Considerazioni essenziali sull'autenticazione per la strategia mobile
L'autenticazione mobile raggiunge la massa critica Si è soliti pensare che un consumatore lo si riconosce dal portafoglio. Oggi possiamo dire la stessa cosa parlando di device mobile. Il fatto è che l'utilizzo di device mobile è cresciuto a una velocità fenomenale. Secondo Forrester Research, nel 2016 vi saranno un miliardo di consumatori possessori di smartphone. I consumatori statunitensi da soli saranno possessori di 257 milioni di smartphone e 126 milioni di tablet. 1 L'influenza sulle abitudini di acquisto è notevole. Consideriamo le recenti statistiche sui consumi elaborate da Nielsen 2 : il 79% dei possessori di smartphone e tablet statunitensi ha utilizzato almeno una volta il proprio device mobile in una varietà di attività collegate allo shopping. Tra queste attività, il 36% dei possessori di smartphone riscatta i coupon mobile, mentre il 29-42% dei possessori di telefoni cellulare e tablet effettua degli acquisti dai propri device. Ricerche di articoli e di punti vendita sono attività frequenti fra tutti gli utenti. Di fronte a dati simili non è una sorpresa che in molti considerino la mobility il fulcro di un nuovo impegno nei confronti del cliente. Forrester stima che la spesa mobile raggiungerà nel 2016 1,3 trilioni di dollari e che il valore del mercato delle applicazioni sarà pari a 55 miliardi di dollari. 1 Le aziende rispondono aumentando le applicazioni mobile La fedeltà dei clienti è in gioco, la pressione della concorrenza è sempre più forte e sempre più aziende stanno aumentato i budget per le applicazioni mobile e gli sforzi di sviluppo. In questo modo sperano di migliorare le possibilità di conquistare i clienti ma anche di trarre buoni frutti da un modello aziendale di minor costo. 1 "Mobile is the New Face of Engagement", Forrester Research Inc., 13 febbraio 2012. 2 "How U.S. Smartphone and Tablet Owners Use Their Devices for Shopping," 3 marzo 2012, nielsen.com. 02
L'esigenza di autenticazione mobile raggiunge la massa critica (continua) La "consumerizzazione dell'it" arriva anche sul luogo di lavoro. Spinte da dirigenti e impiegati fuori sede in cerca di metodi più produttivi, le iniziative BYOD (Bring Your Own Device) si stanno moltiplicando in aziende di ogni dimensione. Un'assistenza adeguata richiede però una strategia di autenticazione flessibile, dato il tipo e il numero di device coinvolti. Il 52% di tutti i lavoratori nel campo dell'it utilizza tre o più device per lavorare; il 60% dei device viene utilizzato sia per lavoro che per scopi personali. 3 Preoccupazione sulla sicurezza, % di "molto importante" I device possono essere rubati esponendo così i dati aziendali Del malware potrebbe inserirsi nella rete aziendale Requisiti di conformità I dati presenti nei device potrebbero passare al successivo utente che si impossessa di questi ultimi 41% 48% 61% 58% Era molto più facile proteggere i dati e le transazioni aziendali quando gli impiegati accedevano ai sistemi solamente dalle postazioni di lavoro in sede. Una recente indagine condotta da CA Technologies ha evidenziato le numerose preoccupazioni dei CISO riguardanti la sicurezza in conseguenza delle iniziative BYOD. Problemi relativi alla proprietà legale dei dati Mancanza di integrazione con i sistemi IT tradizionali Costi di assistenza tecnica 35% 29% 26% n=353 Fonte: CA Spring 2012 Security Market Survey, giugno 2012 3 "Info Workers Using Mobile And Personal Devices For Work Will Transform Personal Tech Markets", Forrester Research, Inc., 22 febbraio 2012. 03
La mobility introduce preoccupazioni sulla sicurezza Dai consumatori agli impiegati, è arrivata la "consumerizzazione dell'it". Francamente, questo complica la gestione della sicurezza. Moltissime persone oggi utilizzano una varietà di sistemi operativi, device e applicazioni mobile per accedere a dati sensibili ed effettuare transazioni. Queste attività devono essere adeguatamente protette contro furti di identità e perdita di dati aziendali. Le tradizionali considerazioni su sicurezza, comodità e costi hanno sempre avuto un ruolo centrale nell'autenticazione, ma la mobility mette la comodità degli utenti al primo posto. E con la crescita vorticosa del numero di utenti mobile, le domande di accesso possono raggiungere picchi impensabili, rendendo cruciale la scalabilità. Allo stesso tempo, anche i device perduti e i conseguenti problemi di autenticazione sono balzati ai primi posti tra le considerazioni prioritarie. Insieme all'espansione del coinvolgimento di clienti online e alla proliferazione di policy BYOD sul posto di lavoro possono però sfuggire rapidamente di mano i problemi di sicurezza mobile a causa degli ingenti volumi di utenti e dei potenziali punti di accesso. Queste preoccupazioni sono aggravate dal crescente uso di servizi basati sul cloud per lo svolgimento del lavoro di impiegati e partner. Per proteggere i dati di consumatori e aziende in queste condizioni, è necessario adottare una solida strategia di sicurezza capace di affrontare e offrire meccanismi efficaci di autenticazione mobile. Focus tradizionale Protezione Comodità Costo Nuove dinamiche COMODITÀ DEGLI UTENTI SCALABILITÀ Device smarriti Controllo limitato o assente su altri device Protezione delle credenziali Costi di supporto Flessibilità/time-to-market Business intelligence 04
Verso una strategia di sicurezza mobile unificata Una strategia di sicurezza mobile completa deve affrontare numerose sfide nell'ambito della protezione dei dati. Concentrarsi sulla gestione dell'autenticazione e dell'accesso è un buon punto di inizio. Quando l'obiettivo è mitigare il rischio in queste aree, è importante disporre di una panoramica completa di tutte le iniziative mobile in atto in azienda. Ad esempio: Quali applicazioni mobile sono attualmente in fase di sviluppo, chi sono gli utenti destinatari e come potranno accedere alle applicazioni? Come vengono risolti i problemi di sicurezza e autenticazione da parte dei team di sviluppo delle applicazioni mobile distribuiti in diversi reparti o aree geografiche? Sarà necessario abilitare l'autenticazione protetta per device non tradizionali in futuro, ad esempio chioschi o autovetture? Una volta acquisiti questi dettagli sulle operations in corso e sui requisiti futuri, sarà possibile identificare i punti ciechi o gli ostacoli da affrontare lungo il percorso. Sapere quali requisiti vi si pongono davanti è essenziale per la realizzazione di una strategia di autenticazione mobile in grado di fornire protezione a lungo termine per applicazioni e servizi mobile ai quali accedono utenti interni ed esterni. 05
Le pratiche di sicurezza frammentarie presentano ulteriori problemi Alcune pratiche correnti di sviluppo possono ostacolare, anziché aiutare, la delivery di applicazioni mobile sicure. Prima di tutto, la vostra azienda potrebbe essere sotto pressione per sviluppare e distribuire nuove applicazioni in fretta e furia. E se state lavorando separati da altri gruppi di sviluppo, potreste non avere un approccio aziendale coordinato nella fretta di rispettare le scadenze. Ciò può causare alcuni problemi: Per i device mobile, web e di altra natura (ad esempio i distributori automatici) vengono utilizzate policy diverse per l'autenticazione e la sicurezza, comportando requisiti differenti di manutenzione, assistenza e gestione. L'inefficienza si accumula sviluppando diverse gestioni di identità e accessi in ciascuna nuova applicazione e per ogni singolo servizio, e così facendo si ritarda anche il time-to-market, creando grandi problemi in situazioni concorrenziali. Lo sviluppo privo di coordinamento produce una user experience frammentaria in termini di autenticazione su più metodi di interazione, tra cui web, web mobile e applicazioni mobile native. Questi approcci frammentari rendono difficile o impossibile tenere traccia dell'attività degli utenti su più metodi di interazione a scopi di sicurezza e business intelligence/marketing. Dipendenti, partner, clienti Policy di sicurezza Applicazioni mobile, browser mobile, web Applicazioni nel cloud e in sede Un approccio coordinato all'autenticazione e agli accessi dovrebbe includere tutti i metodi mobile e di interazione con gli utenti online in modo tale da proteggere i dati sensibili indipendentemente da come e dove vi si acceda. 06
Distribuzione di un approccio efficace all'autenticazione mobile All'opposto, quando si standardizzano e si unificano i processi di autenticazione mobile all'interno di una strategia di sicurezza complessiva, si realizzano le capacità end-to-end necessarie a coinvolgere in modo sicuro clienti e dipendenti. Gruppi di utenti mobile Punti di accesso Protezione centralizzata su più canali Accesso sicuro L'utilizzo di policy applicabili a più metodi di interazione offre un'esperienza più coerente e vicina alle esigenze dell'utente e semplifica l'amministrazione riducendo inoltre i costi di assistenza. Dipendenti Web Archivio delle identità Accesso al web Partner Browser mobile Strong authentication Gestione delle sessioni Applicazione Clienti Applicazioni mobile native Policy Funzionalità Policy di sicurezza comuni per la gestione degli accessi Possibilità di sfruttare gli archivi delle identità esistenti Una sola policy di sicurezza per tutti gli accessi, browser di grandi dimensioni (desktop), browser di piccole (browser mobile) e applicazioni native Metodi di gestione delle sessioni per supportare una varietà di canali di accesso Vantaggi Distribuire nuove applicazioni più rapidamente Un percorso di audit comune per tutti i punti di accesso Non serve stilare una sicurezza univoca per piattaforma In grado di supportare device privati o di proprietà dell'azienda 07
Distribuzione di un approccio efficace all'autenticazione mobile (continua) Durante l'esplorazione delle iniziative di mobility al fine di estendere l'accesso alle applicazioni aziendali, è possibile iniziare a incorporare utenti mobile nella soluzione di gestione delle identità e degli accessi (IAM) esistente. Sarà in questo modo possibile sfruttare rapidamente le funzioni di gestione centralizzate, fornendo sempre una user experience comune. L'approccio di autenticazione da seguire da questo punto in poi dipende dall'applicazione specifica e da come e dove ne intendete l'utilizzo. Ad esempio: Di quali piattaforme per device mobile e non mobile avrete bisogno per consentire a clienti e dipendenti di accedere all'applicazione? L'applicazione è un'applicazione mobile nativa o è basata sul web? Ogni situazione ha requisiti di assistenza propri. Come interagiranno gli utenti con l'applicazione? All'utente verrà chiesto di accedere a un'altra applicazione per completare una determinata transazione? Quanto sono sensibili i dati e le transazioni relative all'applicazione in questione? Dopo avere affrontato questi punti, insieme a fattori di convenienza e al volume previsto di utenti, sarà possibile stilare un approccio all'autenticazione adatto a gestire tutte le preoccupazioni in materia di sicurezza delle applicazioni. 08
Metodi per l'autenticazione mobile L'utilizzo di nome utente e password di base o persino di nessun metodo di autenticazione, può essere sufficiente per garantire l'accesso ad applicazioni mobile a basso rischio. Se, tuttavia, un'applicazione contiene dati sensibili di clienti o aziende, una forma più avanzata di autenticazione è giustificata. Un approccio a livelli, che consente di valutare prima più fattori di rischio e quindi passare all'appropriato livello di autenticazione, offre una maggiore protezione nei confronti di dati e transazioni sensibili. 1 4 Applicazioni basate sul cloud Vediamo quali sono le varie tattiche utilizzabili per venire incontro ai requisiti di strong authentication. Autenticazione basata su due fattori fuori banda: questo metodo è utile quando gli utenti tentano di accedere ad applicazioni web tramite laptop, tablet o workstation e si desidera autenticare la loro identità oltre al semplice nome utente e alla password. Comporta l'utilizzo di un device separato, (telefono cellulare) nel processo di autenticazione per fornire maggiore protezione. Ad esempio, è possibile inviare una password monouso (OTP) agli smartphone degli utenti via posta elettronica, posta vocale o SMS dopo che hanno già fornito le loro credenziali iniziali, e servire così da conferma secondaria in caso di rischi elevati, o laddove sia necessario reimpostare la loro password. 3 Fuori banda Applicazione mobile OTP OPPURE Delivery dell'otp tramite SMS, posta elettronica, voce Applicazioni in sede La password monouso (OTP) può essere inviata al telefono dell'utente per offrire maggiore protezione quando l'utente accede ad applicazioni web da qualsiasi device. 1. L'utente inizia l'accesso 2. L'OTP viene inviata al telefono dell'utente via SMS, posta elettronica o messaggio vocale 3. L'utente immette l'otp per completare l'accesso e 4. Accede all'applicazione 2 09
Metodi per l'autenticazione mobile (continua) Una modulo di strong authentication incorporato nelle applicazioni mobile: la prima linea di difesa contro potenziali minacce inizia durante lo sviluppo di un'applicazione mobile. Ovunque vi siano sforzi di sviluppo in atto nella vostra azienda, potete sfruttare un SDK comune di strong authentication e incorporare le necessarie librerie software per realizzare un livello di sicurezza coerente nelle vostre applicazioni mobile native. Autenticazione basata sul rischio, inclusa l'identificazione del device: invisibile all'utente, questa forma di autenticazione valuta i rischi esaminando in tempo reale e dietro le quinte i fattori contestuali come l'identificazione del device, la geolocalizzazione, i dettagli della transazione e lo storico dei dati. Se vengono evidenziate attività sospette, potete specificare se richiedere all'utente di fornire un'ulteriore forma di autenticazione, potete specificare l'emissione di un segnale di avviso o potete semplicemente negare l'attività. Firma della transazione: aggiunge un ulteriore livello di protezione rispetto ai metodi di autenticazione a due fattori, richiedendo all'utente di apporre una firma digitale alla transazione, per una maggiore tutela contro nuove forme di frodi sul web. In questo scenario, al cliente viene chiesto di confermare la transazione online immettendo, tramite device mobile, il proprio PIN e altri dettagli della transazione, come importo, numero di telefono e beneficiario. In seguito all'esecuzione della verifica, il cliente riceve una password monouso dinamica per confermare la transazione. Questo processo consente di evitare attacchi man-in-themiddle e man-in-the-browser, un modo con cui gli hacker tentano di cambiare le cifre e le informazioni relative ai beneficiari. 10
Un approccio coordinato all'autenticazione è necessario per supportare la vostra strategia mobile I device mobile sono molto diffusi sia tra i clienti che tra i dipendenti e rappresentano per le aziende una grande opportunità di utilizzarle come elementi chiave di strong authentication. Il numero in rapida crescita di applicazioni mobile native e web mobile richiama allo stesso modo la necessità di nuove forme intuitive di strong authentication per l'accesso diretto dai device mobile. Per essere efficace, la vostra strategia mobile necessita di un approccio coordinato all'autenticazione in tutti questi tre scenari. Una strategia di autenticazione globale vi mette nella posizione di: Estendere in modo uniforme l'accesso pratico ad applicazioni mobile e a una varietà di device mobile Avere una vista multicanale sui vostri clienti, in modo da migliorare il loro coinvolgimento Aumentare la produttività dei dipendenti tramite accesso illimitato ad applicazioni fondamentali Scalare in sicurezza e supportare maggiori volumi di device e applicazioni Migliorare la protezione, evitare le frodi e rispettare le norme di conformità 11
Soluzioni di autenticazione mobile di CA Technologies Insieme a CA Technologies potete affrontare numerose sfide di autenticazione mobile applicando soluzioni unificate per ridurre l'esposizione potenziale da attività dannose in ambienti IT tradizionali o basati sul cloud. Le nostre soluzioni di autenticazione mobile seguono un approccio alla sicurezza distribuito su più livelli. Queste includono: CA Strong Authentication: offre una grande varietà di credenziali di strong authentication e di metodi out-ofband per interazioni online ancora più sicure. In questo modo avrete la possibilità di incorporare protezione multifattore tramite metodi fuori banda e credenziali OTP o basate su PKI per un'ulteriore protezione contro attacchi brute force o man-in-the-middle. Sono inoltre disponibili delle funzioni di firma delle transazioni per agevolare acquisti, trasferimenti o attività di pagamento sicure e protette. CA Risk Authentication: consente la valutazione trasparente del rischio multicanale e il rilevamento delle frodi mediante regole basate sul rischio e analisi statistica, per rilevare e bloccare le frodi in tempo reale. È possibile sfruttare queste funzioni per creare un processo di analisi del rischio adattivo in grado di calcolare il potenziale di frode di ogni transazione e accesso online in base al livello di rischio, ai profili di utente e device e alle policy organizzative. CA Single Sign-On: offre single sign-on, autenticazione flessibile, autorizzazione basata su policy, gestione delle sessioni e auditing per fornire una soluzione di sicurezza coerente tra più canali e piattaforme di accesso. CA Advanced Authentication SaaS: fornisce autenticazione come servizio (AaaS), con un modo rapido e conveniente per implementare e gestire una varietà di metodi di strong authentication per proteggere accessi e transazioni. 12
Saperne di più per proseguire con fiducia Pr ulteriori informazioni, visitare ca.com/it/securecenter. CA Technologies (NASDAQ: CA) crea software che promuove l'innovazione all'interno delle aziende, consentendo loro di sfruttare le opportunità offerte dall'economia delle applicazioni. Il software rappresenta il cuore di qualsiasi business, in ogni settore. Dalla pianificazione allo sviluppo, fino alla gestione e alla sicurezza, CA Technologies lavora con le aziende di tutto il mondo per cambiare il nostro modo di vivere, interagire e comunicare, in ambienti mobile, cloud pubblici e privati, distribuiti e mainframe. Per ulteriori informazioni, visitare il sito ca.com/it. Copyright 2014 CA Technologies. Tutti i diritti riservati. Tutti i marchi, i nomi commerciali, i marchi di servizio e i logo citati nel presente documento sono di proprietà delle rispettive società. CS200-86774