Mappa Interattiva - dove le persone incontrano le attività

Smartphone e computer personali: una comodità che richiede regole precise

Rispondere alle e-mail di lavoro dal proprio smartphone, accedere ai documenti aziendali dal computer di casa o utilizzare il tablet personale durante una trasferta sono abitudini sempre più diffuse. Per molte imprese, consentire ai dipendenti di utilizzare dispositivi personali per svolgere attività professionali rappresenta un modo per favorire la flessibilità e semplificare il lavoro quotidiano.

Questo approccio è conosciuto come BYOD, acronimo di Bring Your Own Device, letteralmente «porta il tuo dispositivo». Il principio è semplice: il dipendente utilizza un dispositivo di sua proprietà per accedere, in tutto o in parte, alle risorse aziendali.

La comodità, però, non elimina le responsabilità legate alla gestione degli accessi, alla protezione dei dati e alla sicurezza dei dispositivi. Un computer personale potrebbe non essere aggiornato, uno smartphone potrebbe essere utilizzato anche da altri membri della famiglia oppure un'applicazione potrebbe conservare documenti aziendali al di fuori degli ambienti controllati dall'impresa.

Il problema non è necessariamente vietare l'utilizzo di dispositivi personali, ma stabilire in quali condizioni sia consentito e quali misure siano necessarie per proteggere le informazioni aziendali.

Per una PMI, definire una strategia BYOD significa trovare un equilibrio tra flessibilità operativa, esigenze dei dipendenti e controllo dei rischi informatici.

Quali rischi comporta l'utilizzo di dispositivi personali?

Un dispositivo personale non è automaticamente meno sicuro di uno aziendale. La differenza principale riguarda il livello di controllo che l'impresa può esercitare sulle configurazioni, sugli aggiornamenti, sulle applicazioni installate e sulle modalità di accesso ai dati.

Quando un computer o uno smartphone viene utilizzato sia per attività private sia per lavoro, i confini tra i due ambiti possono diventare difficili da gestire.

Sistemi non aggiornati. Un dispositivo che utilizza una versione obsoleta del sistema operativo o applicazioni non aggiornate può presentare vulnerabilità note. Se viene autorizzato ad accedere ai servizi aziendali, il rischio può estendersi oltre il dispositivo stesso.

Applicazioni non controllate. Il dipendente potrebbe utilizzare software o servizi cloud non approvati dall'azienda, trasferendo documenti professionali su piattaforme che non sono state valutate dal punto di vista della sicurezza e della riservatezza.

Perdita o furto del dispositivo. Uno smartphone smarrito o un computer rubato possono esporre informazioni aziendali, soprattutto se i dati sono archiviati localmente e il dispositivo non dispone di adeguate protezioni.

Accessi non autorizzati. Credenziali salvate senza protezione, dispositivi condivisi con altre persone o sessioni lasciate aperte possono facilitare l'accesso a e-mail, documenti e applicazioni aziendali.

Separazione insufficiente tra dati personali e professionali. Se i file di lavoro vengono mescolati con quelli privati, diventa più difficile gestire correttamente la cancellazione delle informazioni aziendali, il cambio di ruolo o la cessazione del rapporto di lavoro.

Questi rischi non si risolvono con una sola applicazione di sicurezza. Occorre definire regole coerenti con le attività svolte e con la sensibilità dei dati a cui ciascun dipendente può accedere.

BYOD o dispositivi aziendali: quale modello scegliere?

Consentire l'utilizzo di dispositivi personali non è sempre la scelta più conveniente. La decisione dipende dal tipo di attività, dalle applicazioni utilizzate e dal livello di protezione richiesto.

Con il BYOD, l'impresa può ridurre parte degli investimenti iniziali in hardware e permettere ai dipendenti di utilizzare strumenti che già conoscono. In cambio, deve affrontare la complessità di gestire dispositivi differenti, configurazioni eterogenee e confini più delicati tra informazioni personali e aziendali.

Con i dispositivi aziendali, invece, l'organizzazione può standardizzare modelli, configurazioni, aggiornamenti e strumenti di protezione. Questo facilita la gestione centralizzata, anche se comporta costi di acquisto, manutenzione e sostituzione.

Esiste anche una soluzione intermedia: fornire dispositivi aziendali per le attività più sensibili e consentire l'utilizzo di strumenti personali soltanto per operazioni limitate, attraverso applicazioni e modalità di accesso controllate.

La scelta dovrebbe considerare almeno quattro elementi: costo complessivo, criticità dei dati, esigenze di mobilità e capacità dell'azienda di gestire in sicurezza i dispositivi autorizzati.

Non esiste un modello valido per tutte le imprese. L'importante è evitare che il BYOD si diffonda spontaneamente, senza una valutazione preventiva e senza responsabilità definite.

Come proteggere l'accesso ai sistemi aziendali

Una strategia BYOD efficace deve partire dall'accesso alle risorse aziendali. Non tutti i dispositivi devono necessariamente poter raggiungere tutti i servizi, né tutti gli utenti devono disporre degli stessi privilegi.

Il principio del minimo privilegio prevede che ciascun utente possa accedere soltanto alle informazioni e alle funzionalità necessarie per svolgere il proprio lavoro.

A questo principio è opportuno affiancare alcune misure operative.

Autenticazione a più fattori

L'autenticazione a più fattori aggiunge un elemento di verifica oltre alla password. Se le credenziali vengono sottratte, questo livello aggiuntivo può rendere più difficile l'accesso non autorizzato, purché il metodo adottato sia configurato correttamente e adeguato al rischio.

Requisiti minimi per i dispositivi

L'azienda può stabilire condizioni per autorizzare l'accesso, come l'utilizzo di sistemi operativi ancora supportati, aggiornamenti di sicurezza recenti, blocco dello schermo e cifratura del dispositivo quando disponibile.

I dispositivi che non rispettano i requisiti possono essere esclusi dalle risorse più sensibili fino alla risoluzione delle criticità.

Accessi limitati e controllati

Quando possibile, è preferibile utilizzare applicazioni aziendali e servizi cloud configurati per limitare l'esposizione dei dati, anziché consentire connessioni indiscriminate all'intera rete interna.

L'accesso deve inoltre essere revocabile rapidamente quando un dispositivo viene perso, un account è compromesso o un dipendente non deve più utilizzare una determinata risorsa.

Protezione delle sessioni e dei dati

Le sessioni devono essere gestite in modo coerente con la sensibilità delle informazioni. Per esempio, può essere opportuno richiedere una nuova autenticazione per determinate operazioni o impedire il download locale di documenti particolarmente riservati quando non è necessario.

La combinazione delle misure deve essere proporzionata al rischio: proteggere l'accesso alla posta elettronica aziendale può richiedere controlli differenti rispetto a quelli necessari per un sistema che gestisce dati finanziari o informazioni riservate dei clienti.

MDM e MAM: come gestire i dispositivi senza confondere lavoro e vita privata

Quando i dispositivi autorizzati aumentano, gestirli singolarmente può diventare complicato. Esistono strumenti che consentono di applicare criteri di sicurezza e controllare l'accesso alle risorse aziendali in modo più strutturato.

Due approcci da conoscere sono MDM e MAM.

MDM, Mobile Device Management, indica la gestione centralizzata dei dispositivi mobili. A seconda della piattaforma e della configurazione, può consentire di applicare criteri di sicurezza, distribuire impostazioni, verificare lo stato dei dispositivi e intervenire in caso di smarrimento.

MAM, Mobile Application Management, riguarda invece la gestione delle applicazioni utilizzate per il lavoro. Può permettere di applicare regole alle app aziendali e proteggere i dati trattati al loro interno senza richiedere necessariamente lo stesso livello di controllo sull'intero dispositivo.

La distinzione è importante soprattutto quando il telefono appartiene al dipendente. In alcune situazioni, gestire l'ambiente applicativo aziendale può essere sufficiente; in altre, la criticità delle informazioni può rendere necessario un controllo più ampio, da valutare e comunicare con attenzione.

Questi strumenti non garantiscono automaticamente la sicurezza. Devono essere configurati correttamente e accompagnati da regole chiare su accessi, aggiornamenti, conservazione dei dati e gestione degli incidenti.

Privacy: fino a dove può arrivare il controllo dell'azienda?

Uno dei punti più delicati del BYOD riguarda la separazione tra vita privata e attività professionale.

Il fatto che un dipendente utilizzi il proprio smartphone per lavorare non significa che l'azienda possa controllare indiscriminatamente tutto ciò che contiene. Il monitoraggio deve avere finalità legittime, essere proporzionato e rispettare la normativa applicabile in materia di protezione dei dati e lavoro.

Prima di introdurre strumenti di gestione, è quindi necessario chiarire quali informazioni possono essere raccolte, per quali finalità, chi può accedervi e per quanto tempo vengono conservate.

È importante distinguere, per esempio, i dati tecnici necessari a verificare la conformità del dispositivo dalle informazioni personali che non sono pertinenti alla gestione aziendale.

Anche le funzionalità di cancellazione remota richiedono attenzione. In caso di smarrimento, la possibilità di rimuovere i dati aziendali può essere fondamentale, ma la modalità di intervento deve tenere conto della separazione tra contenuti professionali e personali e delle capacità effettive della tecnologia utilizzata.

Le regole dovrebbero essere definite prima dell'attivazione del servizio e comunicate chiaramente ai dipendenti. Quando necessario, l'impresa deve coinvolgere le figure competenti in materia di privacy e diritto del lavoro, evitando di considerare una semplice informativa come sostitutiva di tutti gli adempimenti applicabili.

Che cosa dovrebbe contenere una policy BYOD?

Una policy BYOD è il documento con cui l'azienda stabilisce le condizioni per utilizzare dispositivi personali nelle attività professionali.

Non dovrebbe essere un elenco generico di divieti, ma una guida operativa comprensibile sia ai dipendenti sia a chi gestisce i sistemi informatici.

Una policy efficace dovrebbe chiarire:

• quali categorie di dispositivi sono ammesse;

• quali requisiti minimi di sicurezza devono rispettare;

• quali applicazioni e risorse aziendali possono essere utilizzate;

• quali metodi di autenticazione sono obbligatori;

• come vengono gestiti smarrimento, furto e compromissione;

• quali controlli tecnici possono essere effettuati;

• come vengono separati i dati personali da quelli aziendali;

• che cosa accade quando il dipendente cambia ruolo o lascia l'impresa;

• chi è responsabile dell'assistenza e della gestione degli incidenti.

La policy dovrebbe essere accompagnata da procedure pratiche. Per esempio, un dipendente deve sapere a chi comunicare lo smarrimento del telefono e con quale tempestività; il reparto IT deve sapere come revocare gli accessi e proteggere le informazioni aziendali.

Le regole devono inoltre essere riesaminate quando cambiano i servizi utilizzati, le tecnologie disponibili o le esigenze organizzative.

Come introdurre il BYOD senza creare problemi operativi

Per una PMI che desidera consentire l'utilizzo di dispositivi personali, il percorso più prudente consiste nell'introdurre il modello gradualmente.

1. Analizzare le esigenze. Individuare quali attività possono essere svolte da dispositivi personali e quali richiedono strumenti aziendali dedicati.

2. Classificare le informazioni. Distinguere i dati che possono essere consultati da dispositivi personali da quelli che richiedono un livello di protezione più elevato.

3. Definire requisiti e autorizzazioni. Stabilire le condizioni tecniche per l'accesso e assegnare a ciascun utente soltanto i privilegi necessari.

4. Scegliere gli strumenti di gestione. Valutare se siano sufficienti controlli sulle applicazioni oppure se serva una gestione più ampia dei dispositivi, considerando costi, funzionalità e implicazioni sulla privacy.

5. Testare le procedure. Prima di estendere il modello a tutta l'azienda, verificare l'accesso ai servizi, la revoca delle autorizzazioni e la gestione di uno scenario di smarrimento o compromissione.

6. Formare i dipendenti. Spiegare le regole, i comportamenti da evitare e le modalità per segnalare un problema. Anche la soluzione tecnica più avanzata può risultare inefficace se gli utenti non sanno come utilizzarla correttamente.

Un'introduzione graduale consente di individuare le criticità prima che il modello coinvolga un numero elevato di persone e dispositivi.

BYOD: la flessibilità deve essere una scelta consapevole

Consentire ai dipendenti di lavorare con i propri dispositivi può offrire vantaggi organizzativi, ma non dovrebbe diventare una pratica priva di regole.

La questione non è stabilire se i dispositivi personali siano sempre più o meno sicuri di quelli aziendali. È capire quali informazioni devono essere protette, quali rischi derivano dall'utilizzo di strumenti eterogenei e quali misure l'impresa è in grado di applicare e mantenere nel tempo.

Per una PMI, una strategia BYOD ben progettata permette di conciliare flessibilità, sicurezza e tutela della privacy. Richiede però una valutazione preventiva, strumenti adeguati, procedure documentate e una comunicazione trasparente con i dipendenti.

La domanda da porsi non è soltanto se sia comodo lavorare dal proprio smartphone o computer, ma se l'azienda sia in grado di proteggere i dati e controllare gli accessi anche quando le attività professionali si svolgono su dispositivi che non possiede direttamente.

Iscriviti e fai iscrivere al canale G-channel Smart ICT e non perderti le prossime novità

"Inserisci e fai inserire la tua Azienda o l'azienda di prossimità a costo zero". 

"Siamo noi il tuo alleato digitale e con un semplice clic il tuo articolo puoi condividerlo su tutte le piattaforme"

👆