffuse per interagire con i lavoratori da casa prevede il ricorso allo strumento della call audio e video, sfruttando piattaforme come Google Meet e Zoom. Diversi casi di cronaca hanno però svelato bug e falle in sistemi analoghi, tanto che sconosciuti sono riusciti più volte a ottenere l’accesso a riunioni riservate. La maggior parte degli episodi si è risolta in modo più o meno goliardico - con esterni che si collegano a una call per urlare, diffonde musica o mostrare nudità - ma non si può escludere che lo stesso sistema venga sfruttato da malintenzionati a scopo di spionaggio.
- Assistenza IT: il lavoro in presenza garantisce un rapido intervento dei tecnici IT in caso di problematiche, affinché ogni minaccia possa essere contenuta in tempi record. Così non avviene per il telelavoro, dove l’assistenza avviene a distanza e il lavoratore potrebbe non disporre competenze sufficienti per operare autonomamente tutte le verifiche del caso.
Questo 2020 ormai al termine ha dimostrato come il telelavoro sia una modalità a cui non è possibile rinunciare. Per le aziende, non esiste più la possibilità di scelta tra i vantaggi e gli svantaggi del remote working: il telelavoro deve essere necessariamente applicato, cercando di adottare le misure più sicure possibili. Ma cosa fare?
- Device personali: il primo passo da compiere è valutare attentamente la possibilità di garantire ai lavoratori l’uso di device personali. Sarebbe sempre meglio fornire ai dipendenti computer, smartphone e altri dispositivi aziendali, opportunamente blindati per evitare che non vengano utilizzati per operazioni pericolose. In caso questa opzione non fosse possibile, bisogna far leva innanzitutto sulla capacità di collaborazione del lavoratore, chiedendo il comportamento più consono possibile nelle ore di lavoro. Ancora, utile è implementare sistemi preventivi per limitare i danni.
- VPN: poiché le connessioni domestiche non garantiscono un livello di sicurezza sufficiente per necessità aziendali, è sempre utile offrire al lavoratore un accesso a una VPN, affinché tutto il traffico scambiato da casa ai server aziendali rimanga lontano da occhi indiscreti;
- PC remoto: per superare i problemi che potrebbero sorgere dall’uso di device personali, indispensabili sarà implementare le tecnologie di PC remoto. Grazie a connessioni veloci e all’uso di software specifici - come TeamViewer - il device del lavoratore diventerà solo uno scherzo, poiché verrà usato il computer fisicamente presente in azienda. Con tutti i vantaggi che questo comporta in termini di sicurezza;
- Check multipli: per garantire l’accesso all’esterno a risorse aziendali, è bene implementare un sistema di riconoscimento delle credenziali a check multipli, come ad esempio l’autenticazione a due fattori. Ancora, i documenti in condivisione dovranno essere sempre caricati su server sicuri e resi disponibili a un set predefinito di utenti, con relativo accesso personale, affinché rimangano lontani dalle mire di sconosciuti;
- Formazione: la sicurezza informatica si garantisce anche e soprattutto con la fiducia, quindi è sicuramente necessario organizzare dei corsi periodici, anche da remoto, affinché i dipendenti abbiano sempre ben chiari gli obiettivi aziendali, siano informati sul comportamento da assumere in caso di rischi e minacce e comprendano le eventuali conseguenze per le violazioni.