BYOD sta per Bring Your Own Device e indica la pratica di utilizzare i propri dispositivi personali (principalmente smartphone e tablet) per usufruire di alcune risorse aziendali come la mail, i repository documentali, applicativi interni, database e via così. L’enorme velocità con cui tale pratica si è diffusa dipende dal fatto che risulta attraente sia per gli utenti che per le aziende.
Il motivo per cui il Byod piace alle aziende è abbastanza chiaro. La possibilità che un dipendente tenga 24 ore su 24 a portata di sguardo la mail aziendale è una ghiotta opportunità che nessun datore di lavoro si lascerebbe sfuggire. D’altronde, come dire di no al dipendente stacanovista che vuole poter rispondere anche sul divano o dal bar alle mail di lavoro? Come poter negare al dirigente la possibilità di visualizzare o lavorare a quell’importante presentazione dal suo tablet? Impossibile e controproducente, soprattutto se questa possibilità per le aziende ha un costo (apparente) pari a zero.
Mentre in passato questo genere di dispositivi era esclusivo appannaggio di quadri e dirigenti, oggi questi oggetti sono ormai nelle mani di tutti e sempre più utenti decidono ad esempio di utilizzare il proprio smartphone per lavorare con la mail aziendale. Che piaccia anche agli utenti penso sia già chiaro a molti di noi. Alcuni esempi: praticità nell’utilizzo di un unico dispositivo, non dover portare con sé il portatile nel caso in cui si abbia la necessità di rispondere ad una email o semplicemente l’uso di un dispositivo con cui si prova maggior comfort di utilizzo. Il Byod, accontentando sia gli utenti che le aziende, sembra quindi una pratica vincente sotto ogni punto di vista ma in realtà nasconde diverse insidie legate alla sicurezza dei dati gestiti.
Il problema più evidente è il furto dei dati. Nel caso in cui il dispositivo venga perso (o rubato) i documenti ed i dati relativi agli account in esso contenuti potrebbero essere utilizzati per scopi illeciti. Anche l’accesso temporaneo ai dati potrebbe essere un problema. Spesso infatti capita di lasciare incustoditi i propri dispositivi, privi di una protezione adeguata. Nell'arco di pochi secondi una email o un documento importante potrebbero essere inoltrati o visualizzati senza permesso. Da non sottovalutare inoltre la possibilità che il dispositivo si trasformi in un vettore di diffusione dimalware, collegandosi direttamente alla rete aziendale tramite wireless eludendo i controlli dei firewall perimetrali. Il numero di virus per dispositivi mobili in grado di infettare normali computer è infatti in forte crescita.
Mettere in atto delle contromisure non è così semplice. Mentre i dispositivi aziendali possono essere facilmente gestiti centralmente tramite una piattaforma di Mdm (Mobile Device Management), questo diventa più complicato quando il ciclo di vita del dispositivo è gestito interamente dall'utente. In caso di furto del dispositivo, ad esempio, la cancellazione da remoto dei dati presenti nel telefono (remote wipe) sarebbe in ogni caso buona norma, ma se nel dispositivo sono contenuti dati ed account aziendali (username, password, email, documenti, etc) diventa assolutamente necessaria.
L’unica soluzione per riuscire ad ovviare a questi problemi è - come spesso capita nel mondo della sicurezza informatica - un approccio duale: umano e tecnologico. Dal punto di vista umano, gli utenti dovranno essere resi edotti riguardo i pericoli che il Byod porta e quali sono le buone norme di comportamento da adottare affinché il Byod non si trasformi in un boomerang. Dal punto di vista tecnologico, la soluzione è riuscire ad intercettare il momento in cui il dispositivo tenta di accedere alle risorse aziendali ed obbligare il dispositivo ad ottemperare ad alcune regole di base. L’utilizzo di un codice di sblocco, l’installazione di un software che permetta il remote wipe e la negazione della possibilità di accedere alle risorse aziendali con un dispositivo compromesso (jailbreak o root) sono l’esempio di alcune policy, non troppo invasive, che potrebbero arginare i principali problemi.
Da una parte le aziende devono aver chiaro che, nonostante il Byod sia una pratica da incentivare, non ha un costo pari a zero. Dall’altra noi utenti dovremmo comprendere che non vi è più alcuna differenza tra un computer e un tablet (o uno smartphone), in quanto il valore dell’oggetto che portiamo con noi, che sia aziendale o meno, è direttamente proporzionale al valore delle informazioni in esso contenute.
Diamo tutti per scontata e necessaria la presenza di una password sul computer che usiamo per lavoro, mentre molto spesso non siamo disposti ad accettarla su un tablet o uno smartphone che gestiscono gli stessi dati. Perché?
Il motivo per cui il Byod piace alle aziende è abbastanza chiaro. La possibilità che un dipendente tenga 24 ore su 24 a portata di sguardo la mail aziendale è una ghiotta opportunità che nessun datore di lavoro si lascerebbe sfuggire. D’altronde, come dire di no al dipendente stacanovista che vuole poter rispondere anche sul divano o dal bar alle mail di lavoro? Come poter negare al dirigente la possibilità di visualizzare o lavorare a quell’importante presentazione dal suo tablet? Impossibile e controproducente, soprattutto se questa possibilità per le aziende ha un costo (apparente) pari a zero.
Mentre in passato questo genere di dispositivi era esclusivo appannaggio di quadri e dirigenti, oggi questi oggetti sono ormai nelle mani di tutti e sempre più utenti decidono ad esempio di utilizzare il proprio smartphone per lavorare con la mail aziendale. Che piaccia anche agli utenti penso sia già chiaro a molti di noi. Alcuni esempi: praticità nell’utilizzo di un unico dispositivo, non dover portare con sé il portatile nel caso in cui si abbia la necessità di rispondere ad una email o semplicemente l’uso di un dispositivo con cui si prova maggior comfort di utilizzo. Il Byod, accontentando sia gli utenti che le aziende, sembra quindi una pratica vincente sotto ogni punto di vista ma in realtà nasconde diverse insidie legate alla sicurezza dei dati gestiti.
Il problema più evidente è il furto dei dati. Nel caso in cui il dispositivo venga perso (o rubato) i documenti ed i dati relativi agli account in esso contenuti potrebbero essere utilizzati per scopi illeciti. Anche l’accesso temporaneo ai dati potrebbe essere un problema. Spesso infatti capita di lasciare incustoditi i propri dispositivi, privi di una protezione adeguata. Nell'arco di pochi secondi una email o un documento importante potrebbero essere inoltrati o visualizzati senza permesso. Da non sottovalutare inoltre la possibilità che il dispositivo si trasformi in un vettore di diffusione dimalware, collegandosi direttamente alla rete aziendale tramite wireless eludendo i controlli dei firewall perimetrali. Il numero di virus per dispositivi mobili in grado di infettare normali computer è infatti in forte crescita.
Mettere in atto delle contromisure non è così semplice. Mentre i dispositivi aziendali possono essere facilmente gestiti centralmente tramite una piattaforma di Mdm (Mobile Device Management), questo diventa più complicato quando il ciclo di vita del dispositivo è gestito interamente dall'utente. In caso di furto del dispositivo, ad esempio, la cancellazione da remoto dei dati presenti nel telefono (remote wipe) sarebbe in ogni caso buona norma, ma se nel dispositivo sono contenuti dati ed account aziendali (username, password, email, documenti, etc) diventa assolutamente necessaria.
L’unica soluzione per riuscire ad ovviare a questi problemi è - come spesso capita nel mondo della sicurezza informatica - un approccio duale: umano e tecnologico. Dal punto di vista umano, gli utenti dovranno essere resi edotti riguardo i pericoli che il Byod porta e quali sono le buone norme di comportamento da adottare affinché il Byod non si trasformi in un boomerang. Dal punto di vista tecnologico, la soluzione è riuscire ad intercettare il momento in cui il dispositivo tenta di accedere alle risorse aziendali ed obbligare il dispositivo ad ottemperare ad alcune regole di base. L’utilizzo di un codice di sblocco, l’installazione di un software che permetta il remote wipe e la negazione della possibilità di accedere alle risorse aziendali con un dispositivo compromesso (jailbreak o root) sono l’esempio di alcune policy, non troppo invasive, che potrebbero arginare i principali problemi.
Da una parte le aziende devono aver chiaro che, nonostante il Byod sia una pratica da incentivare, non ha un costo pari a zero. Dall’altra noi utenti dovremmo comprendere che non vi è più alcuna differenza tra un computer e un tablet (o uno smartphone), in quanto il valore dell’oggetto che portiamo con noi, che sia aziendale o meno, è direttamente proporzionale al valore delle informazioni in esso contenute.
Diamo tutti per scontata e necessaria la presenza di una password sul computer che usiamo per lavoro, mentre molto spesso non siamo disposti ad accettarla su un tablet o uno smartphone che gestiscono gli stessi dati. Perché?
Ultimi commenti