Article by Nicola Manica

La sicurezza della postazione di lavoro

Chiunque lavori con dispositivi elettronici in grado di elaborare informazioni non può non aver sentito parlare di sicurezza informatica. La sicurezza informatica come concetto non è molto differente da quella che viene legiferata in altri ambiti, come ad esempio la sicurezza del luogo di lavoro. Nell’adozione di sistemi informatici all’interno di un’azienda, sia da parte dei dipendenti, sia da parte di sistemi di automazione legati ad esempio all’Industry 4.0, nasce un rischio legato all’utilizzo degli stessi e alle informazioni da essi elaborate. Per questo motivo è necessario per le aziende prevedere misure volte a limitare le possibili problematiche.

Tra gli svariati standard che definiscono le best practice legate alla sicurezza informatica, esistono anche delle certificazioni a livello aziendale, tra cui la ISO 27002:2007 e la ISO 27001:2005. Per ottenere queste certificazioni, ma anche semplicemente per poter definire lo stato della sicurezza informatica aziendale, è necessario redarre un piano di rischio, in cui vengono analizzati i vari ambiti di utilizzo dei dispositivi e delle informazioni che transitano su di essi.

Il processo che porta alla definizione di un corretto piano di rischio necessita normalmente di 3 fasi principali: la valutazione del rischio, la limitazione del rischio, misura e valutazione. La valutazione del rischio è un’attività ricorrente che riguarda l’analisi, la pianificazione, l’implementazione, il controllo e la misurazione delle misure implementate riguardanti la sicurezza delle informazioni. È solitamente eseguito in tempi stabiliti (ogni 6 mesi, ogni anno, …) e fornisce una fotografia dell’attuale sistema di sicurezza aziendale. La limitazione del rischio invece si occupa di priorizzare, valutare ed implementare le appropriate azioni emerse dalla valutazione del rischio. Nella terza fase invece si analizzano i processi e quali sono stati i risultati ottenuti attraverso le prime due fasi. Nella pratica però spesso è molto complicato riuscire a redarre un piano di rischi e delle azioni efficaci in tempi rapidi, soprattutto oggi in cui i sistemi informatici delle aziende evolvono in maniera molto rapida.

Prendendo in considerazione un piccolo sottoinsieme di questo, e cercando di immaginare quale possono essere i rischi legati alla postazione di lavoro, è subito evidente che trovare delle buone norme che possano renderle sicure per tutti i contesti è molto importante. Curiosando fra i vari piani di rischi presenti in rete, si capisce che anche all’interno della sicurezza informatica della postazione di lavoro risiedono delle criticità di tipologia molto diversa. Esistono rischi legati all’utilizzo improprio da parte dell’utente, magari dovuti semplicemente ad un errore o ad una scarsa formazione dello stesso, oppure errori legati a minacce esterne, come virus o utenti malevoli, che possono cercare di ottenere informazioni riservate oppure cercare di interrompere la funzionalità dei sistemi semplicemente per creare un danno.

In un contesto ormai quasi storico, ad ogni dipendente è affidato un personal computer che contiene tutti gli strumenti necessari allo svolgimento della propria attività lavorativa. Una prassi ormai comunemente diffusa è l’utilizzo di una password per poter accedere al sistema. La password avrà a sua volte delle regole, come ad esempio una data di scadenza, oppure una regola per definirne la complessità. Questo tipo di utilizzo è praticamente legato nella quasi totalità a sistemi operativi della famiglia Microsoft Windows, i quali necessitano inoltre frequenti aggiornamenti di sicurezza (per via di correzioni da bachi), e l’esecuzione di un valido antivirus che deve essere anch’esso sempre aggiornato alle ultime definizioni dei virus.

L’utilizzo di un sistema Microsoft permette inoltre ai vari personal computer di fornire ai propri utenti un sistema semplice per condividere e ricercare le risorse all’interno della rete aziendale. Questo ha portato a dover gestire accessi e permessi alle varie risorse, creando la necessità di avere un controllo centralizzato sugli utenti che possono accedere e lavorare sulle postazioni di lavoro. L’utilizzo del dominio ha reso inoltre più agevole la configurazione delle varie postazioni attraverso degli strumenti forniti direttamente da Microsoft stessa. Dal punto di vista della sicurezza questo ha cambiato la prospettiva, infatti l’accesso alle macchine da parte di un utente malintenzionato, o di un virus informatico, non è più legato strettamente alla postazione di lavoro, ma anche a tutte le risorse di rete condivise a disposizione, modificando di fatto il raggio d’azione della minaccia andando inevitabilmente a modificare il rischio.

La virtualizzazione, prima lato server e poi dei desktop, ha mutato in maniera sostanziale il modello relativo alla sicurezza aziendale. L’utente ha ancora le proprie risorse a disposizione ma non ha più la coscienza della locazione fisica di esse. Infatti esse possono essere locali, virtuali e quindi erogate dall’interno dall’azienda, oppure anche direttamente dal cloud. Questo modello è ancora legato alla centralizzazione della configurazione degli utenti, ma non più della postazione di lavoro. Infatti la postazione di lavoro diventa solamente un punto di accesso, in cui la necessità è quella di poter accedere alle risorse dell’utente che la sta utilizzando in quel momento. La virtualizzazione ha quindi slegato del tutto le postazioni di lavoro dall’utente che le utilizza. Accettando questo concetto, è semplice capire come la configurazione e la tipologia di dispositivo della postazione di lavoro sia mutato, in quanto la cade la necessità di memorizzare applicativi o dati (se non per qualche configurazione) lato dispositivo.

Questa è di fatto una delle motivazioni che hanno spinto la nascita di dispositivi Thin Client, che non memorizzano dati sulla macchina e hanno una configurazione molto semplice e rapida. Spesso ciò ha reso anche non più necessario l’accesso alle risorse condivise da parte del dispositivo stesso, dando di fatto il via all’utilizzo per questa tipologia di dispositivi di sistemi operativi non Microsoft. Dal punto di vista della sicurezza questo permette di abbassare la probabilità di attacchi da parte di virus, molto meno diffusi per questo tipo di sistemi operativi. Inoltre, non avendo accesso alle risorse condivise, un utente malintenzionato non avrebbe la possibilità di ottenere informazioni oltre alla singola macchina, che di fatto non contiene dati, ma solo configurazioni del dispositivo.

È chiaro però che questo modello non si adatta a tutti i contesti. Cosa fare quindi in altri contesti? In cui magari ci sono ancora applicativi locali, magari legati a motivi storici. È proprio necessario autenticare i dispositivi per accedere alle risorse condivise e locali? Agile è un prodotto nuovo che permette di rendere sicuro l’accesso al dispositivo da parte dell’utente, togliendo tutte quelle opzioni che non sono previste dal piano di rischio aziendale. Non è necessario associare i dispositivi al dominio, riducendo di fatto il raggio di azione di un accesso malevolo, ma è possibile autenticarsi alle risorse necessarie attraverso la console di gestione ThinMan.

 

Scopri cosa possono fare Agile e ThinMan per la tua azienda:

Rispondi

L'unione fa la forza

I nostri rivenditori sono in grado di sfruttare al meglio la nostra tecnologia e lavorano con noi per disegnare le soluzioni ottimali per te.

Clienti

Loro hanno scelto di utilizzare le soluzioni Praim