Smart working e sicurezza, una nuova cultura nelle PMI

L’emergenza sanitaria legata al coronavirus ha spinto molte organizzazioni ad adottare pratiche di Smart working per garantire la continuità del business. Questa modalità di lavoro da remoto forzato presenta rischi da non sottovalutare dal punto di vista della sicurezza informatica. 

Secondo recenti ricerche, all’aumento del numero di dipendenti che lavorano a distanza corrisponde la crescita dei cyberattacchi, che sfruttano il fatto che spesso i collaboratori rappresentano l’anello debole della catena di sicurezza. 

Fornire ai lavoratori un accesso sicuro ai sistemi, alle applicazioni e ai dati provenendo dall’esterno della rete aziendale comporta complicazioni. “Nelle situazioni di crisi, spesso gli standard di sicurezza vengono meno (o almeno ridotti) a causa dell’emergenza”, spiega Massimo Carlotti, Presales Team Leader di CyberArk, vendor di security che affianca i partner con soluzioni trasversali per tutti i settori merceologici. 

ISCRIVITI ALL’EVENTO DIGITALE SULLA SICUREZZA INFORMATICA

“Le aziende spesso non sono abituate o attrezzate ad affrontare il cambiamento, specie se repentino o forzato da situazioni emergenziali, e adottano interventi ed emergency plan non adeguati”. Se non progettata in modo opportuno, la volontà di rendere velocemente disponibile ai dipendenti l’infrastruttura aziendale può creare debolezze nell’apertura di accessi ai sistemi aziendali interni, rendendoli così attaccabili da remoto. 

Disaccoppiare attività dei dipendenti e sistema aziendale

“Gli attaccanti sguazzano in questa permeabilità dovuta anche al fatto che molte persone, quando lavorano da casa, si avvalgono di provider di mercato e di router standard, utilizzando password semplici e ricorrenti, che presentano importanti falle di sicurezza”. 

Dall’attacco rivolto al singolo lavoratore a casa propria fino a infettare i sistemi centrali dell’azienda, passa veramente un attimo. Per far fronte a questo pericolo, CyberArk suggerisce di “disaccoppiare le attività dei dipendenti e il sistema aziendale, utilizzando credenziali diverse anche in cloud, in modo da non consentire questa permeabilità”.

Come spiega Carlotti, infatti, è possibile creare ‘zone cuscinetto’ intermedie online in cui far lavorare i dipendenti in sicurezza. L’approccio di CyberArk prevede quindi una gestione delle credenziali per asset critici, con le rispettive policy, in modo che ci sia un gap tra le macchine usate dagli utenti e i sistemi dell’azienda, così da evitare un’infezione globale, anche attraverso l’introduzione di tecnologie di least privilege per dare agli utenti un accesso riservato a specifiche informazioni che riguardano il loro lavoro.

La sicurezza è fondamentale per il business

Secondo recenti ricerche, la sicurezza in supporto alle nuove modalità di Smart working non è tra le priorità delle aziende. “In Italia c’è spesso una tendenza a percepire la security come un costo, non come un investimento a supporto all’azienda. Ma l’emergenza rende palese come sia invece una componente fondamentale del business”, afferma Carlotti. 

Nell’ambito della Supply chain, l’attacco iniziale a una piccola impresa più vulnerabile può condurre fino ai sistemi interni di una multinazionale. Sembra dunque necessaria una mentalità e una cultura diversa nel mondo IT. Gli imprenditori sono chiamati a preoccuparsi di questi aspetti anche nelle piccole aziende (spesso prive di responsabili e team dedicati alla security), dove “la sicurezza dovrebbe passare innanzitutto da mero costo a ‘male necessario’, per poi evolvere a investimento in ottica culturale”. 

Anche i fornitori e collaboratori esterni sono da considerare anelli potenzialmente deboli: utilizzano i propri device e ciò crea disomogeneità nella gestione, oltre ad aprire ulteriori varchi per i cyber criminali che prima attaccano il fornitore e poi l’azienda a cui offre servizi. 

Servono più formazione e sensibilità nelle aziende

A questo punto ci si chiede se sia necessaria una formazione mirata dei dipendenti sulla sicurezza in Smart working. “Sicuramente l’emergenza ci ha fatto sperimentare una modalità di lavoro a cui non eravamo abituati e ha messo in evidenza l’utilizzo di strumenti non adeguati a gestire e supportare l’ampiezza e la profondità con cui si sta applicando lo Smart working”, sottolinea il Presales Team Leader di CyberArk.

“Questo crea la possibilità di situazioni non controllate. Le policy vanno applicate, mentre al contempo l’azienda spesso non monitora che ciò succede, perdendo così la visibilità e la possibilità di attuare una gestione completa e coerente di asset fondamentali”.  La formazione, solitamente svolta dai system integrator, “è fondamentale e a essa bisogna unire la misurazione precisa di ciò che si consente di fare agli utenti”. 

Oltre a formare i dipendenti, dunque, questi ultimi vanno messi in condizione di non sbagliare: la tecnologia può offrire un grande aiuto, ma “il vero successo è possibile solo attraverso una maggiore cultura della sicurezza e consapevolezza dei rischi e una migliore sensibilità delle aziende nel prendersi cura dei propri collaboratori. La sicurezza dovrebbe diventare uno ‘stile’, un modo di fare (sempre) le cose”.

Gabriele Perrone

Gabriele Perrone, giornalista professionista con oltre 10 anni di esperienza, è redattore della casa editrice ESTE. Nel corso della sua carriera ha lavorato per importanti gruppi editoriali, dove ha maturato competenze sia in ambito redazionale sia nelle pubbliche relazioni. Negli anni si è occupato di economia, politica internazionale, innovazione tecnologica, management e cultura d’impresa su riviste cartacee e giornali online. Ha presentato eventi e ha moderato tavole rotonde con protagonisti manager di aziende di fronte a professionisti di vari settori in location di alto livello.
Tra le sue esperienze lavorative precedenti, ci sono quelle al quotidiano online Lettera43.it e in LC Publishing Group, oltre a numerose collaborazioni con testate italiane e straniere, da Pambianco all’Independent. Laureato in Lettere moderne presso l’Università degli Studi di Milano, ha conseguito un postgraduate diploma alla London School of Journalism.