Con “mobile device” si intende qualsiasi dispositivo dotato di batteria di alimentazione o, per essere ancora più precisi, qualsiasi apparecchio che non necessiti di un “cavo di alimentazione” per poter funzionare. La security posture di questi dispositivi è fortemente dipendente dalle capacità e funzionalità di cui sono dotati.
Le capacità di eseguire istruzioni, di memorizzare informazioni e di comunicare con l’esterno possono elevare i mobile device al “rango” di veri e propri computer e le loro funzionalità possono essere talmente evolute e sofisticate da arrivare addirittura a qualificarli con aggettivi quali, ad esempio, “smart”.
Inoltre, se la prima fase della cosiddetta “Internet revolution” è stata caratterizzata dal cercare di portare online tutti i computer, oggi potremmo dire che stiamo assistendo a una “seconda” fase, la cosiddetta Internet of Things caratterizzata dal tentativo di portare online tutto ciò che sia alimentato da corrente elettrica.
Se da un lato le attività umane sono sempre più voraci di questo genere di capacità, funzionalità e tecnologie, dall’altro esse introducono un numero sempre maggiore di rischi, di livello anche molto elevato.
In definitiva, citando Mikko Hypponen, “if it’s smart, it’s vulnerable” (Hypponen’s Law).
Introdurre la sicurezza delle informazioni in azienda: alcuni utili spunti
Indice degli argomenti
Dispositivi mobili, smart working e fattore umano
In azienda, se escludiamo il mondo IoT, OT e IIoT, con mobile device ci si riferisce tipicamente a portable computer, tablet e smartphone.
La flotta di dispositivi mobili è spesso vasta, sia in termini di varietà dei dispositivi stessi sia dei relativi service provider.
In particolare, la repentina diffusione su vasta scala del “remote working”, innescata e agevolata anche dal lungo periodo pandemico che stiamo attraversando, ha contribuito ad aumentare notevolmente l’uso dei dispositivi mobili e lo sfruttamento delle loro potenzialità, unitamente ai rischi di sicurezza che questa autentica “rivoluzione” sta portando necessariamente con sé, frantumando forse definitivamente il concetto di “perimetro” aziendale e spingendo con rinnovato vigore i professionisti della sicurezza ad adottare ed abbracciare framework e concetti (e.g. “Zero Trust”) più idonei ai nuovi scenari, cosiddetti “ibridi”, caratterizzati da una “Enterprise Network” che, di fatto, si è spostata su “Internet”.
In un contesto di questo tipo, il “fattore umano” diviene ancora più determinante, e gli investimenti nella promozione della cultura della sicurezza rivestono un ruolo ancora più strategico e decisivo.
Occorre inoltre considerare il fatto che spesso i mobile device, oltre a poter essere usati in movimento o, più in generale, in situazioni che favoriscono un certo grado di distrazione in chi li usa, offrono interfacce utente normalmente molto “limitate” che rendono difficoltosi, se non impossibili, alcuni fondamentali controlli suggeriti nella maggior parte dei programmi di awareness.
Dispositivi mobili target privilegiati dei ransomware
Anche per queste ragioni, costituiscono un componente privilegiato degli attacchi ransomware, estremamente attratti dagli ambienti di lavoro remoto, dove sono spesso usati dispositivi personali non gestiti dall’azienda, “unmanaged”, per accedere, tipicamente via VPN, anche a tutte le risorse aziendali, senza segmentazione e quasi sempre senza attuare policy di autenticazione “context-aware” che tengano conto ad esempio da dove, quando e con quale dispositivo avvenga l’autenticazione.
Secondo il Mobile Security Index 2022 di Verizon, il 68% degli intervistati in un sondaggio condotto da Proofpoint, afferma di aver iniziato a lavorare da casa, anche full-time, e il 45% delle aziende ha subito, negli ultimi 12 mesi, una compromissione caratterizzata dal coinvolgimento di un mobile device, con un’incidenza maggiore (61%) in caso di “global presence” sui mercati.
Sempre secondo questo autorevole report, i rischi più significativi sarebbero riconducibili a carenze nella cosiddetta “cyber security ABCs” (Awareness, Behavior, Culture) all’adozione di modelli “Bring Your Own” (Office, Device, Application) alle applicazioni installate e usate (e.g. malware da third-party app store) al networking (e.g. public Wi-Fi “Man In The Middle”) alla possibilità della perdita o del furto dei dispositivi stessi e alla mancata introduzione di piattaforme per il Management e la Threat Defense degli endpoint.
Secondo Zimperium – “2022 Global Mobile Threat Report” – il 66% delle organizzazioni ha adottato un modello “Bring Your Own Device” (BYOD) considerato dal 30% degli intervistati in un sondaggio del 2021 una delle maggiori preoccupazioni per quanto concerne la sicurezza degli endpoint, unitamente al “Remote Working” per il quale si sale al 35%.
Inoltre, con riferimento ai “Global Threat”, il “Mobile Malware” rappresenta statisticamente il rischio maggiore per i mobile device, attestandosi al 23%, sia che si tratti di sideloading da sorgenti di terze parti sia di download diretto dagli app store ufficiali, seguito dal “MITM” al 13% e, a pari merito, dai “Malicious Website” e dagli “Scan” al 12%,
Particolarmente interessante la diversificazione su aree geopolitiche differenti: in Africa il “Mobile Malware” sale al 30%, nell’area APAC sale in vetta il “Malicious Website” con il 26% e in Europa rivestono un ruolo significativo gli “Scan” con un non trascurabile 19%.
Meno sicurezza non significa più produttività
Risulta quindi evidente quanto sia di fondamentale importanza che un’azienda si preoccupi della security posture della propria flotta di dispositivi mobili, anche attraverso l’introduzione di sistemi per la gestione dei dispositivi stessi, tenendo però sempre ben presente che l’obiettivo primario di questi sistemi non è la Security ma il Management: pur offrendo funzionalità orientate alla sicurezza, non sono in grado, da soli, di garantire che i suddetti device siano utilizzati, per così dire, “in sicurezza”.
Con riferimento al “Remote Working”, esistono tutta una serie di raccomandazioni che, se recepite, consentirebbero di mitigare notevolmente i rischi ad esso correlati.
Occorrerebbe innanzitutto promuovere un comportamento virtuoso caratterizzato, ad esempio, dall’attenersi alle policy e alle linee guida aziendali, dall’evitare di utilizzare asset aziendali per scopi personali e viceversa, dal fare un uso esclusivo dei device in dotazione, tenendoli in luoghi “sicuri” ed informando tempestivamente l’azienda in caso di furto o smarrimento, dall’attivare la funzione di “Auto Screen Lock” protetta da password, dall’usare password uniche, mai usate prima e di adeguata complessità, adottando soluzioni di “Multi Factor Authentication” (MFA) e dal prestare massima attenzione al contesto ambientale in cui si lavora, accertandosi che non sia possibile ascoltare o registrare conversazioni confidenziali, che non vi siano fotocamere o telecamere di alcun genere e non si verifichino fenomeni quali il “Shoulder Surfing”.
Inoltre, sarebbe di fondamentale importanza gestire opportunamente i sistemi operativi e le applicazioni utilizzate, provvedendo ad applicare tempestivamente gli aggiornamenti disponibili, installando solo il software autorizzato e di cui si abbia effettivamente bisogno, scaricandolo esclusivamente dagli store ufficiali e concedendo solo le autorizzazioni strettamente necessarie.
Infine, andrebbero tenuti in seria considerazione tutti gli aspetti relativi al networking, cambiando le password di default degli apparati di rete e di ogni device connesso, usando la VPN aziendale se disponibile, ed evitando di usare le reti Wi-Fi inaffidabili, in particolare quelle pubbliche.
Sempre con riferimento alle maggiori preoccupazioni nell’ambito della endpoint security, nel caso in cui l’azienda aderisca a un modello di tipo BYOD, dovrebbe contestualmente adattare e integrare opportunamente il framework di cybersecurity adottato, al fine di mantenere inalterata la security posture aziendale, perseguendo iniziative che vanno dalla definizione di policy chiare riguardo alle responsabilità di ogni soggetto coinvolto e alla cosiddetta “Digital Forensics”, all’introduzione di sistemi di Unified Endpoint Management e di Mobile Threat Defense, oltre a un’adeguata preparazione volta alla gestione di una notevole varietà di dispositivi.
È pur vero che, nonostante l’azienda si doti di molteplici soluzioni per la Mobile Device Security, si assiste spesso a un fenomeno paradossale che ha caratterizzato in particolare il periodo pandemico in corso e che tende a vanificare gli sforzi profusi e gli investimenti fatti: si tratta della falsa convinzione che sacrificando la sicurezza si incentivi la produttività e si assicuri la business continuity aziendale, e si manifesta spesso con una sorta di “pressione”, di “invito” a trascurare le misure di sicurezza in favore di una presunta “efficienza” nello svolgimento delle mansioni aziendali.
Tutti gli acronimi della mobile device security
Riguardo al tema della gestione dei dispositivi mobili in azienda, esistono molti acronimi e, nel tempo, sono stati elaborati approcci sempre più “estesi” sia in termini di ambiti gestiti sia di funzioni e soluzioni orientate alla sicurezza.
Per citarne buona parte:
- MAM: Mobile Application Management
- MEM: Mobile Expense Management
- MCM: Mobile Content Management
- MIM: Mobile Identity Management
- MDM: Mobile Device Management
- EMM: Enterprise Mobility Management
- UEM: Unified Endpoint Management
- MTD: Mobile Threat Defense
- MAV: Mobile Application Vetting
Quando ci si confronta sulle tematiche di mobile device management, viene spontaneo usare, anche per semplicità, l’acronimo “classico” che probabilmente è anche il più “comune”: MDM.
In realtà, esistono molte differenze tra queste soluzioni: alcune sono ormai parte integrante di altre o ne costituiscono un’evoluzione; un acronimo in particolare, MTD, è usato per definire una piattaforma orientata nativamente e specificamente alla mobile security, una sorta di “mobile EDR”.
Cos’è un sistema Mobile Device Management
Un MDM è, in estrema sintesi, un sistema che cerca di rispondere alla necessità sfidante di monitorare e gestire la miriade di mobile device, personali o meno, con i quali sia possibile fruire di asset aziendali, assicurandosi in particolare che siano mantenuti “up-to-date”.
I goal di una piattaforma di questo tipo sono tipicamente il monitoring dei dispositivi, il loro remote management, il supporto al troubleshooting e il rafforzamento della security posture.
Col passare degli anni, i sistemi MDM si sono evoluti in piattaforme EMM per poi convergere nelle cosiddette soluzioni di “Unified Endpoint Management” (UEM) per la gestione e il controllo avanzato non solo di mobile device ma anche di PC, dispositivi OT, IIoT e IoT.
L’obiettivo sarebbe quello di unificare scopi e funzioni dei sistemi MDM e EMM, in un’unica soluzione, estendendola anche ai dispositivi non mobili.
Enterprise Mobility Management: cos’è e come funziona
Una piattaforma EMM è centrale nello sviluppo di un programma di Mobile Device Security, e potrebbe essere definita come una suite di prodotti per l’implementazione, la configurazione, il monitoring, il controllo e in generale la gestione dell’intero ciclo di vita dei mobile device, aziendali o meno, in un ambiente enterprise.
Essa include normalmente anche la gestione di “Identity & Access” (MIM) degli accessi e dell’uso dei contenuti aziendali, anche al fine di ottimizzare la cosiddetta “User eXperience” (MCM) delle applicazioni (MAM) e dei costi correlati con l’uso dei mobile device, mediante attività di tracking, audit e reporting, anche con riferimento a determinati valori di soglia (MEM).
La gestione delle applicazioni riveste un ruolo particolarmente critico, considerato anche l’attuale panorama di minacce a livello globale.
Tra le funzionalità più importanti è da tenere presente quella di distribuzione automatica delle cosiddette “pile” SW, ad esempio in fase di “onboarding”, in modo da evitare il fenomeno del Sideloading e l’installazione di applicazioni non autorizzate e non strettamente necessarie, preferendo le cosiddette opzioni di “Allow Listing” (deny by default) a quelle di “Deny Listing” (allow by default).
Fondamentale anche quella di distribuzione automatica delle policy di configurazione, al fine di garantire un’opportuna baseline di sicurezza o la conformità a regolamenti ed eventuali certificazioni.
Non si può poi prescindere dall’implementazione di un piano di patching sia dei sistemi operativi sia delle applicazioni, al fine sia di introdurre nuove funzionalità sia di far fronte alle esigenze di sicurezza.
Anche la gestione dei dati è particolarmente critica e va affrontata molto seriamente.
Le informazioni sono probabilmente il cuore e il valore più importante per un’azienda, e devono essere opportunamente classificate e protette sia dalle minacce esterne sia dagli “insider threat”.
L’uso dei dispositivi mobili può aumentare molto i rischi di violazione dei privilegi e in particolare di esfiltrazione, d’altro canto i dati esistono per poter essere consumati e all’occorrenza anche condivisi.
Le soluzioni EMM possono quindi costituire un valido supporto per il Data Management.
Principali funzionalità di un sistema di Enterprise Mobility Management
Un sistema EMM può essere caratterizzato ovviamente da molte altre importanti funzionalità, tra cui ad esempio:
- Device Authentication, Conditional Access e Lockout, Full Device Encryption e relativo Key Management, Location-based e Remote Wiping, tutte particolarmente utili anche in caso di furto o smarrimento di un dispositivo.
- Remote Access.
- Storage Segmentation che consente la coesistenza, sullo stesso dispositivo, di dati e applicazioni sia personali sia aziendali, il cosiddetto “Managed Workspace”.
- Gestione delle memorie rimovibili.
- Gestione delle connessioni (e.g. rete dati cellulare, Wi-Fi, Bluetooth, NFC, RFID).
- Rilevamento parziale di tentativi di Rooting, Jailbreaking e installazione di Custom Firmware.
Un principio fondamentale da tenere sempre presente è comunque quello di puntare alla massima riduzione della “superficie” d’attacco, disabilitando e vietando tutto ciò che non sia strettamente necessario.
Un’azienda, quando decide di investire in soluzioni di questo tipo, è molto probabile che opti direttamente per un sistema UEM, tipicamente cloud-based, al fine appunto di unificare la gestione di “tutti” gli endpoint, concentrandosi in particolare sul mondo dei cosiddetti “Client”.
Sviluppare un programma di sicurezza dei dispositivi mobili
Secondo il NIST e il NIST National Cybersecurity Center of Excellence (NCCoE)[1] per sviluppare un programma di Mobile Device Security occorrerebbe adottare diverse soluzioni, in un’ottica di “Defense in Depth”, tra le quali rivestono fondamentale importanza, oltre alle piattaforme EMM / UEM, anche i sistemi MTD, MAV e “Data Loss Prevention” (DLP).
Le soluzioni EMM / UEM, infatti, non sono in grado da sole di mitigare efficacemente rischi come quelli correlati anche ai più semplici attacchi di tipo mobile ransomware, non essendo state ideate né per la ricerca di mobile-related threat a livello applicativo, di sistema operativo e di networking, né per contrastare gli attacchi di social engineering, lasciando le aziende esposte ad attacchi quali ad esempio il furto di credenziali, l’esfiltrazione di dati e il device takeover.
I sistemi MAV consentono di verificare che un’applicazione rispetti determinati requisiti di sicurezza e sia priva di vulnerabilità note.
I sistemi MTD, grazie anche all’uso di tecnologie di Machine Learning e Behavioral Analysis, sono in grado da un lato di rilevare ad esempio la presenza di artefatti malevoli in sistemi operativi e applicazioni, di vulnerabilità note sia a livello di codice sia a livello di configurazione, e di connessioni da sorgenti o verso destinazioni annoverate nelle blacklist di riferimento, dall’altro di intervenire con opportune remediation quali la quarantena di applicazioni e l’isolamento di dispositivi.
Si tratta in sostanza di piattaforme in grado di mitigare quelli che potrebbero essere considerati i tre tipi principali di rischio della mobile device security:
- OS-based: configurazioni vulnerabili, exploit, Rooting e Jailbreaking avanzato ecc.;
- application-based: esfiltrazioni di dati attraverso applicazioni malevole, malware presenti in applicazioni apparentemente legittime, abuso di privilegi ecc.;
- Network-based: trappole di tipo MITM, esfiltrazione di dati verso postazioni Command & Control, furto di credenziali e via dicendo.
In azienda non è così scontato che siano adottate soluzioni MTD per l’intera flotta di dispositivi mobili, spesso si tendono infatti a trascurare smartphone e tablet, limitandosi a gestire solo i computer portatili, con soluzioni “classiche” di Detect & Response.
Le policy corrette per l’uso dei dispositivi mobili
Esiste, infine, un altro tema che le aziende devono affrontare nell’ambito dello sviluppo di un programma di sicurezza dei dispositivi mobili, la definizione di una policy adeguata al modello di Mobile Device Deployment adottato.
I modelli più diffusi sono:
- BYOD: Bring Your Own Device;
- COPE: Corporate-Owned, Personally Enabled;
- CYOD: Choose Your Own Device;
- COMS: Corporate-Owned Mobility Strategy;
- COBO: Corporate-Owned Business-Only.
L’approccio BYOD consente di utilizzare dispositivi personali al lavoro e per lavoro.
Si tratta del modello che comporta i rischi maggiori sia per l’azienda sia per il proprietario del device, che potrebbe esporre ad esempio dati personali anche sensibili all’azienda e a terze parti.
Il modello COPE prevede invece che l’azienda si faccia carico dell’acquisto e della fornitura del dispositivo, l’assegnatario provvederà poi a prepararlo e a configurarlo sia per l’uso aziendale sia per quello personale.
Consente all’azienda un certo livello di controllo degli accessi agli asset aziendali, accesso che normalmente viene accordato solo ai device che offrono i requisiti minimi di compliance alle policy di sicurezza adottate.
Anche questo modello comporta rischi sia per l’azienda sia per l’assegnatario del dispositivo.
L’approccio CYOD è una variante di BYOD o COPE, nel senso che viene lasciato all’azienda l’onere di definire la lista dei dispositivi approvati e all’assegnatario il diritto di sceglierlo, mentre l’acquisto potrà essere, rispettivamente, a carico suo o dell’azienda.
Questo modello comporta sostanzialmente gli stessi rischi del COPE.
I modelli COMS o COBO prevedono infine che l’azienda si faccia carico dell’acquisto del dispositivo, compliant alle policy di sicurezza aziendali, e che l’assegnatario possa usarlo solo ed esclusivamente per scopi lavorativi.
Si tratta della soluzione ottima per la mitigazione dei rischi.
Sicurezza dei dispositivi mobili e gestione dei dati
Qualunque sia il modello adottato, è quindi di fondamentale importanza che l’azienda definisca una policy per cercare di affrontare le problematiche di sicurezza riguardanti l’uso di questo tipo di dispositivi, definendone i requisiti, in termini di capacità e funzionalità, e le configurazioni necessarie al fine di rispettare le policy di sicurezza aziendali.
Uno degli aspetti più importanti da gestire è la Data Ownership per la quale possono essere di grande aiuto sia la definizione di una policy chiara sia l’adozione di un sistema EMM / UEM che garantisca Storage Segmentation e Data-Type Isolation, anche al fine di gestire “serenamente”, in caso di furto o smarrimento del dispositivo, un eventuale processo di remote wiping che risponda sia alle esigenze aziendali sia a quelle personali dell’assegnatario, normalmente riluttante ad interventi di questo tipo.
Seguono anche, non meno importanti, la gestione dell’Onboarding/Offboarding, per i quali possono essere di aiuto i sistemi EMM / UEM, unitamente ad attività di Full Device Wiping e Factory Reset, la gestione della Support Ownership, in caso di riparazioni, sostituzioni o supporto tecnico in generale, il Patch/Update Management, relativamente sia ai sistemi operativi sia alle applicazioni installate, definendo mezzi e modalità, e la gestione delle soluzioni tecnologiche specifiche per la sicurezza, definendo obblighi e raccomandazioni.
Altri aspetti fondamentali da tenere presente e da gestire vanno dalla User Acceptance, alla definizione di una opportuna Acceptable Use Policy (AUP) alla Privacy, alle analisi forensi e alle investigazioni conseguenti a un incident, a tutte le tematiche Legal e a tecnologie come il Tethering (Hotspot) la fotocamera e il microfono, tenendo presente che queste ultime, assieme ai relativi supporti di memorizzazione e ai servizi di localizzazione, rappresentano le funzionalità a cui statisticamente le applicazioni tentano di accedere più frequentemente.
In azienda spesso ci si scontra con una situazione pregressa per certi versi “confusa” e molto eterogenea, dal dispositivo mobile personale che fruisce di asset aziendali senza che sia stato ufficialmente autorizzato a farlo, agli “unmanaged” BYOD dotati, però, di SIM aziendale ai COPE che sono molto “CO” e poco o quasi nulla “PE”, nel senso che tipicamente l’unica cosa certa è la ownership dei vari asset mentre si rileva una scarsa “maturità” in termini di sistemi di management e di soluzioni che mitighino il rischio “cyber”.
Conclusioni
In scenari di questo tipo è evidente che già imbastire una policy di Mobile Device Deployment e prevedere, come si dice, “a budget” una piattaforma UEM, rappresenti di per sé un enorme passo avanti per un’azienda.
È altrettanto evidente però che non si possa prescindere dall’affrontare seriamente e nella sua completezza, il tema della sicurezza delle informazioni, anche e non solo per l’intera flotta di mobile device.
Del resto, non si può assolutamente ignorare l’impatto che la succitata seconda fase della “Internet revolution” sta già determinando sui domini della cyber security.
Come ha sottolineato Alec Ross, esperto di Geopolitica e Innovazione nonché “best-seller author”, nel suo magistrale intervento in occasione del recente “MADE IN DIGitaly”, il più grande evento dell’anno di Microsoft Italia, organizzato con la collaborazione di Digital 360, si è passati dai 20 miliardi di dispositivi “network-connected” nel 2017 agli oltre 42 miliardi di oggi, a distanza di 5 anni, con la previsione di raddoppiare nell’arco di soli 3 anni.
Si attribuisce a Robert S. Mueller (FBI) la frase: “There are only two types of companies: Those that have been hacked and those that will be hacked”.
Ma probabilmente è divenuta “obsoleta” nel momento stesso in cui è stata pronunciata, in favore di un’altra frase, attribuita a John T. Chambers (CISCO): “There are only two types of companies: those that have been hacked and those that don’t know they have been hacked”.
Il messaggio è molto chiaro: (nessuno e) nessuna azienda è immune da attacchi “cyber”, è solo una questione di “tempo” o di “consapevolezza”, e i mobile device rappresentano indiscutibilmente asset “aziendali” pesantemente coinvolti nelle problematiche di sicurezza aziendali.
NOTE
NIST Special Publication 800-124 Revision 2 Draft: Guidelines for Managing the Security of Mobile Devices in the Enterprise; NIST Special Publication 1800-21: Mobile Device Security: Corporate-Owned Personally-Enabled (COPE); NIST Special Publication 1800-22 Draft: Mobile Device Security: Bring Your Own Device (BYOD). ↑
