08 Apr Sicurezza informatica ai tempi dello smartworking
Una delle misure preventive fondamentali per la diffusione di Covid-19 è l’allontanamento sociale. Per fortuna, grazie a Internet possiamo continuare con la nostra vita professionale e privata da remoto. Tuttavia, con l’enorme aumento del numero di persone che lavorano a distanza, è di vitale importanza preoccuparsi della sicurezza informatica.
Raccomandazioni per i datori di lavoro e il personale
Raccomandazioni per i datori di lavoro
- Assicuratevi che la soluzione VPN aziendale sia scalabile e in grado di sostenere un gran numero di connessioni simultanee.
- Fornire videoconferenze sicure per i clienti (entrambe le funzionalità audio/video).
- Tutte le applicazioni aziendali devono essere accessibili solo attraverso canali di comunicazione criptati (SSL VPN, IPSec VPN).
- L’accesso ai portali delle applicazioni deve essere salvaguardato utilizzando meccanismi di autenticazione multifattoriale.
- Evitare l’esposizione diretta a Internet delle interfacce di accesso remoto al sistema (ad es. RDP).
- L’autenticazione reciproca è preferibile quando si accede ai sistemi aziendali (ad es. da client a server e da server a client).
- Fornire, ove possibile, computer/dispositivi aziendali al personale durante il telelavoro; assicurare che questi computer/dispositivi abbiano un software di sicurezza aggiornato e livelli di patch di sicurezza aggiornati e che gli utenti siano regolarmente invitati a controllare i livelli di patch. È consigliabile che sia in atto anche uno schema di sostituzione per i dispositivi difettosi.
- BYOD: portatili personali o dispositivi mobili devono essere controllati dal punto di vista della sicurezza utilizzando le piattaforme NAC, NAP. (ad es. controllo delle patch, controllo della configurazione, controllo AV, ecc.)
- Assicuratevi che siano disponibili risorse IT adeguate per supportare il personale in caso di problemi tecnici durante il telelavoro; fornite informazioni rilevanti al personale, ad esempio sui punti di contatto:
- Garantire policy sulla sicurezza e sulle violazioni dei dati personali, e che il personale ne sia adeguatamente informato.
- Garantire che qualsiasi trattamento dei dati personali da parte del datore di lavoro nell’ambito del telelavoro (ad esempio, la conservazione del tempo) sia conforme al quadro giuridico dell’UE sulla protezione dei dati.
Raccomandazioni per il personale sul telelavoro
- Utilizzare, ove possibile, computer aziendali (piuttosto che personali) – a meno che l’ABM non sia stato sottoposto a controlli come previsto al punto 1. della precedente sezione. Per quanto possibile, non mischiare lavoro e attività personali sullo stesso dispositivo e prestare particolare attenzione alle e-mail che fanno riferimento al coronavirus.
- Collegarsi a Internet tramite reti sicure; evitare reti aperte/libere. La maggior parte dei sistemi wifi a casa ora sono correttamente protetti, ma alcune installazioni più vetuste potrebbero non esserlo. Con una connessione non sicura le persone nelle vicinanze possono ficcare il naso nel vostro traffico (persone più tecniche potrebbero essere in grado di di dirottare la connessione). Detto questo, il rischio non è molto più alto di quando si utilizzano “reti aperte” pubbliche, se non per il fatto che presumibilmente le persone rimarranno a lungo nello stesso posto. La soluzione è quella di attivare la crittografia se non è già stata fatta e/o di adottare un’implementazione recente. Si noti che questo rischio è in qualche modo mitigato dall’utilizzo di una connessione sicura all’ufficio.
- Evitare lo scambio di informazioni aziendali sensibili (ad es. via e-mail) attraverso connessioni possibilmente insicure.
- Per quanto possibile, utilizzare le risorse Intranet aziendali per condividere i file di lavoro. Da un lato, ciò garantisce l’aggiornamento dei file di lavoro e, dall’altro, evita la condivisione di informazioni sensibili tra i dispositivi locali.
- Prestare particolare attenzione alle e-mail che fanno riferimento al coronavirus, potrebbe trattarsi di tentativi di phishing o di truffe (vedi sotto). In caso di dubbi sulla legittimità di una e-mail, contattare il responsabile della sicurezza.
- I dati archiviati, ad esempio nelle unità locali, devono essere criptati (questo proteggerà contro il furto/smarrimento del dispositivo).
- Antivirus / Antimalware deve essere installato e deve essere completamente aggiornato.
- Il sistema (sistema operativo e le applicazioni utilizzate, così come il sistema antivirus) deve essere aggiornato.
- Bloccare lo schermo se si lavora in uno spazio condiviso (in questo momento si dovrebbe evitare di lavorare insieme o di condividere gli spazi. Ricordate che la distanza sociale è estremamente importante per rallentare la diffusione del virus).
- Non condividete gli URL delle riunioni virtuali sui social media o su altri canali pubblici. (Terzi non autorizzati potrebbero accedere alle riunioni private in questo modo.
Truffe di phishing collegate a COVID-19
È importante aumentare la consapevolezza sulla cybersecurity in questo periodo: aumentano gli attacchi di phishing e gli aggressori sfruttano la situazione emergenziale cuasata dal Covid-19. Attenzione dunque alle e-mail di phishing e alle truffe.
In questa situazione occorre essere molto più attenti su qualsiasi e-mail che chieda di controllare o rinnovare le proprie credenziali anche se sembra provenire da una fonte affidabile. Provate a verificare l’autenticità della richiesta con altri mezzi, non cliccate sui link sospetti e non aprite gli allegati sospetti.
- Siate molto attenti alle e-mail di persone che non conoscete, soprattutto se chiedono di collegarsi a link o di aprire file (in caso di dubbio, telefonate al vostro responsabile della sicurezza).
- Le mail che trasmettono “urgenza” o minacciano “gravi conseguenze” sono probabilmente quelle più pericolose per le attività di phishing – in questi casi verificate sempre tramite un canale esterno prima di conformarvi.
- Le mail inviate da persone che conoscete, ma che chiedono cose insolite sono anch’esse sospette – se possibile, verificate per telefono.