Stay Home – Stay Cybersecure

23 Apr Stay Home – Stay Cybersecure

Posted at 15:53h in Cyber Security, Privacy and Data Protection by ICT Cyber Consulting

La situazione in cui attualmente versano le imprese, alla luce della recente emergenza Covid-19, ha spinto le stesse ad adottare metodologie di lavoro agile per mantenere i propri livelli di servizio.

Si parla sempre più di “smartworking”, già ampiamente utilizzato in alcune realtà aziendali, e di “telelavoro” ossia una forma di lavoro delocalizzato, a distanza, per mezzo di connessioni telematiche.

Questo tipo di approccio da un lato ha sopperito alla necessità delle imprese di continuare ad usufruire delle proprie risorse, attraverso il lavoro da casa, ottenendo così notevoli benefici in ordine alla flessibilità ed alle tempistiche, dall’altro ha fatto emergere notevoli insidie per quanto concerne gli aspetti legati alla sicurezza informatica.

Difatti, mentre le convenzionali postazioni di lavoro in sede sono collegate ad una rete aziendale tipicamente protetta da software e hardware specifici, lo stesso non può trovare applicazione all’interno delle realtà di tipo domestico, notoriamente più vulnerabili.

Inoltre, non sono da sottovalutare le problematiche legate alla necessità di dover far fronte ad un’azienda de facto frammentata e quindi difficilmente controllabile sotto il profilo della sicurezza, la quale spesso, tramite la centralizzazione dei processi di security, ottiene il risultato di rendere pervasiva la protezione degli asset.

La verosimiglianza che una data minaccia informatica possa concretizzarsi risulta amplificata se inserita in un contesto dove la postazione di lavoro è priva di un sistema di monitoraggio efficiente o con misure di sicurezza tecniche e organizzative che possano risultare meno efficaci se applicate ad un dispositivo collegato ad una rete domestica e inserito all’interno di un perimetro non protetto.

Risulta, quindi, indispensabile identificare delle linee guida e delle best practices per mitigare le suddette minacce e valutare altresì l’implementazione di misure tecniche e organizzative che l’azienda può mettere in atto, funzionali al mantenimento della propria continuità operativa senza compromettere la sicurezza dei propri asset.

In particolare, è fondamentale:

avere un antivirus aggiornato con scansione in tempo reale sempre attiva; un antimalware aggiornato (e.g. Malwarebytes), con scansioni settimanali (manuali o pianificate);
un firewall (attivazione di Windows Defender su Windows e/o del Firewall integrato in macOS);
un lock screen con attivazione dopo massimo 5 minuti di inattività e, comunque, da attivare manualmente ogni qual volta in cui ci si allontani dal dispositivo;
una crittografia at rest mediante full disk encryption, consistente nell’attivazione di BitLocker su Windows e FileVault su macOS.

Inoltre, è indispensabile:

aggiornare costantemente il sistema operativo e degli applicativi in uso sul computer personale;
utilizzare credenziali robuste per l’accesso al computer personale, con password di lunghezza superiore a 8 caratteri contenente maiuscole, minuscole, numeri e caratteri speciali;
definire un’utenza specifica per le attività aziendali al fine di separare l’ambiente personale dall’ambiente lavorativo. Le credenziali di accesso a tale utenza dovranno essere conformi al punto precedente. L’utenza personale, inoltre, non dovrà essere in grado di poter leggere/scrivere nell’area del file system associata all’utenza lavorativa.

Nell’attivare un canale di comunicazione privato VPN, bisogna assicurarsi di:

utilizzare client VPN previamente approvati tramite richiesta formale di abilitazione del dispositivo; proteggere le credenziali di accesso alla VPN da utenti non autorizzati;
instaurare una sola connessione per volta.

Per quanto riguarda la configurazione della rete locale domestica (cablata e wireless) e della connessione a Internet, occorre, ove possibile:

modificare il nome della connessione Wi-Fi (SSID) rispetto a quello fornito dal provider di connessione;
bisogna assicurarsi che le credenziali di accesso al pannello di controllo del router siano robuste e che il pannello di controllo del router non sia accessibile dalla rete Internet pubblica (ossia che la gestione remota del router non sia attiva);
occorre controllare il protocollo crittografico usato dalla rete Wi-Fi (WPA2 o superiore), disattivare WPS (Wi-Fi Protected Setup, tecnologia obsoleta) e UPnP (Universal Plug and Play, che aumenta il rischio di intrusioni dall’esterno).

Nel caso di utilizzo di dispositivi mobili come hotspot, si raccomanda di non condividere l’hotspot con qualsiasi soggetto terzo e di non connettersi coi dispositivi personali tramite Wi-Fi aperti e/o gratuiti e hotspot pubblici.

Infine, per far sì che l’approccio allo smartworking sia garantito da sistemi che offrono una maggiore tutela e sicurezza, si raccomanda l’adozione di alcuni applicativi Microsoft e Google.

In particolare, per la prenotazione di eventuali appuntamenti, si consiglia “Microsoft Bookings”, che è incluso gratuitamente in Office 365. È, inoltre, già attivo per le licenze Office 365 Business Premium e per quelle Academic (i.e. Office 365 A3 e Office 365 A5), mentre, per le licenze Enterprise, deve essere abilitato (sempre gratuitamente) seguendo questi passaggi: https://support.office.com/en-us/article/5382dc07-aaa5-45c9-8767-502333b214ce.

Si fornisce, in aggiunta, una guida alla configurazione e all’utilizzo (in 8 step) che si può trovare al link seguente: https://support.office.com/en-us/article/47403d64-a067-4754-9ae9-00157244c27d.

Per la presentazione del servizio, si veda: https://www.microsoft.com/it-it/microsoft-365/business/scheduling-and-booking-app.

Per quanto riguarda i moduli, “Microsoft Forms” è sicuramente la scelta migliore. Qui di seguito i vari link: