Mobile Enterprise. Scenari, opportunità e rischi di una transizione inevitabile

Transcript

1 Scenari, opportunità e rischi di una transizione inevitabile Sessione di Studio AIEA Verona, 14 Novembre 2012 Giorgio Parpinelli Chief Technology Officer Logical Security S.r.l. 1

2 Cosa significa e quali implicazioni comporta Significa dare agli utenti la possibilità di utilizzare e condividere dati, risorse e applicazioni aziendali quando non sono fisicamente in ufficio; Significa estendere la propria rete e i propri servizi IT dovunque si trovino gli utenti; Comporta il superamento di alcune barriere tradizionali: orari del supporto IT dispositivi e nuove problematiche da gestire nuove esposizioni di sicurezza promiscuità d uso dei dispositivi (lavoro/personale) 2

3 I fattori chiave per l azienda Aumentare la quota di mercato e il volume d affari aprendo un nuovo canale per raggiungere i clienti; Acquisire un vantaggio competitivo; Migliorare l efficienza e l efficacia dei processi; Ridurre la distanza tra front-office e back-office (filiera corta); Ridurre i costi; Incontrare le richieste degli utenti; Portare innovazione e dare lustro all immagine aziendale. 3

4 Perché inevitabile? Le previsioni di mercato non lasciano dubbi: There will be 1 billion smartphone customers by 2016, with 257 million smartphones and 126 million tablets in the U.S. alone. Of those worldwide billion mobile devices, Apple, Google and Microsoft will control some 90% of the market with their respective platforms. Business users will factor heavily into these numbers, with some 350M employees using smartphones. -Forrester Research, 2012 (Mobile Is The New Face Of Engagement) New technologies such as media tablets and advances in mobile will have a disruptive impact on many industries, requiring changes to existing processes and propelling business transformation. Gartner, 2012 (Top Industry Predicts 2012: Industries Face intensified Consumerization and Technology Disruption) 200 million of the 350 million employees who will use mobile devices for work in 2016 will use their own devices rather than devices provided by their employers. Forrester Research, 2012 (Mobile Is The New Face Of Engagement) 4

5 Le richieste dell utente L utente tipo vorrebbe semplicemente: lavorare dovunque si trovi senza vincoli sulla connettività; potersi connettere alle risorse aziendali; comunicare con colleghi, clienti, fornitori; Utilizzando 5

6 Cosa fanno in realtà gli utenti mobili? App, app e ancora app Locali - app e dati residenti solo sul dispositivo; Remote si connettono ad un server (aziendale oppure no ) ed eseguono qualcosa; Client/Server combinate, app & dati locali e in azienda (o fuori ); Comunicazioni SMS, MMS, VideoChat, WhatsApp, Facebook, web browsing eccetera; Ah, dimenticavo talvolta telefonano; 6

7 Quali sono i benefici? Produttività: Gli utenti sono abilitati a lavorare dovunque si trovino o ne abbiano la necessità; Immediatezza: Ottenimento immediato di informazioni, condivisione più veloce di dati; Accuratezza: I dati vengono inseriti immediatamente, con minore possibilità di errori o mancanze; Efficienza: Si esegue il lavoro una sola volta. Basta con appunti e trascrizioni; Legame: Gli utenti possono essere ovunque, ma fanno parte del team; Status: Si utilizza un gadget di lusso, che rende una immagine di prestigio e professionalità; 7

8 Fattori di rischio legati alla mobilità 1/2 Costi: Piani traffico dati, app acquistate, costo dei dispositivi. I dati sono erranti: I dispositivi mobili consentono il movimento dei dati, spesso più velocemente della prudenza nello spostarli. Perdita/furto del dispositivo: Cosa è successo ai dati aziendali in esso contenuti? Shoulder Surfing: Le informazioni aziendali sono molto più esposte se qualcuno sbircia alle nostre spalle. App aggiunte dall utente: Possibilità di app malevole o lesive dell attività/reputazione aziendale. Dispositivi di proprietà dell utente: Asset dell utente, dati dell azienda, un mix pericoloso. 8

9 Fattori di rischio legati alla mobilità 2/2 Perdita di controllo per l IT: Utenti che acquistano, connettono e utilizzano dispositivi senza controllo o indicazioni dal reparto IT. Molto probabilmente anche senza protezioni. I dispositivi sono transienti: Essi escono dall ambiente aziendale protetto, si collegano da qualche parte e poi ritornano in azienda. Promiscuità delle connessioni: Gli utenti si collegano ad internet con qualsiasi canale. Servizi di localizzazione: Stai inavvertitamente monitorando gli spostamenti dei dipendenti? Ti sto per caso dando un idea? Virus e malware: Ci sono e sono sempre più specializzati. Purtroppo non vale lo stesso per l atteggiamento degli utenti. 9

10 A proposito di atteggiamenti Da: Bill A: Jim Oggetto: Bilancio Ciao Jim, Volevo esserti utile mentre ero in viaggio quindi ho pensato di analizzare il tuo bilancio da remoto. Mi sono connesso alla tua rete e ho mandato i dati al mio account Gmail, poi li ho scaricati sul mio iphone, copiati tramite Bump sul mio ipad, trasferiti via bluetooth nella mia chiavetta USB, trasmessi sul mio spazio cloud, sincronizzati sul mio tablet Android, modificati sul portatile di mio figlio (il mio me lo hanno rubato), e poi, la scorsa notte mentre dormivi, da un internet café economico qui a Bangkok, mi sono connesso al tuo server via VPN e te li ho ricopiati. Ma non ti preoccupare, sono stato molto attento con i tuoi dati, Bill 10

11 A proposito di atteggiamenti Oggi è una bella giornata Questo relatore è palloso Barak Obama President of the USA United States of America P: E: Chi non ha mai seguito la tentazione di leggere uno di questi oggetti? Chi era certo del contenuto prima di darli in pasto al dispositivo? 11

12 Bilanciare gli interessi Come bilanciare rischi e benefici? 12

13 Bilanciare gli interessi Come bilanciare rischi e benefici? 1. Analizzando le scelte altrui e le analisi di mercato; 2. Classificando e gestendo i rischi con una metodologia standard; 3. Utilizzando la formazione per creare consapevolezza del rischio negli utilizzatori; 13

14 Cosa stanno facendo le aziende Wireless Personalized contacts Content/employee portal Inventory management Field service managament Sales force management Customer interation management Logistics management Workforce analytics and management 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Fully deployed Rolling out or partial deployment Evaluating or piloting No plans Don't know Source: 2011 VDC Research survey of 864 mobile decision makers 14

15 con quali strumenti Mobile Worker Mobile Worker Population Preferred Device Technical Requirements Target Applications Road Warriors & Executives (Knowledge Workers) 28.2M Mobile browser 4G+ GPS Push Image capture Device Management 3rd-Party Apps Security support Wireless Dashboards BI/CI Mobile CRM Approvals Expense Reporting Workflow Management Mobile Office Professional (Corridor Warrior) 111.6M Push Active Sync Application Partitioning WiFi Wireless Time & Attendance Approvals Workflow Management Campus Mobile Worker 370.5M DECT Functionality WiFi 3rd-Party Apps Image Capture Wireless Time & Attendance Approvals Workflow Management Field Mobile Worker (Task/Line Worker) 196.6M Mobile Browser 3G+ GPS (4G emerging) Image Capture Device Management 3rd-Party Apps Durability/Ruggedness Time & Attendance Dispatching Workflow Management Vertical Applications 15

16 e secondo quali politiche Regole d uso per gli Smartphones Company purchased only 45,6% Both company and employee purchased: Approved list 36,3% Both company and employee purchased: Any phone 12,5% Employee purchased only: Approved list 3,2% Employee purchased only: Any phone 2,3% 0,0% 10,0% 20,0% 30,0% 40,0% 50,0% Oltre il 50% delle organizzazioni interpellate supporta e consente l uso di dispositivi personali Source: 2011 VDC Research survey of 864 mobile decision makers 16

17 Bilanciare gli interessi Come bilanciare rischi e benefici? 1. Analizzando le scelte altrui e le analisi di mercato; 2. Classificando e gestendo i rischi con una metodologia standard; 3. Utilizzando la formazione per creare consapevolezza del rischio negli utilizzatori; 17

18 Modello di rischio dell azienda mobile 18

19 I 10 maggiori rischi classificati da OWASP MSP 19

20 OWASP M1- Insecure Data Storage Fattori di rischio Presenza di dati confidenziali non protetti Si applica sia ai dati memorizzati in locale che a quelli sincronizzati sul cloud Generalmente è il risultato di: Mancanza di cifratura Caching di dati per uso temporaneo Permessi non adeguati Mancata applicazione di best-practices Impatto Perdità di confidenzialità Diffusione di credenziali Violazione di privacy Non-compliance 20

21 OWASP M1- Insecure Data Storage Contromisure Memorizzare SOLO i dati assolutamente necessari Non utilizzare MAI aree di storage pubbliche (es: SD card) Utilizzare strumenti di crittografia forte Controlli OWASP MSP Control# Description Identify and protect sensitive data on the mobile device 2.1, 2.2, 2.5 Handle password credentials securely on the device Non autorizzare MAI la lettura e scrittura a tutti dei file (world read/write permissions) 21

22 OWASP M2 - Weak Server Side Controls Fattori di rischio Si applica ai servizi di backend Non si tratta di rischi generati dalla componente mobile ma complessivi Possiamo ancora fidarci del client? Impatto Perdità di confidenzialità Integrità dei dati non affidabile Fortunatamente possiamo riciclare esperienze del passato sul tema I controlli esistenti devono essere ripensati (es: comunicazioni out-of-band) 22

23 OWASP M2 - Weak Server Side Controls Contromisure Comprendere a fondo i rischi addizionali introdotti dalle applicazioni mobili nell architettura esistente Sfruttare il patrimonio di conoscenze disponibile Controlli OWASP MSP Control# Description Keep the backend APIs (services) and the platform (server) secure Best practices e metodologie: OWASP Web Top 10, Cloud Top 10, Web Services Top 10 Modelli, guide allo sviluppo, OWASP Enterprise Security API 23

24 OWASP M3 - Insufficient Transport Layer Protection Fattori di rischio Intercettazione dei dati trasmessi (es: Google ClientLogin authentication) Cifratura debole dei dati in transito Cifratura forte ma comportamento non accorto dell utente (es: ignorare i warning relativi ad errori di certificato) Impatto Attacchi con la tecnica Man-in-themiddle Tampering dei dati in transito Perdita di confidenzialità 24

25 OWASP M3 - Insufficient Transport Layer Protection Contromisure Garantire che tutti i dati confidenziali che lasciano il dispositivo siano cifrati Questo include la trasmissione sulle reti mobili (3G etc), Wi-Fi, bluetooth ed eventualmente anche NFC Controlli OWASP MSP Control# Description Ensure sensitive data is protected in transit Quando viene generato un security warning c è sempre un motivo, che NON VA MAI IGNORATO! 25

26 OWASP M5 - Poor Authorization and Authentication Fattori di rischio E necessario osservare sia la parte mobile che quella infrastrutturale sul tema Alcune app confidano su valori immutabili (un tempo) come IMEI, IMSI, UUID Impatto Escalation di privilegi Accessi non autorizzati Gli identificatori hardware (anche quelli compromessi) persistono dopo un wipe o un factory reset L aggiunta di informazioni contestuali nella fase di autenticazione è utile ma non foolproof 26

27 OWASP M5 - Poor Authorization and Authentication Contromisure Le informazioni contestuali mitigano il rischio ma solo se inserite in una architettura multi-factor L utilizzo di comunicazioni Out-of-band non è sufficiente se queste sono generate dallo stesso dispositivo Non utilizzare MAI il device ID o subscriber ID come solo fattore di autenticazione Controlli OWASP MSP Control# Description Implement user authentication/autho rization and session management correctly 8.4 Authenticate all API calls to paid resources 27

28 Bilanciare gli interessi Come bilanciare rischi e benefici? 1. Analizzando le scelte altrui e le analisi di mercato; 2. Classificando e gestendo i rischi con una metodologia standard; 3. Utilizzando la formazione per creare consapevolezza del rischio negli utilizzatori; 28

29 Regola numero 1: regolamentare Sono possibili approcci diversi a seconda dell organizzazione aziendale, ma in generale la policy deve determinare: se è consentito l utilizzo aziendale di dispositivi personali e viceversa; tecnologie supportate e/o ammesse nel caso di device personali; limitazioni d uso; prescrizioni per il corretto utilizzo (password, cifratura, backup etc); tipologie di controlli attuati; eventuali sanzioni per i trasgressori; 29

30 Regola numero 2: creare consapevolezza L utente è l anello debole della catena e necessita di essere reso consapevole dei rischi a cui potrebbe esporre se stesso e l azienda nell utilizzo del dispositivo mobile Occorre smantellare la sensazione di falsa sicurezza così come la tendenza a minimizzare il rischio L utente deve essere edotto sui rischi derivanti da manomissioni o cattivo uso del dispositivo Il panorama delle app disponibili è in costante evoluzione ed il numero di quelle maligne sta crescendo. L utente deve essere consapevole di questo rischio L unica via è la formazione periodica e la comunicazione sul tema mobile security 30

31 Alcune news dell ultima ora 31

32 Regola numero 3: controllare I controlli devono essere coerenti con la policy e documentati Devono essere evitati gli abusi per non incorrere in violazioni delle leggi vigenti Non devono essere in generale lesivi della produttività dell utente Esistono strumenti come questo: 32

33 Conclusioni La transizione verso la Mobile Enterprise rappresenta una delle maggiori evoluzioni IT del periodo corrente, i cui vantaggi sono importanti per dell efficienza del business e per la qualità del lavoro degli utenti. E però necessario un corretto approccio alla gestione del rischio generato da questa nuova architettura per evitare conseguenze potenzialmente catastrofiche 33

34 Scenari, opportunità e rischi di una transizione inevitabile GRAZIE! Giorgio Parpinelli Chief Technology Officer Logical Security S.r.l. 34