I recenti interventi legislativi hanno introdotto importanti misure incentivanti per la diffusione dello smart working in questi tempi straordinari, ma è importante non perdere di vista la sicurezza informatica.
Le misure incentivanti per il ricorso alle modalità flessibili per lo svolgimento della prestazione lavorativa sono la classica bacchetta magica che trasforma la necessità in virtù. Tuttavia, è importante sfruttare le agevolazioni concesse per velocizzare l’introduzione di tali strumenti tenendo conto della loro introduzione in maniera sicura, partendo da un approccio in stile “privacy by design” tanto caro al Regolamento UE 2016/679, meglio conosciuto come GDPR.
L’art. 1 lettera n) del DPCM 4 marzo 2020 consente di bypassare, in questa fase di emergenza, la sottoscrizione di accordi individuali con i dipendenti previsti dalla L. 81/2017 in tema di lavoro agile, velocizzando la messa in pista di tali soluzioni.
Per le Pubbliche Amministrazioni, inoltre, la Circolare 1/2020 emanata dal Ministero per la Pubblica Amministrazione ha introdotto ulteriori forme di semplificazione, consentendo l’utilizzo di strumenti di proprietà del dipendente: questo permette di superare un ostacolo importante, poiché le PA spesso non hanno le disponibilità immediate per mettere a disposizione dei dipendenti strumenti idonei al lavoro da remoto.
Occorre però non perdere di vista gli elementi di criticità che l’utilizzo di strumentazione privata potrebbe introdurre: l’equipaggiamento “casalingo”, infatti, non è detto che sia dotato delle stesse misure di sicurezza informatica di cui dispone quello professionale, per cui c’è il rischio che gli accessi remoti possano fungere inconsapevolmente da “cavallo di troia”, introducendo nella LAN aziendale diversi tipi di minacce che sarebbero altrimenti bloccati dai sistemi di sicurezza perimetrale.
I sistemi di connessione remota non funzionano tutti allo stesso modo:
1) alcuni software collegano lo strumento remoto ad una postazione di lavoro che funge da “testa di ponte” per garantire l’acccesso ai programmi in uso presso l’organizzazione, utilizzando a tutti gli effetti la sessione di lavoro aperta presso il PC aziendale a cui ci si collega. Questa è una situazione per certi aspetti rischiosa, poiché in caso di acquisizione indebita delle coordinate di connessione potrebbe consentire a chiunque di accedere alla postazione remota e utilizzarla liberamente nella rete interna, esfiltrando informazioni o introducendo malware di ogni tipo;
2) alcune soluzioni consentono di creare una VPN (Virtual Private Network), cioè un canale sicuro tra il PC remoto e la rete aziendale, di fatto garantendo l’accesso alla stessa come una qualsiasi postazione di lavoro interna (in questo caso la “testa di ponte” non sarebbe necessaria, ma occorrerebbe installare sulla postazione remota i programmi specifici utilizzati nella normale attività lavorativa). Questo riduce i rischi di accessi non autorizzati, poiché solo le postazioni remote abilitate possono collegarsi alla rete interna, ma se tali postazioni fossero infettate da qualche forma di malware potrebbero introdurla involontariamente nella rete;
3) alcuni sistemi operativi consentono di avviare una sessione remota direttamente dal PC di casa, utilizzando la VPN vista al punto precedente per collegarsi ad una postazione di lavoro interna ed utilizzare i programmi ivi installati.
Ogni soluzione presenta delle peculiarità che la rendono più o meno idonea ad uno specifico contesto lavorativo, sia per lo sforzo necessario per implementarla che per le misure di sicurezza da approntare, sulla rete aziendale così come sulle postazioni remote.
Ogni situazione va analizzata nel dettaglio per individuare la soluzione migliore da adottare, tenendo conto anche di rilevanti elementi di contesto:
– la banda internet disponibile per accogliere le sessioni remote contemporanee, poiché ogni soluzione può essere più o meno dispendiosa in termini di occupazione di banda;
– la capacità dei sistemi di sicurezza perimetrale nel supportare diverse VPN in contemporanea (per i casi 2) e 3) visti precedentemente), poiché ogni connessione remota protetta comporta uno sforzo elaborativo da parte dei firewall;
– la connessione ai sistemi aziendali deve essere supportata da sistemi di autenticazione degli utenti, che possono essere più o meno compatibili con quelli già in uso;
– in molti casi gli utenti fanno uso di firme digitali per lo svolgimento delle loro attività lavorative, quindi occorre verificare che la soluzione scelta consenta l’utilizzo di tali strumenti.
Occorre inoltre determinare uno standard minimo di sicurezza che deve essere garantito sulle postazioni remote, che dovrà essere preventivamente verificato prima di consentire l’accesso alla rete.
Infine, pur non essendo (per il momento) necessari gli accordi individuali previsti dalla L. 81/2017 in tema di lavoro agile, in ogni caso è opportuno prevedere delle istruzioni operative adeguate per i dipendenti, al fine di garantire la dovuta sicurezza delle sessioni di lavoro, oltre che un’adeguata informativa sul trattamento dei dati effettuato dal datore di lavoro (per i titolari che si avvalgono di SI.net in qualità di Responsabile Protezione Dati è possibile reperire la documentazione nella sezione didicata agli “Atti di approvazione ed adozione documenti relativi alla protezione dei dati personali”).
SI.net è a disposizione per supportare aziende ed enti pubblici al fine di individuare la soluzione tecnologica più adatta al proprio contesto IT ed implementare con successo ed in piena sicurezza lo smart working nella propria organizzazione.
Per informazioni sui servizi di information technology offerti da SI.net per accompagnare aziende private ed enti pubblici nelle continue sfide legate all’innovazione tecnologica, scrivi a comunicazione@blog.sinetinformatica.it o telefona allo 0331.576848.
Per ricevere aggiornamenti sulle tematiche relative all’innovazione nell’ICT iscriviti alla nostra newsletter.
Segui SI.net anche su Twitter, Facebook, YouTube e LinkedIn
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
Salva
