Smart Working: un’analisi oltre l’emergenza
Prima del Covid-19 il lavoro agile era un fenomeno di nicchia in Italia. Oggi, con l’emergenza sanitaria, sappiamo bene che il ricorso a questa modalità di lavoro è improvvisamente diventato un’esigenza e quindi la regola in tante aziende.
Potremmo dire soprattutto – e con più facilità – in quelle di maggiori dimensioni; ma il lavoro da remoto è entrato anche nelle realtà più piccole, incluse quelle che fino a poco tempo fa lo ritenevano impraticabile.
In una prospettiva di ritorno alla normalità, può essere utile però fare un’analisi del lavoro agile per approfondirne le criticità e le opportunità, con la logica di riflettere sulla possibilità di una sua implementazione più strutturata, non emergenziale.
A nostro avviso sono molte, infatti, le aziende che valutano positivamente l’esperienza dello Smart Working durante l’emergenza. Tanti di questi addirittura ritengono che possa diventare la modalità di lavoro preferenziale nella propria realtà.
Sicurezza, La Criticità degli strumenti di collaborazione
Il fattore accelerante della pandemia ha fatto sicuramente comprendere alle aziende che si può lavorare in remoto, implementando strumenti di condivisione e collaborazione smart. Ma andando incontro a una ridefinizione delle modalità di lavoro per i prossimi anni, c’è una questione da dover esaminare con estrema attenzione: la sicurezza.
È bene iniziare a concentrarsi sulla gestione e protezione dei propri dati nel momento in cui questi si muovono all’interno di una rete terribilmente estesa, in cui non c’è più un perimetro. Da qui l’analisi presentata di seguito che, pur nella complessità del tema trattato, cerca di fornire spunti circostanziati attorno ai più significativi aspetti da considerare.
Quali sono state le maggiori criticità degli strumenti di collaborazione online nel corso della pandemia?
Di fatto negli ultimi 12 mesi si è verificata un’adozione emergenziale di politiche di Smart Working e Remote Working. Cyberoo51 già disponeva di soluzioni in questo campo, e ciò ci ha permesso di avere un osservatorio privilegiato su tutte quelle che sono le state le criticità riscontrate.
Matteo Ghiotto, AI Developer Director di Cyberoo51
Una delle principali criticità è legata a un errato hardening delle configurazioni di rete e del cloud. La maggior parte delle aziende, infatti, non era minimamente preparata e strutturata per affacciarsi su un orizzonte di questo tipo.
Soprattutto nei primi mesi che hanno coinciso con marzo e aprile 2020, in cui ci sono stati dei problemi di operatività molto grandi o addirittura bloccanti, la situazione ha portato alla frettolosa adozione di politiche raffazzonate e “buchi” a livello di configurazione. Solo successivamente, attraverso step fatti di consulenze e guide, le aziende sono riuscite ad avvalersi dei giusti strumenti e modalità.
C’erano quindi dei sistemi di sicurezza e di autenticazione non appropriati per una delocalizzazione delle postazioni di lavoro. Qual è il fil rouge che porta avanti queste criticità?
Le politiche di BYOD (Bring Your Own Device). “Abbiamo visto che nella grande maggioranza dei casi, tra marzo e aprile 2020 le aziende non si sono più curate effettivamente di quali asset stavano utilizzando i propri dipendenti per connettersi ai concentratori di informazioni e quindi per accedere al dato”. Secondo Matteo Ghiotto, questo deriva sempre dalla frettolosità del periodo.
In alcuni casi addirittura il dipendente era abituato a utilizzare i desktop, difficilmente trasportabili ma delocalizzati con relativa facilità. Di conseguenza, c’è stato un fiorire del “utilizzo il mio pc a casa”.
Qual è la principale criticità derivante da questa adozione di asset esterni?
Il responsabile IT aziendale non è proprietario di quell’asset e conseguentemente non vede nulla relativamente a quel dispositivo. Politiche di sicurezza quasi inesistenti, persone che non avevano installato un sistema di antivirus, nessun controllo sui sistemi di web filtering e a tutto quello che riguarda lo scambio di documenti e file, che ha richiesto politiche di collaboration molto veloci in tema emergenziale. Tutto ciò ha fatto in modo che i BYOD fossero il problema principale.
Aziende che hanno perso dei file o diffuso documenti che dovevano restare privati. Improvvisamente se li sono ritrovati pubblicati sul web o su canali che non erano stati precedentemente avvallati.
Quali aziende si sono salvate da queste criticità?
Quelle aziende che avevano già in essere strumenti atti a gestire queste problematiche, o che erano già formate a lavorare da remoto. Parliamo quindi di aziende che avevano già avuto qualche esperienza in tema di Smart Working. Oppure aziende già particolarmente avanzate sotto l’aspetto della collaboration e che quindi utilizzavano strumenti del mondo Microsoft o affini che potevano dare possibilità simili.
Tutte le altre aziende che non erano a questo livello di informatizzazione all’inizio hanno fatto molta fatica. Ma un graduale miglioramento ha cominciato a vedersi nel periodo pre-estivo ed estivo, stabilizzandosi verso la fine del 2020, grazie alla consulenza e all’adozione di soluzioni appropriati.
Lavorare e collaborare online su progetti complessi è quindi diventato possibile, ma quali sono stati i rischi dal punto di vista della sicurezza?
Dal nostro punto di osservazione c’è stato un fiorire di accessi non autorizzati alle infrastrutture aziendali e di compromissioni di caselle di posta elettronica. Abbiamo notato problematiche relative alla condivisione di documenti e soprattutto alla decentralizzazione degli stessi. Questo perché durante il periodo emergenziale gli hacker sono stati ancora più incisivi perché conoscevano ovviamente le problematiche derivate dall’introduzione di asset e device BYOD.
Così è successo, nel momento in cui il dipendente scaricava i documenti nel proprio perimetro di casa e quindi senza la sicurezza aziendale, che tantissimi file siano andati persi, erroneamente cancellati. Improvvisamente, per sbaglio o per dolo, sono stati spediti via e-mail all’esterno verso competitor e sono stati trafugati. E poi tutta una serie di problematiche di sicurezza di una certa rilevanza: primi tra tutte i malware e ransomware.
È capitato di trovare pc già infetti prima, da cui si sono scatenati attacchi ransomware sull’azienda. E quando il dipendente era in VPN con l’azienda, gli hacker sono andati a criptare tutta una serie di file critici. Siamo intervenuti con sistemi di backup e file integrity o recupero di dati anche in condizione di ripristino dei dati dal file system stesso.
In tutto questo si va a inserire l’ultimo tassello, estremamente doloroso per le aziende: i trattamenti, soprattutto in materia di privacy e GDPR, che non hanno avuto il tempo di adattarsi allo scenario pandemico. Di conseguenza si sono verificati dei databreach che molte aziende non hanno saputo immediatamente gestire e denunciare al Garante, perché non avevano la piena disponibilità dei pc dei propri dipendenti. Alcuni, infatti, non sapevano come rispondere e si sono ritrovati a pagare anche delle multe piuttosto salate.
Come ha impattato tutto questo sull’integrità e sulla riservatezza dei dati?
L’output principale di questo scenario è stato un’enorme frammentazione del dato, aspetto non positivo per quanto riguarda le due problematiche precedenti: privacy – trattamento dei dati e sicurezza.
Fino a quando i dati di proprietà dell’azienda sono in unico concentratore su cui si ha autorità con politiche di sicurezza appropriate, non ci sono problematiche. Ma quando i dati cominciano a essere frammentati, così come imposto dallo scenario pandemico, tutti i trattamenti a livello di privacy, tutte le analisi del rischio e tutte le valutazioni di impatto saltano.
All’inizio la questione è stata: “Come posso far ripartire la mia azienda il più velocemente possibile?”, “Come posso evitare la maggior perdita di fatturato in questo periodo in cui dobbiamo lavorare a distanza?”
E mentre dal punto di vista della sicurezza si rischia che i dati vengano trafugati e dati evidenza sul web, con conseguente richiesta di riscatto o che blocchino istantaneamente l’azienda, dal punto di vista della privacy questo viene meno percepito perché finché non arriva la multa si tende a temporeggiare.
Qual è lo scenario futuro?
La pandemia è servita a maturare ed evolvere una concezione del software, della sicurezza e dei trattamenti: fare un efficace controllo con i dipendenti sulle modifiche dei documenti, sui log, sulle politiche di backup, sicurezza e cancellazione/recupero del dato è importante.
Le modalità di lavoro difficilmente saranno più le stesse. Molto probabilmente si riprenderà con delle filosofie mixate: ci sarà sempre e comunque un minimo di telelavoro e Smart Working.
Un evento avverso come la pandemia si è rivelato un guadagno a livello di informatizzazione e know-how all’interno delle aziende. Continuando a investire su determinate tipologie di software e di forma mentis potranno agevolare le modalità di lavoro dei dipendenti e garantire degli standard qualitativi di sicurezza nettamente più elevati rispetto al passato.