Awareness e regole di comportamento: un giusto equilibrio tra formazione e sicurezza aziendale

Una buona politica di security aziendale deve sempre prevedere un giusto equilibrio tra l’awareness dei dipendenti (cioè la formazione fornita loro in tema di cyber security) e le regole di comportamento: altrimenti, il rischio è quello di fornire fin troppe informazioni riservate che potrebbero esporre inutilmente l’azienda stessa.

Awareness e regole di comportamento: il fattore umano

Purtroppo, infatti, la diffusione degli attacchi informatici è in continuo aumento e come spesso accade sono gli individui l’anello più debole della catena: le policy aziendali ed in particolare le regole di comportamento da adottare sono quindi fondamentali per limitare la possibilità che attacchi perpetrati con tecniche che sfruttano il comportamento degli individui possano portare a danni irreparabili.

Gli attacchi ransomware sono veicolati spesso da e-mail che il destinatario apre senza essere consapevole della minaccia nascosta, attivando quindi una serie di eventi che possono portare a blocchi del servizio prolungati ed a rilevanti perdite di dati.

È quindi importante che l’azienda fornisca adeguate istruzioni su come comportarsi nelle più comuni situazioni di rischio potenziale, in particolare là dove queste si manifestano nel corso della normale operatività quotidiana, quale appunto può essere l’apertura di una e-mail.

Fornire corrette informazioni sui comportamenti da adottare è diventato ancor più urgente ed importante in conseguenza della larga diffusione dello smart working^[1], che ha portato (meglio sarebbe dire ha accelerato) l’allargamento dei tradizionali confini della rete aziendale, che non può più essere suddivisa fra un dentro ed un fuori.

Le regole di comportamento sono organizzate spesso indicando una serie di azioni che gli utenti devono fare (ad esempio bloccare il PC quando si allontanano dallo stesso), o non devono fare (ad esempio effettuare copie di file).

Awareness e regole di comportamento: il giusto equilibrio

È nel definire tale policy che è importante dosare le informazioni da fornire agli utenti, in particolare in merito ai comportamenti che non devono essere tenuti.

Il rischio in questo caso è quello di fornire involontariamente suggerimenti su possibili azioni, che mai gli utenti avrebbero pensato di poter effettuare, o su modalità operative con cui compiere azioni altrimenti vietate.

Al riguardo evidenzio che non è necessario essere esperti di sicurezza o utilizzare tool o software particolari per bypassare tranquillamente funzionalità di sicurezza e blocchi che, forse un po’ troppo ingenuamente, si ritengono difficilmente violabili se non da hacker esperti.

Al riguardo rimango stupito in merito alla scarsa conoscenza, anche da parte di colleghi esperti di ICT e di sicurezza, di funzionalità base offerte dai software di produttività individuale comunemente utilizzati con i quali è possibile compiere tali azioni.

Nella tabella sottostante, è possibile analizzare un esempio di norme di comportamento^[2] per la corretta gestione del PC di lavoro e del sistema informativo.

Un esempio pratico: la conservazione di documenti aziendali sul PC

Prendiamo, ad esempio, il caso di una delle regole base relativa alla sicurezza delle informazioni aziendali (diventata ancor più fondamentale in questo periodo di uso massivo dello smart working): il divieto di conservare documenti aziendali in locale sul proprio PC.

Tale regola ha come finalità principale l’evitare che informazioni riservate siano portate al di fuori dell’azienda, fosse anche su un asset aziendale quale potrebbe essere un pc portatile, che sicuramente ha un livello di sicurezza fisica e logica inferiore a quella offerta da un CED aziendale.

La motivazione di tale regola è quindi del tutto legittima; si desidera evitare che informazioni aziendali siano portate al fuori dell’azienda copiando il relativo file.

In realtà, al di là delle policy e salvo che questo vincolo non sia imposto tecnicamente, solo la disponibilità di un’ottima connettività e accessibilità alle risorse in rete può convincere un utente a lavorare nel rispetto di tale policy.

Al di là della potenziale lentezza della comunicazione, uno dei timori degli utenti in questa situazione è che una improvvisa interruzione della connessione comporti la perdita del lavoro svolto.

Tuttavia, anche se operassi solo in remoto e fosse inibita tecnicamente la possibilità di effettuare copie in locale, la possibile sottrazione di informazioni aziendali da parte di un dipendente infedele può avvenire con strumenti assolutamente banali e di uso comune.

Ad esempio, potrei effettuare uno screen dump dello schermo e passare l’immagine così ottenuta in un software OCR.

Se anche tale funzionalità fosse inibita potrei semplicemente fotografare lo schermo con il mio smartphone e analogamente processare l’immagine con un OCR.

I risultati?

Giudicate voi stessi dagli esempi riportati nei due box sottostanti. In particolare, il testo nel primo box è stato ottenuto processando una fotografia effettuata senza adottare alcun particolare accorgimento (ad esempio senza nessuna regolazione di luminosità e contrasto dell’immagine a video).

Le immagini sono state processate direttamente dal software OCR, così come generate dal PC e dallo smartphone, senza alcun ritocco o ottimizzazione.

Il testo del secondo box è stato invece acquisito con uno screen dump e successivamente processato con software OCR.

Al riguardo, ricordo che un software OCR è, ad esempio, parte integrante della suite Office.

Va evidenziato che il passaggio in un software OCR non è strettamente necessario in quanto le informazioni sono comunque presenti e leggibili anche sotto forma di immagine.

Oltre alla acquisizione di immagini video un’altra soluzione per sottrarre informazioni aziendali consiste semplicemente nel leggere il contenuto di un documento registrando il vocale su un PC, registratore digitale, smartphone (in particolare se il documento deve comunque essere letto dal dipendente per lo svolgimento del suo lavoro) per passare poi il file ad un software di riconoscimento vocale (di solito in dotazione al registratore).

Anche in questo caso il trattamento del file vocale per generare un file testo non è strettamente necessario.

Va inoltre evidenziato che l’uso di uno screen dump, che è la soluzione più semplice fra quelle descritte, utilizzando le risorse del pc sia per la creazione dell’immagine sia per la successiva copia del file, potrebbe in qualche modo essere tracciata.

Viceversa, l’uso di uno smartphone o di un registratore, essendo totalmente scollegati tali strumenti dal PC, non lascia alcuna traccia, (sempre che, in questi casi, i file generati siano poi processati su un pc diverso da quello aziendale o direttamente dallo smartphone).

Regole di comportamento: quali requisiti devono avere

Di fronte a queste prospettive quale dovrebbe essere la regola più corretta da fornire agli utenti?

Si potrebbero fare le seguenti considerazioni:

1. la policy dovrebbe essere emessa anche in presenza di misure tecniche che impediscano la copia dei dati in locale;
2. dovrebbe essere di carattere generale (del tipo “è vietato l’estrazione e la riproduzione di qualunque informazione aziendale, indipendentemente dello strumento utilizzato”);
3. non dovrebbe entrare nel dettaglio di quali potrebbero essere gli strumenti e le tecniche utilizzabili per effettuare una estrazione delle informazioni, in quanto ovviamente potrebbe fornirebbe spunti su come aggirare la regola.

Non sempre è tuttavia semplice costruire delle regole di comportamento che rispettino questi requisiti.

Si devono infatti evitare le situazioni nelle quali la mancanza di regole possa essere interpretata come autorizzazione a fare.

Ad esempio, la onnipresente presenza degli smartphone personali risulta molto difficile da gestire e appare anacronistico vietarne l’introduzione in azienda, considerando anche le numerose sollecitazioni in merito ad una sempre maggiore conciliazione fra vita e lavoro.

Inoltre, molto spesso è l’azienda ad applicare una politica che consente l’uso di strumenti personali per fini aziendali.

È allora opportuno dare una indicazione di questo tipo: “è vietato effettuare registrazioni audio, video o fotografiche mediante smartphone, tablet o altri dispositivi se non preventivamente autorizzati”?

È evidente che tale regola toglie ogni dubbio circa il fatto che tali attività siano vietate, ma ha il difetto di ricordare agli utenti il fatto che con uno smartphone sia possibile compiere tali azioni.

Una possibile soluzione per indicare le regole giuste

Un’analogia alla modalità con cui si configurano i firewall potrebbe suggerire una possibile soluzione.

Si parte negando tutto e successivamente si abilitano i servizi.

Quindi le nostre norme di comportamento potrebbero evitare di descrivere le azioni vietate, ma vietarle tutte a priori, descrivendo successivamente le sole azioni consentite.

Quindi nel caso dello smartphone personale, ed in assenza di una policy BYOD o analoghe, la nostra policy potrebbe essere dei tipo: è vietato in azienda qualsiasi uso dello smartphone personale ad eccezione dei seguenti casi:

1. chiamate di emergenza;
2. …

Conclusioni

La formulazione delle norme di comportamento dovrebbe essere adeguatamente studiata e calibrata in funzione del pubblico a cui si rivolge.

Non incorrere, inoltre, nell’errore di affidare alle sole soluzioni tecniche la protezione dei propri asset.

NOTE

1. G. Butti – Smart working: buone prassi per ridurre i rischi (non solo ICT) ↑
2. Tratto da: G. Butti, SICUREZZA TOTALE 4.0 – L’ABC sulla Physical Cyber Security per i DPO e le PMI (e non solo), ITER 2019.