La sicurezza Agile non è solo l’altra faccia dello smart working. È anche un’occasione importante di rivedere tutti i principi della governance secondo un approccio più lungimirante e capace di ripensare l’evoluzione multicanale e multidispositivo dei lavoratori diretti e indiretti.
L’articolazione flessibile nei tempi e nei luoghi del lavoro subordinato e, in generale, la tutela del lavoro autonomo che la legge in vigore dal 14 giugno 2017 ha riformato, introducendo forme di flessibilità come il lavoro agile, porta le aziende a un grosso cambiamento.
La questione è che non si tratta soltanto di dover rivedere le modalità contrattuali dei dipendenti e dei collaboratori, ma di saper ragionare in prospettiva, risolvendo la gestione operativa della quantità (effettiva e potenziale) di dispositivi che avranno accesso in vario modo alle infrastrutture di comunicazione e ai dati aziendali.
Sicurezza Agile, ovvero safety, security e business continuity
Il punto di partenza è che l’informatizzazione della società ha allargato le maglie della sicurezza ICT, includendo persone e cose. Per le aziende non ha più senso distinguere tra safety e security: dalla gestione dei dati personali alla salvaguardia dei cittadini, tra privacy, normative e compliance, la sicurezza oggi richiede approcci e vision differenti.
L’allarmismo nato dal recente diffondersi delle minacce non deve distogliere l’attenzione dalle motivazioni che muovono il cybercrime. In primis, colpire la produttività individuale per indebolire quella aziendale, partendo da malware che innescano trappole crittografiche da cui uscire è difficile se non impossibile.
Da un lato bisogna insegnare agli utenti a gestire in maniera più consapevole l’ingresso e l’uscita delle informazioni che attraversano la molteplicità di dispositivi che utilizziamo per lavorare. Dall’altro bisogna predisporre contromisure efficaci, attraverso una protezione di tutti gli endpoint basata su policy capaci di integrare nuove funzionalità di sincronizzazione e di condivisione. Oggi, infatti, esistono approcci capaci di sfruttare i metadati per abilitare un backup e un disaster recovery adattivi e una gestione centralizzata che non si frappone alla continuità operativa degli utenti.
Gridare “all’hacker all’hacker” non basta
Il fatto che gli ultimi attacchi del cybercrime siano saliti alle cronache (dopo Petya, Nyetya e via dicendo) significa poco se le aziende non innescano una sicurezza Agile. Basta l’apertura di un allegato malevolo in un’email, un clic su un pop-up ingannevole o semplicemente visitare un sito web compromesso per aprire la porta a un attacco hacker. Le organizzazioni devono imparare a ragionare diversamente da quanto hanno sempre fatto. Questo perché è la natura stessa dei dispositivi usati in ambienti aziendali sempre più liquidi a dover essere gestita nativamente e in modo diverso. Non basta mettere in sicurezza il cloud, non bastano i firewall, non bastano le patch e nemmeno gli assessment periodici. L’era della sicurezza addizionale, fatta di soluzioni e approcci che si aggiungono progressivamente a quelli esistenti è finita. Gli attacchi sono evolutivi e la sicurezza deve adeguarsi in maniera adattiva.
Lo sapevate, ad esempio, che anche il Bluetooth può diventare un fattore di rischio? Lo ha appena scoperto il gruppo di analisi di Armis Labs, che ha portato allo scoperto l’exploit chiamato BlueBorne. All’hacker basta essere entro il raggio d’azione del Bluetooth per sferrare l’attacco e completare la violazione di smartphone, tablet e pc, nessun sistema operativo escluso. Sfruttando alcune falle del protocollo Bluetooth, infatti, BlueBorne colpisce Windows, Linux, Android e le vecchie versioni di iOS. Il cybercrime, insomma, ormai sa entrare in azione con una velocità senza perdono, sottraendo dati e informazioni a tutti.
Come garantire la protezione totale dei dispositivi mobili?
Sicurezza Agile, dunque, non significa solo proteggere le persone, le aziende e le informazioni. La strategia deve orchestrare sistemi di videosorveglianza, telecontrollo, antintrusione, antieffrazione con sistemi di gestione delle informazioni capaci di proteggere la continuità operativa dei lavoratori che lavorano in azienda o da casa, in auto o in treno, da un cliente o in un punto di ristoro pubblico. Non a caso con la sicurezza vengono coinvolti i legali e gli enti certificatori, il garante della Privacy e le autorità preposte, le HR e gli addetti al facility management.
I responsabili della governance devono predisporre le giuste contromisure. Una best practice della sicurezza Agile, ad esempio, è disporre di una soluzione, gestita centralmente, che presidi le informazioni su dispositivi mobili senza compromettere la produttività e la flessibilità del personale mobile.
Si tratta di attivare una strategia coerente di protezione dei dati a livello periferico che faciliti il controllo granulare delle informazioni, allineando gli spostamenti di dati alle procedure di sicurezza dell’azienda. Solo così è possibile definire policy che hanno effetto sull’accesso interno ed esterno alle informazioni aziendali.
Perno del nuovo sviluppo, un approccio di backup e ripristino dei dati adattivo, capace di assicurare alle organizzazioni funzionalità di analisi, auditing, reportistica e conformità delle informazioni. Con il repository delle informazioni gestito a livello centrale e associato a policy definite dall’azienda, l’organizzazione è in grado di garantire con maggiore efficacia all’utente finale la flessibilità necessaria. Il tutto guidato da una strategia aziendale volta a bilanciare riduzione dei rischi ed esposizione.
Ho approfondito l’argomento con alcuni esperti in un webinar: per rivederlo, basta cliccare qui!
