Sicurezza 7/7: Decalogo per il BYOD, Soluzioni per aziende colpite dall’alluvione

AziendeSicurezzaSoluzioni per la sicurezza
NSA a caccia di dati su smartphone

Come governare il fenomeno BYOD in azienda: il decalogo di Stonesoft. I consigli di Kroll Ontrack alle aziende “alluvionate”

Decalogo per il BYOD: Gli esperti di Stonesoft hanno redatto un decalogo, basato su autenticazione a più fattori, single sign-on e token software,  per governare il fenomeno del Bring your own device in azienda. La consumerization dell’IT non si arresta, anzi, avanza: “Il BYOD è un altro trend tecnologico che permette all’impresa di spostare il proprio focus dall’evitare il rischio alla capacità di gestirlo. Molte divisioni IT commettono l’errore di concentrare gli sforzi su un unico tassello del puzzle, come per esempio i dispositivi. Se si intende minimizzare il rischio del BYOD, è invece necessario soppesarne l’impatto sull’intero ecosistema della sicurezza di rete e comprenderne le debolezze, più o meno rilevanti, che ne derivano”, ha commentato Emilio Turani, Country Manager di Stonesoft Italia, Svizzera Italiana e Grecia.. Stonesoft consiglia di adottare elementi che minimizzino i rischi legati al modello BYOD, implementandolo all’interno delle imprese in maniera efficace e sicura pur facilitando l’accesso remoto protetto alle informazioni business-critical. Ecco una sintesi delle dieci raccomandazioni di Stonesoft per importare il modello BYOD in azienda in maniera sicura ed affidabile: 1. Autenticazione: non solo password. Le password statiche, combinate con i rischi tipici del modello BYOD, non sono uno strumento sufficiente ad assicurare la protezione dell’accesso remoto a sistemi e dati aziendali sensibili. L’impresa deve esaminare metodi di autenticazione a più fattori in grado di potenziare la sicurezza pur privilegiando la praticità d’uso. Le password one-time e i metodi alternativi di notifica (per esempio i messaggi SMS), per esempio,  consolidano e rendono affidabile il processo di autenticazione. 2. Accesso remoto sicuro con VPN basata su SSL. Una volta eseguita l’autenticazione dell’utente, bisogna proteggere la connessione di rete. La VPN SSL offre flessibilità per accedere in sicurezza alla rete da qualsiasi luogo e dispositivo mobile. Inoltre, a differenza di IPSec (Internet Protocol Security), la VPN SSL non richiede la necessità di installare alcun software su ogni dispositivo. 3. SSO per evitare l’affaticamento da password. L’impiego di login separati per ogni singola applicazione introduce un rischio di sicurezza in quanto gli utenti possono ricorrere a metodi insicuri per gestire tutte le varie password. Gli strumenti di single sign-on (SSO) forniscono la praticità di un’unica password per accedere al portale aziendale e alle applicazioni cloud, e pfanno anche parte di una configurazione VPN SSL. 4. Controllo degli end node. Quando un dipendente lascia l’azienda dovrebbe venire meno anche la sua capacità di accedere alla rete. Va ricercata una soluzione che gestisca i dispositivi anche dal punto di vista dell’azienda – non solo del dipendente – e che permetta di azzerare in fretta i privilegi di accesso di un utente in pochi e semplici click. Il tutto, senza imporre la ridefinizione dell’intera base utenti, operazione che sarebbe troppo onerosa in termini di tempo ed esposta a potenziali errori. 5. Applicare una Federated ID. “Federated ID”, o identità federata, fa sì che l’identità di una persona viene memorizzata su più sistemi, come accade per esempio quando si usa un login Facebook o Twitter per eseguire l’accesso all’account online di un altro sito. La stessa cosa accade per l’impresa quando autentica un utente lasciandolo successivamente accedere a sistemi interni ed esterni gestiti dall’azienda stessa. Le Federated ID implementano un meccanismo di single sign-on per i dipendenti. Il dipendente gode del vantaggio di connettersi facilmente a qualsiasi sistema autorizzato, mentre l’azienda controlla l’accesso anche alle applicazioni basate su cloud, e il service provider non deve occuparsi di mantenere i profili utente. 6. Soft token con BYOD. I dispositivi di sicurezza fisici sono ormai rischiosi e poco pratici; il modello BYOD in questo senso rappresenta quindi una grande occasione di risparmio per le aziende che tagliano sui costi relativi all’acquisto, alla gestione e alla distribuzione di hard token o altri dispositivi fisici. I soft token interagiscono con l’apparecchio del dipendente, per esempio uno smartphone, offrendo una soluzione “ergonomica” funzionale per entrambe le parti, da aggiornare e amministrare in base ai cambiamenti dello scenario relativo alle minacce. 7. Gestire l’intero processo. È necessario possedere una visione centralizzata sulle attività della rete, sulle minacce in ingresso e sulle anomalie in atto, oltre che la capacità di reagire velocemente e con semplicità. Serve una console di gestione centralizzata che fornisca funzioni complete di reporting, gestione degli incidenti, avviso multicanale progressivo, statistiche geo-taggate e strumenti in grado di applicare la governance sull’intera piattaforma. 8. Identificare un responsabile, implementare una strategia. Bisogna identificare un responsabile multi-funzionale incaricato della supervisione di policy, linee guida, ruoli e mansioni dei diversi dipartimenti coinvolti nel processo. La persona dovrà definire ogni singolo aspetto del modello BYOD in ambito enterprise come i dispositivi autorizzati, le divisioni che supportano il progetto e chi ha la responsabilità di pagare assistenza, servizi, piani dati eccetera. 9. Seguire una policy. I dipendenti devono rispettare i protocolli di sicurezza aziendali anche se usano apparecchi proprisul luogo di lavoro. Una policy BYOD deve contemplare alcuni punti basilari: la capacità di auto-locking, l’identificazione personale (PIN), la cifratura del supporto, la cancellazione remota in caso di furto. Deve inoltreindicare quali dati possono e non possono essere memorizzati sul dispositivo, come intervenire in caso di furto, quali sono i processi di backup accettati. Infine, servono la user agreement policy e il rispetto le procedure di sicurezza nell’uso di questi dispositivi. 10. Promuovere il buon senso. Mai dare per scontato che i dipendenti utilizzino il buon senso. Questo va rafforzato.Anche lle più ovvie e banali misure di sicurezza, vanno riesaminate: cosa fare se un dispositivo viene perso o rubato, aggiornare con regolarità, bloccare i dispositivi quando non vengono usati e prestare estrema cautela in ciò che si scarica da Internet.

Come governare il fenomeno BYOD in azienda
Come governare il fenomeno BYOD in azienda
Autore: ITespresso
Clicca per leggere la biografia dell'autore  Clicca per nascondere la biografia dell'autore