Semplificare la sicurezza “Bring Your Own Device” senza restrizioni per gli utenti

Binst (Vasco): I dipendenti saranno in grado di decidere la tecnologia che desiderano utilizzare per il proprio lavoro. E le aziende potranno attrarre più talenti

I confini tra vita privata e professionale sono sempre più sfocati, si muovono, cambiano. Da un lato, i dipendenti sono disposti a svolgere i propri compiti professionali nel tempo "privato", con l’ambizione di dedicarsi al proprio percorso di carriera e di esserne all\'altezza. Dall’altra parte, non sono disposti a compromessi su un equilibrato rapporto tra vita e lavoro. Quando lavorano in remoto, i lavoratori di oggi vogliono essere “always on”, contando sulla possibilità di connettersi a casa come in viaggio, anche se dall\'altra parte del mondo, tramite il dispositivo che hanno a portata di mano.
In genere, i dipendenti posseggono – a livello personale - dispositivi “smart” più sofisticati di ciò che i loro datori di lavoro possono o vogliono offrire. Per la persona media, questo significa che il proprio “smart device” è ormai diventato di utilità essenziale per l\'organizzazione dell’agenda, il recupero di informazioni, la visione di un film, l’ascolto di musica, lo scatto di foto, la ricerca di posti o il mantenimento di contatti con altri.

Pertanto, la facilità d\'uso è un criterio molto importante per l\'acquisto di un dispositivo intelligente. Con una previsione di 3,3 dispositivi “smart” per ciascun professionista entro il 2014, i dipendenti inizieranno a scegliere il dispositivo più comodo per la propria attività.
Non soltanto sono percepiti come essenziali nella vita quotidiana - e pertanto meritevoli di un investimento (privato) – ma gli “smart device” sono diventati anche un accessorio di moda. Gli utenti finali non solo scelgono i dispositivi in base alle loro caratteristiche tecniche, ma anche in relazione a marca, colore e forma. Nell’odierna era digitale, i dispositivi “smart” esprimono lo status sociale quanto un tempo facevano le automobili nuove. Lavorare con uno strumento scelto privatamente dà all\'utente una soddisfazione più alta e incoraggia un ambiente di lavoro flessibile.

Produttività in gioco

Tuttavia, ciò che si definisce con l’espressione inglese “Bring Your Own Device” (BYOD) è qualcosa in più del desiderio dei dipendenti di utilizzare i propri dispositivi per accedere, in qualsiasi momento e da qualsiasi luogo, alla rete aziendale e ad informazioni critiche.

Le aziende spesso lavorano con consulenti freelance e partner commerciali che hanno necessità di accedere alla rete aziendale in modo da essere produttivi. L’accesso sicuro alle risorse aziendali, quindi, non è limitato soltanto ai dipendenti, ma deve essere esteso anche alle terze parti autorizzate.

Ma qual è il costo?

Consentire ai dispositivi mobili di accedere a reti e applicazioni aziendali genera notevoli opportunità di incrementare l’efficienza dei lavoratori mobili, ma implica anche grandi preoccupazioni. E’ in gioco la privacy di dati aziendali sensibili sui dispositivi. Una serie di fattori impatta sulla sicurezza dei dati: browser insicuri, connettività Wi-Fi non protetta, dispositivi contenenti malware, non utilizzo di software di sicurezza o smarrimento degli stessi dispositivi mobili. La mancanza di consapevolezza dei dipendenti è ancora considerata la più grande insidia per la sicurezza su dispositivi mobili e conseguentemente per la sicurezza dei dati aziendali.
Adottare con successo la dinamica BYOD si traduce in un gigantesco cambiamento nella gestione della sicurezza per datori di lavoro e dipendenti.

Un utente sceglie molti tipi di password (per lo più statiche) per accedere a più account da più dispositivi. Gli amministratori IT gestiscono diverse reti e applicazioni che devono essere accessibili da tutti i tipi di dispositivi mobili, ognuno con il proprio sistema operativo e le proprie misure di sicurezza. È impossibile ridurre il numero di dispositivi o eliminare reti e applicazioni. Quindi, entrambe le parti hanno nuove sfide innanzi a sé.
Sempre più spesso, tantissimi dispositivi connessi alla rete sono sconosciuti agli amministratori IT. Tablet, telefoni, notebook, e-book e altri dispositivi intelligenti collegati non sono gestiti da questi amministratori. Funzionano con un’ampia gamma di sistemi operativi diversi, che vanno da quelli vecchissimi ai più recenti in versione beta. E c’è un grosso problema, in quanto i dispositivi non sono di proprietà dell\'organizzazione e il dipartimento IT non può installare intrusivamente alcun software di sicurezza. Inoltre, gli utenti hanno spesso diverse password (statiche) per accedere a più account da più dispositivi. Le sfide alla sicurezza sono dunque enormi ed è impossibile mantenere una visione strutturata di tutti i dispositivi e utenti, sebbene un modello di sicurezza inespugnabile sia auspicabile e indispensabile.

Una minaccia trasformata in opportunità

Il BYOD può apparire come un viaggio in un mondo di minacce alla sicurezza, che però possono essere trasformate in opportunità. I dipendenti possono essere delegati a prendere la sicurezza nelle proprie mani. Come la proprietà del dispositivo si sposta al lavoratore, così fa l’onere di proteggerlo. Il dipartimento IT può indirizzare la sicurezza BYOD fornendo requisiti particolareggiati di sicurezza per ogni tipo di dispositivo personale connesso alla rete aziendale. E le policy di sicurezza definiscono i requisiti dei dispositivi per quanto riguarda l\'accesso.
Attraverso la creazione di un programma di sicurezza per i dispositivi mobili, le sfide possono essere fronteggiate. Nel breve termine, la migliore strategia IT per affrontare queste sfide è mediante una combinazione regolarmente aggiornata e rafforzata di policy, software, controlli sulle infrastrutture e formazione. Una forte collaborazione con gli altri dipartimenti è necessaria per evitare un difficile avvio del BYOD. Ad esempio, le politiche dovrebbero essere sviluppate in collaborazione con il dipartimento delle Risorse Umane e con quello Legale, per offrire una risposta a problematiche in tema di imposizione fiscale, responsabilità aziendale, lavoro e tutela della privacy.

A più lungo termine, adeguati application management e servizi cloud saranno necessari per affrontare altre sfide BYOD.
Le tecnologie critiche da considerare al fine di garantire una sicura implementazione del BYOD, sono: forti metodi di isolamento, gestione di applicazioni mobili, crittografia e gestione di contenuti e meccanismi di delivery. La gestione e la manutenzione delle applicazioni e dei dati personali sono ancora responsabilità del dipendente, sebbene la formazione sulla sicurezza del dispositivo mobile aiuterà a tenere in allerta i dipendenti e a garantire che i loro dispositivi mobili siano configurati, gestiti e utilizzati in modo sicuro.

Gestione delle password: da gravosa a comoda

Un ulteriore livello di sicurezza può essere ottenuto con la “user authentication”, l\'autenticazione dell\'utente. Con l\'implementazione di un sicuro metodo di autenticazione, gli amministratori IT controllano chi accede alla rete e alle applicazioni aziendali. Ma la gestione delle password può essere d’intralcio per i dipendenti così come per i dipartimenti IT. Offrire il supporto alla gestione delle password richiede risorse e può essere un affare oneroso in termini di tempo e denaro.

Il metodo d\'autenticazione sicura più diffuso e facile da utilizzare oggi è a due fattori di autenticazione con generazione di password monouso (OTP). Ciò presuppone la necessità di due elementi per effettuare il log-in in modo sicuro: ad esempio, qualcosa che hai (ad esempio un Digipass che genera password monouso) e qualcosa che si sa (ad esempio un codice PIN o una password statica). Quando questi due fattori vengono combinati tra loro, la persona collegata al dispositivo di autenticazione può ottenere un accesso sicuro alle applicazioni aziendali. Non ha senso intercettare le password monouso OTP, in quanto non possono essere utilizzate più di una volta e solo per un numero limitato di secondi.

Digipass di VASCO

Con Digipass, VASCO offre una soluzione di strong authentication per garantire comodamente l\'accesso a contenuti protetti da password. Il dipartimento IT deve implementare questo ulteriore livello di sicurezza nella procedura log-on d’accesso per bloccare le intrusioni a dati aziendali riservati. Per concedere l\'accesso, le aziende possono implementare una soluzione mobile di autenticazione, come Digipass for Mobile.

Gli utenti hanno bisogno di generare un OTP, scaricando un client mobile sul proprio dispositivo. Una volta che l\'autenticazione va a buon fine, gli utenti potranno avere accesso ai dati aziendali. Fino a quando gli utenti sono saranno connessi, potranno utilizzare la rete aziendale.
La convenienza non è solo per gli utenti, ma anche per il dipartimento IT. L’approccio “passo dopo passo” facilita l\'integrazione nella rete aziendale. L\'integrazione è diretta e semplice. Diversi strumenti sono disponibili a supporto della procedura.

Conclusione

BYOD è un’onda “user-driven” che le aziende non possono ignorare. Nonostante indiscutibili e impegnativi “contro” - sia per i dipendenti sia per i datori di lavoro - i “pro” stanno vincendo la battaglia. Un’azienda che è disposta ad adottare una politica BYOD certamente risparmierà su costosi dispositivi e si avvarrà della tecnologia più recente e più veloce su dispositivi di proprietà dei dipendenti. Ma ancora più importante è che i dipendenti saranno in grado di decidere in merito alla tecnologia che desiderano utilizzare per il proprio lavoro.

Questo migliora la soddisfazione dei dipendenti e aiuta ad attirare e trattenere le migliori risorse.
Al fine di affrontare le sfide che verranno insieme all’affermarsi del trend BYOD, un’azienda ha bisogno di impostare una policy BYOD completa, che copra tutti gli aspetti di questa tendenza. Tutte le funzioni, le aree e i livelli aziendali devono essere coinvolti per evitare “sorprese” finanziarie, tecniche o culturali e imbattersi in inattese problematiche tecnologiche e di sicurezza. L\'autenticazione è la chiave per evitare che malintenzionati ottengano l\'accesso a informazioni aziendali critiche. La tecnologia Digipass è un modo conveniente per fornire l\'autenticazione sicura agli utenti che usano dispositive personali e anche a tutti gli altri.

Jochem Binst, Direttore Comunicazione Corporate e Public Affairs di VASCO Data Security