Mobile strategy senza rischi per la pubblica amministrazione

La grande diffusione dello smart working durante l’emergenza sanitaria e, in prospettiva, il consolidamento del lavoro agile e l’adozione di forme di “lavoro ibrido” da qui ai prossimi anni, hanno messo in evidenza l’importanza, ma anche i rischi portati da un uso sempre più diffuso delle tecnologie per il collegamento e l’interazione da remoto. L’aumento di mobilità portato dallo smart working ha, quindi, fatto salire l’attenzione sui temi della sicurezza, come testimonia la CIO Survey 2021, di NetConsultingcube, che evidenzia come l’82,4% dei CIO identifichi nella cyber security come la principale area di attenzione e di investimento per i prossimi anni. Le ragioni di preoccupazione non mancano anche sulla base dei dati Clusit, come evidenziato da Claudio Telmon, Information & Cyber Security Advisor presso P4I e membro Clusit, in occasione del confronto organizzato da FPA in collaborazione con Samsung il 28 aprile scorso e moderato dal Direttore generale di FPA, Gianni Dominici. Al centro del confronto, la definizione di una Mobile strategy senza rischi per la pubblica amministrazione.

Trend e scenari di cybersecurity nel mobile

“In termini assoluti – ha sottolineato Claudio Telmon – nel 2021 la categoria Cybercrime che punta al vantaggio economico fa registrare il numero di attacchi più elevato degli ultimi 11 anni, e rappresenta l’86% del totale, mentre rimangono sostanzialmente stabili in termini percentuali le altre categorie”. La PA è largamente coinvolta: al primo posto assoluto si colloca la categoria Gov (15%), a cui vanno sommate Healthcare, al quarto posto con il 13%, e Education al quinto (9%), che in Italia rientrano in gran parte nel settore pubblico.

Per quanto riguarda le tecniche di attacco, la categoria Malware, è stabile al primo posto, con il 41% del totale. “Questa minaccia passa attraverso gli utenti, le loro postazioni e i loro strumenti – ha spiegato Telmon -. Anche gli attacchi più sofisticati partono quasi sempre da una tematica di malware o di fishing (10% del totale) che assegna alle persone un ruolo fondamentale”.

Altro elemento rilevante è che l’Italia rappresenta un target importante, ponendosi al secondo posto dopo UK con 143 attacchi gravi, su 933 a livello europeo. Il 35% di questi attacchi ha riguardato PA e sanità, contro la media mondiale del 25% e il 12% nel manufacturing.

Un importante fattore di attenzione riguarda l’avvento di nuove infezioni, come flutbot, rivolte al mobile: una minaccia che sta aumentando di importanza in corrispondenza con l’uso dei dispositivi mobili per attività di autenticazione avanzate. Un altro malware da evidenziare è lo sharkbot, che si camuffa da antivirus per ottenere permessi di accesso su tutto il dispositivo, particolarmente attivo soprattutto in Italia e UK.

Più mobilità significa meno sicurezza? I requisiti per una mobilità gestita

Dai contributi al dibattito sono emerse problematiche e ipotesi sui requisiti di sicurezza, per far sì che ad un uso crescente dei dispositivi mobili non corrisponda un aumento di rischi per la sicurezza.

È indubbio che il problema della sicurezza si sia acuito con la diffusione dell’uso dei dispositivi mobili in corrispondenza dello smart working durante la pandemia e l’impiego di device mobili di proprietà dei dipendenti (BYOD), con applicazioni installate senza controllo per interfacciarsi con la rete aziendale.

Superata l’emergenza è auspicabile l’adozione di mobile device management (MDM) per la gestione centralizzata dei dispositivi mobili usati dai dipendenti così da aumentarne la sicurezza e proteggere il network aziendale, con una serie di funzionalità avanzate di gestione, monitoraggio e sicurezza.

Le possibili configurazioni selezionate sono:

• Corporate Owned Business Only (COBO) che vede il device fornito dall’azienda al solo scopo lavorativo, mentre le funzioni personali sono ridotte al minimo;
• Corporate Owned Personally Enabled (COPE) con il device di proprietà dell’azienda, che fornisce concessioni riguardo l’abilitazione all’uso personale;
• BringYour OwnDevice (BYOD), che consente ai dipendenti di usare per scopi di lavoro i dispositivi mobili personali.

L’ideale sarebbe probabilmente il dispositivo nuovo in configurazione COBO, ma il dibattito ha evidenziato che le realtà della PA sono ben differenti. “La configurazione COPE è probabilmente la più percorribile. C’è indubbiamente una tematica di costo, ma a seconda della rischiosità delle attività si possono scegliere policy diverse, opportunità non percorribile sul dispositivo personale (BYOD) anche se monto un MDM”, ha sottolineato Telmon, che segnala anche il tema della qualità delle applicazioni, per cui si fa molta attenzione alle funzionalità e poca alla sicurezza che deve essere definita by design senza dimenticare il tema dell’usabilità.

Un approccio proattivo che metta insieme mobile e sicurezza

È quello adottato da Samsung, che vede il device mobile come elemento centrale della nuova postazione di lavoro e punta a gestirne tutto il ciclo di vita in logica MDM, preoccupandosi della consegna, della configurazione e della gestione. “Samsung è nota soprattutto per i prodotti consumer, ma propone una piattaforma (Knox) per la gestione della sicurezza che parte dall’hardware”, ha dichiarato Antimo Lucignano, Head of Enterprise and Public Sector, Samsung Electronics Italia.

L’affidabilità della proposta si basa anche sulla partnership con i più importanti player nel mondo del digitale e delle infrastrutture, mentre il supporto fino a 5 anni del security patch, garantisce l’operatività e la sicurezza del device mobile per un tempo ben superiore a quello previsto per il consumer.

Per andare incontro alle esigenze delle aziende e delle amministrazioni, Samsung sviluppa progetti personalizzati del firmware (ad esempio telefoni criptati) e offre la possibilità di creare un’area segregata destinata a contenere dati particolarmente sensibili, per poter gestire in sicurezza documenti dematerializzati.

La conclusione è che più mobilità non significa meno sicurezza. “Con applicazioni benfatte e un sistema che pone i giusti divieti, come un MDM adeguato, si possono fare tante cose con rischi molto contenuti”, ha concluso Telmon.