Luca Dozio
Ricercatore Osservatorio Informatton Security & Privacy, Politecnico di Milano.
Le nuove modalità di lavoro smart portano le persone ad utilizzare sempre maggiormente dispositivi mobili, anche al di fuori dei confini aziendali. Nuovi modelli comportamentali e tecnologie possono accompagnare questo cambiamento, garantendo la sicurezza dei dati personali ed aziendali
La rilevanza della Mobile Security
Per Mobile Security si intende la protezione di smartphone, tablet, laptop e tutti i device mobili e della rete a cui sono connessi. Si tratta di un tema sempre più attuale e pervasivo, vista la sempre maggiore diffusione degli smartphone, ormai diventati uno strumento di uso comune. Secondo stime internazionali nel 2016 gli utilizzatori di smartphone sono stati 2,1 miliardi e si prevede di arrivare a quasi 2,9 miliardi per il 2020. Stiamo quindi parlando di un fenomeno che interessa quasi un terzo della popolazione mondiale.
Inoltre l’emergere di nuove modalità di lavoro, come ad esempio lo smart working, ha portato all’utilizzo sempre più massivo di dispositivi mobile oltre i confini aziendali. Quasi la totalità delle aziende (97%) mette a disposizione dei propri dipendenti device mobili, siano essi notebook, smartphone, tablet o mobile business app, legate per esempio alla produttività personale (es. mail) e al supporto della forza vendita.
Quando si parla di sicurezza in relazione a tali dispositivi è più comune trovare una maggior attenzione a strumenti come i laptop, che nell’immaginario comune sono i device più colpiti da attacchi informatici. Questo è legato anche all’assenza, fortunatamente, di attacchi a smartphone e tablet che abbiano avuto un’importante risonanza, al contrario di quelli riguardanti i laptop. Va anche considerato che gli attacchi informatici rivolti a computer esistono, per questioni storiche, da tempo maggiore rispetto a quelli rivolti a tablet e smartphone, che sono strumenti di più recente diffusione. Questo fa percepire, erroneamente, questi device come più sicuri; inoltre l’utilizzo connesso anche a strumenti sociale di comunicazione li rende più familiari e questo porta gli utenti spesso a sottovalutare i pericoli a cui sono esposti e le gravi conseguenze che possono derivare da un utilizzo poco consapevole. Basti pensare che per abilitare il device è sufficiente inserire un codice a quattro cifre o tracciare una figura sullo schermo, metodi molto semplici da identificare e violare una volta preso possesso del device.
Uno smartphone è una fonte incredibile di informazioni: normalmente gli account mail, sia privati sia lavorativi, sono impostati sul telefono. Inoltre sempre più spesso le aziende, per promuovere il trend dello smart working e il lavoro in mobilità, utilizzano applicazioni ad hoc per facilitare il lavoro dei propri dipendenti esponendo così dati sensibili, in quanto non sempre la rete utilizzata è sicura come quella aziendale.
Esistono fattori intrinsechi nei dispositivi mobile che possono esporre a potenziali attacchi e ne sono un esempio le soluzioni di connettività. Basti pensare alla presenza del GPS in ogni smartphone, che rende questo dispositivo un localizzatore in grado di seguire gli spostamenti del possessore del device con tutti i problemi di perdita della privacy che ne possono conseguire. Oppure le connessioni bluetooth, che rappresentano canali di trasmissione dei dati potenzialmente violabili.
Per di più tali device, essendo dotati di microfono e videocamera, possono diventare uno strumento molto potente per spiare la vita di una persona: è sufficiente infatti attivarli all’insaputa del proprietario del dispositivo per ascoltare conversazioni private e catturare immagini.
Gli App Store
La rapida diffusione dell’utilizzo di smartphone e tablet ha portato con sé l’aumento degli attacchi cyber mirati a questi dispositivi. Negli ultimi anni il fenomeno del malware mobile è in costante crescita, sia tramite attacchi DDoS, ransomware e hacking, sia sotto forma di applicazioni mobile scaricabili dagli app store in cui gli sviluppatori criminali inseriscono volutamente codice malevolo: vere e proprie piattaforme di Social Engineering sfruttate dagli hacker per bypassare qualsiasi forma di sicurezza.
A rendere più complicata la sicurezza su smartphone e tablet, vi è il tema legato agli aggiornamenti software e agli App Store. Nel Rapporto CLUSIT 2016 si è infatti evidenziato come oltre l’8o% dei dispositivi Android presenti sul mercato fino a quel momento celava un firmware obsoleto e quindi facile da attaccare per i cybercriminali.
A queste difficoltà va aggiunta la possibilità di apportare modifiche delle applicazioni effettuate su store non ufficiali forniti dalla comunità open source. In queste community, è possibile modificare in maniera collaborativa il codice sorgente in modo da manipolare il dispositivo per accedere a funzionalità ulteriori rispetto a quelle proposte dalla casa madre o ad applicazioni non presenti sullo store ufficiale. In questi casi i dispositivi vengono esposti a un numero maggiore di rischi poiché ad esempio queste applicazioni potrebbero essere sviluppate in modo da lavorare in background all’insaputa dell’utente e trasferire dati sensibili.
I dispositivi non modificati non sono comunque immuni da questo tipo di minacce, poiché può capitare (ed è già successo) che anche applicazioni presenti sugli store ufficiali fossero corrotte e creassero spiacevoli conseguenze.
Per ora i dispositivi dell’azienda di Cupertino risultano più sicuri poiché, a differenza di Android, in questo caso vi è un unico produttore che sviluppa il proprio firmware e lo aggiorna con regolarità chiudendo le falle più evidenti.
Mobile e nuovi trend
Con la diffusione dello smart working, i dipendenti possono trovarsi a lavorare oltre i confini aziendali, ad esempio presso la propria abitazione. Questo ha chiaramente delle implicazioni in termini di sicurezza innanzitutto legate alla connessione ad una rete diversa da quella aziendale e quindi non progettata con gli stessi standard. La rete domestica può diventare quindi un metodo per attaccare e violare questi strumenti. Tuttavia, anche all’interno dei confini aziendali, la sicurezza dei device mobili va affrontata con specifiche strategie. Infatti, le aziende intenzionate ad introdurre questi device all’interno dei propri processi possono scegliere due strade: fornire ai propri dipendenti device di proprietà dell’azienda stessa o perseguire una strategia di Bring Your Own Device (BYOD), dandogli la possibilità di usare il proprio dispositivo personale. Quest’ultimo caso è legato alla diffusione che la tecnologia sta avendo negli ultimi anni, tale per cui un numero sempre maggiore di persone possiede almeno un laptop e uno smartphone personale. Chiaramente in questi casi diventa difficile fare delle policy per il corretto utilizzo del device o limitarne l’uso, poiché si tratta di un dispositivo non aziendale.
Per le aziende, l’utilizzo dei dispositivi mobile rende necessarie azioni di sensibilizzazione del personale che permettano agli utenti di percepire maggiormente i pericoli a cui sono esposti, non solo in ambito lavorativo ma anche nella propria vita privata. È pertanto indispensabile promuovere iniziative di sensibilizzazione la cui importanza è trattata in maniera approfondita all’interno di questo documento nel capitolo 4. Inoltre, a livello tecnologico, le aziende possono dotarsi di soluzioni di Mobile Device Management (MDM), ovvero applicativi attraverso i quali è possibile registrare e gestire i dispositivi mobili da un’unica interfaccia, distribuire e aggiornare le applicazioni in uso, gestire l’accesso a contenuti e file aziendali, connettere le applicazioni con i sistemi aziendali, nonché gestirne la sicurezza dei dati fruiti in mobilità per evitarne la perdita.
Dalla Ricerca emerge come il 74% delle grandi organizzazioni intervistate abbia già messo in campo iniziative specifiche volte a mitigare il rischio connesso alla mobile security, accanto ad un 7% che non ha ancora attuato né ha in previsione azioni e a un 19% che si colloca in fase di valutazione.
Le azioni che le aziende stanno implementando riguardano l’introduzione di piattaforme e strumenti tecnologici specifici, quali soluzioni di MDM (Mobile Device Management) per governare/limitare l’utilizzo di device mobili (61%), ma anche la definizione standardizzata di regole a cui gli utilizzatori di dispositivi devono attenersi quando accedono ai sistemi e ai dati business. Il 27% delle organizzazioni ha infatti fissato norme che limitano l’accesso a particolari applicazioni e servizi da reti esterne all’azienda e il 61% ha stabilito specifiche policy per l’utilizzo dei device mobili.
Il Mobile è un trend legato alla consumerizzazione delle tecnologie, sempre più pervasive sulla vita delle persone che desiderano utilizzarle anche per rendere più efficace e produttivo il proprio lavoro. Sicuramente gli attacchi rivolti a questi dispositivi aumenteranno ancora e sarà necessario promuovere una maggior sensibilità da parte degli utenti rispetto ai rischi legati ad un utilizzo poco consapevole di queste tecnologie.
Fonte: Gruppo Sole 24 Ore
