Appunti Fattore umano

Fattore umano

Corso di “Sicurezza dei sistemi informatici in Internet” 2021/22, prof. Massimo Carnevali, Università degli Studi di Ferrara

Shadow IT

Shadow IT è un termine usato per descrivere sistemi e soluzioni IT implementati e usati all’interno delle organizzazioni senza l’approvazione esplicita dell’organizzazione stessa: ciò incrementa la probabilità di flussi di dati non controllati. Alcuni esempi possono essere chiavette USB o simili, software di messaggistica online, Gmail o Google Docs.

Un’altra forma di Shadow IT viene fornita da applicazioni OAuth connesse, dove un utente autorizza l’accesso a un’applicazione esterna tramite un’applicazione approvata. Per esempio, l’utente può usare le proprie credenziali di Facebook per loggarsi su Spotify, o un’altra applicazione terza tramite la sua cloud aziendale. Con questo accesso, l’applicazione esterna potrebbe avere eccessivo accesso all’applicazione approvata, introducendo in tal modo un rischio non pianificato.

Queste mancanze conducono l’azienda a implementare soluzioni IT che potrebbero essere percepite come meno costose, pur introducendo rischi dal punto di vista della sicurezza che un progetto informatico potrebbe evitare.

Bring Your Own Device (BYOD)

Varie declinazioni: “Bring your own technology (BYOT)”, “Bring your own phone (BYOP)”, “Bring your own PC” (BYOPC), “Bring your own cloud (BYOC)” etc.

Bring your own device è un’espressione usata per riferirsi alle politiche aziendali che permettono di portare i propri dispositivi personali nel posto di lavoro e usarli per avere accessi privilegiati alle informazioni aziendali e alle loro applicazioni.

Il BYOD consente la containerizzazione, vale a dire creare due ambienti diversi sullo stesso dispositivo, con dati aziendali e dati personali (chiamate, SMS, localizzazione GPS, ecc) rigorosamente separati, fino ad avere una Virtual Machine a livello del Sistema Operativo controllata dall'IT aziendale.

Vantaggi BYOD

• Riduzione dei costi: non è più necessario l'acquisto di uno o più dispositivi per ogni dipendente dal momento che ognuno utilizza quello che già possiede.
• Diminuzione dei costi di riparazione: le persone generalmente trattano meglio gli oggetti di loro proprietà piuttosto che quelli pubblici o forniti da altri.
• Aggiornamento tecnologico: le società non riescono sempre a stare al passo con le nuove tecnologie; utilizzando i dispositivi dei dipendenti non si devono preoccupare di aggiornamenti frequenti e dispendiosi. Se un impiegato vuole stare al passo con la tecnologia l'aggiornamento dei dispositivi è a suo carico.
• I dipendenti possono scegliere di utilizzare il dispositivo con cui si sentono più a loro agio e che già conoscono.
• I dipendenti utilizzano un solo strumento invece che uno per il lavoro e uno per la vita privata.

Rischi BYOD

• È fondamentale per le aziende mettere in atto misure di sicurezza per proteggere dati, servizi e informazioni sensibili.
• Gli utenti possono perdere o divulgare dati aziendali.
• Se un impiegato vende il suo tablet o il suo smartphone senza una corretta pulizia del contenuto, cede tutte le informazioni a cui aveva accesso un utente sconosciuto.
• Un dipendente si potrebbe licenziare senza restituire i suoi dispositivi o senza una corretta pulizia degli stessi.
• Una buona policy di sicurezza vuole che dispositivi come notebook e smartphone siano protetti da password personali dell'utente, cui si aggiunge un secondo livello di sicurezza dato dalla cifratura di tutti i dati. Con il BYOD, invece, non è più possibile imporre queste limitazioni: i dipendenti sono liberi di collegarsi sia alle loro reti private che alle reti pubbliche e possono visitare liberamente i siti internet.