Salvo poche eccezioni, in particolare nei settori più sensibili, capita spesso che le persone utilizzino le proprie postazioni di lavoro per alcuni (se non tutti) scopi personali. Soprattutto quando si tratta di un telefono cellulare. Eppure sono queste stazioni che costituiscono il vettore più “efficace” per attacchi dannosi contro gli IS delle organizzazioni. Possiamo quindi immaginare un mondo in cui usi digitali professionali e personali siano rigorosamente separati?
Postazioni di lavoro: una porta aperta su tutto l’IS
In linea di principio, gli attacchi dannosi contro aziende o amministrazioni hanno generalmente due obiettivi, spesso accoppiati: denaro e informazioni. E in tutti i casi vengono effettuati con metodi industriali, garantendo efficienza e riproducibilità agli aggressori. Tra questi metodi, l’hacking in reti Wi-Fi non protette è efficace ma richiede l’accesso fisico. Gli attacchi a server scarsamente protetti possono causare danni, ma spesso rimangono confinati nei loro ambienti applicativi. È anche possibile attaccare il VPN-SSL dell’organizzazione se è vulnerabile. Ma niente è paragonabile al successo del prendere di mira gli utenti, tramite e-mail (phishing) o navigazione (piantare malware sui computer tramite siti Web corrotti).
Anche se ben protetta, la workstation dell’utente rimane di gran lunga la più vulnerabile perché, per definizione, è collegata all’Active Directory dell’azienda (lo strumento di directory più diffuso sul mercato). E questa soluzione, nonostante gli sforzi degli sviluppatori, rimane soggetta a numerose vulnerabilità che consentono l’accesso remoto e l’elevazione dei privilegi da un account utente. Questo apre le porte al famoso “Accesso amministratore” e a tutti i dati dell’azienda.
Sicurezza informatica proattiva e trasparente per l’utente
Per proteggersi il più possibile da questi rischi, niente di più semplice: oltre a software dedicati alla cybersecurity, basterebbe mantenere aggiornate le proprie postazioni, per evitare lo sfruttamento di falle conosciute. Questo è vero, ma non tiene conto delle vulnerabilità Zero Day, sulle quali gli hacker informatici stanno diventando sempre più produttivi. Per contrastare questi rischi, l’implementazione di soluzioni in grado di bloccare azioni non di routine delle applicazioni o del sistema rimane una pratica efficace e proattiva. In sostanza, il malware ha comportamenti molto specifici, alla ricerca di qualsiasi tipo di apertura per entrare e modificare i sistemi.
In tutti i casi, tuttavia, questi strumenti devono essere il più trasparenti possibile per l’utente, in modo che possa svolgere le sue attività quotidiane con tranquillità e non perdere produttività a causa di blocchi permanenti. Questo non dovrebbe in alcun modo impedirgli di rimanere vigile!
Oltre le carte degli utenti, verso un uso strettamente professionale delle postazioni di lavoro?
A parte alcuni settori che gestiscono dati sensibili in cui le workstation sono altamente bloccate e limitano l’utilizzo al minimo indispensabile, molti utenti utilizzano le loro workstation per scopi personali. Spesso consentono persino ai loro figli di usarlo o di giocare in rete con esso. Questa situazione è senza dubbio esacerbata dall’accelerazione del telelavoro, quando non è l’azienda a chiedere al dipendente di utilizzare la propria macchina personale per non dover pagare una macchina professionale. Sebbene alcune organizzazioni abbiano predisposto carte d’uso e strumenti informatici per i propri dipendenti, in pratica poche applicano sanzioni in caso di comportamento imprudente, anche se ciò comporta situazioni di particolare gravità per l’intero sistema informativo (smarrimento, furto di dati o ransomware, ecc.).
Con lo sviluppo dell’home computing (smartphone, tablet, PC, accesso a Internet), associato a rischi digitali sempre maggiori per le organizzazioni, forse è giunto il momento che queste limitino rigorosamente gli strumenti digitali messi a disposizione dei propri dipendenti per usi professionali.
In questo caso si parlerebbe di strumenti digitali di servizio (solo per uso professionale) e non più di strumenti digitali di funzione (per uso “globale” da parte del dipendente). Ciò non risolverà tutti i problemi di sicurezza informatica, ma potrebbe almeno contribuire a rendere i dipendenti più responsabili e quindi a migliorarne l’utilizzo.
