Come i dati sensibili vengono movimentati oltre i tradizionali confini delle aziende, così anche la capacità di controllarli deve andare oltre i metodi fino a oggi in uso che definiscono le policy aziendali di accesso ai dati.
Lo sostengono Kurt Roemer, Chief Security Strategist e Christian Reilly, VP Chief Technology Officer Workspace Services di Citrix, attenti a evidenziare alcune questioni relative alla valutazione del rischio, del costo e dell’esperienza utente per distribuire il livello di sicurezza ottimale in tutte le situazioni di accesso dinamico.
Le sfide alla sicurezza dei dati oggi
Di fronte a modelli aziendali di accesso tradizionali e a nuovi modelli di consumerizzazione e industrializzazione che chiamano in campo IoT, cloud, Byod e mobile, contare su tecniche consolidate, ma che non sono più sufficienti per rispondere alle sfide odierne in materia di sicurezza, ha impatti evidenti su business e privacy.
La ricerca è allora di un modello di accesso ai dati aziendali che sappia riflettere il modo in cui le persone lavorano e che permetta di proteggere i dati nel miglior modo possibile in situazioni anche molto diverse tra loro facendo leva su virtualizzazione, containerizzazione e networking sicuro, insieme a un modello di accesso legato al contesto che tenga in considerazione le singole situazioni in cui si opera.
Nello specifico, sottolineano Roemer e Reilly, la virtualizzazione mantiene i dati sensibili nel datacenter allontanandoli così da dispositivi non gestiti.
I dispositivi personali restano personali e non ci sarà mai bisogno di chiedersi dove sono finiti i dati perché non toccano l’endpoint in primo luogo.
Da qui la convinzione di come la virtualizzazione è la tecnologia migliore per offrire e provare la conformità alle norme.
Non solo.
Quando i dati sensibili devono essere movimentati in modo sicuro, un approccio per container è considerato il migliore. In questo modo, è l’opportuna precisazione, la sicurezza dell’hardware, del sistema operativo e delle applicazioni individuali è più elevata e viene estesa dalle misure di sicurezza del container. Queste misure includono storage e utilizzo criptato, controllo dei dati app-to-app e policy di pulizia dei dati.
In aggiunta a ciò, promuovendo un modello di networking specifico rispetto alla situazione, all’applicazione e alle richieste di accesso, è possibile dire addio a un network del tutto aperto dopo una semplice procedura di login, attraverso VPN per specifiche applicazioni, alla crittografia di tutto il traffico attraverso una procedura di autenticazione forte su applicazioni interne ed esterne e all’implementazione di Single sign on per tutte le applicazioni che utilizzano le credenziali aziendali.
Infine, dato l’odierno panorama di minacce, il controllo può anche essere effettuato in maniera più potente ed efficace creando un accesso su misura per l’uso che se ne deve fare e per i dati che coinvolge.
In combinazione con virtualizzazione e consumerizzazione, l’accesso sarà specifico per l’applicazione e i diversi livelli di dati, controllando ogni comunicazione app-to-app e decidendo volta per volta se i dati possano essere tagliati, copiati, incollati, salvati o inviati all’esterno.
Così strutturato, l’accesso contestuale consentirà anche una migliore esperienza utente, visto che il controllo viene applicato quando ce n’è bisogno e non al momento del login, semplificando quest’ultimo e offrendo un livello di sicurezza più elevato solo quando è necessario proteggere i dati sensibili e le transazioni.
Da qui un elenco di suggerimenti per proteggere i dati al tempo della consumerizzazione creando, per prima cosa, un’architettura capace di supportare un mix di dispositivi, app, network e servizi sia aziendali sia consumer per poi implementare una policy “Bring-your-own”, visto che i dispositivi sono solo un aspetto della tecnologia e dei servizi di cui i dipendenti usufruiscono.
Occorre, poi, scendete a patti con il fatto che le vulnerabilità, gli errori e i compromessi continueranno a esistere e a mettere alla prova l’It. Il suggerimento è allora di regolare l’accesso in maniera dinamica per mettere in evidenzia gli elementi di rischio legati a ogni singola situazione assicurandosi, al contempo, che l’organizzazione capisca i reali motivi per cui la sicurezza è importante, progettando le policy attorno ai casi di utilizzo e non alle tecnologie di sicurezza.
I dati non vanno, poi, trasferiti in alcun endpoint, a meno che non sia assolutamente necessario, mentre l’affidabilità di endpoint, network e utenti deve essere stabilita ogni volta e non data per scontata.
