SICUREZZA PER I DISPOSITIVI MOBILI: UNA STRATEGIA IN 3 MOSSE

SICUREZZA PER I DISPOSITIVI MOBILI: UNA STRATEGIA IN 3 MOSSE

Un problema complesso che richiede un approccio olistico L esigenza di mobilità è ovunque. L esigenza di mobilità è il presente. La mobilità (così come cloud computing e social media) è una delle tre nuove tecnologie che consentono ulteriori miglioramenti a livello di produttività insieme a tutti i rischi associati per la sicurezza. Aggiungendo la consumerizzazione dell IT, l esplosione dei dispositivi mobili aziendali e personali e l assenza di soluzioni semplici per la mobile security, è evidente che nel 2012 dobbiamo confrontarci con grandi difficoltà a livello delle strategie di sicurezza IT. La difficoltà principale consiste nel capire in che modo stimolare la produttività riducendo minacce, vulnerabilità e rischi, raggiungendo il compromesso migliore e minimizzando i costi complessivi. Questo documento descrive alcuni interventi specifici e controlli di gestione per implementare una strategia di mobile security dei dispositivi aziendali e personali. Il documento esamina inoltre alcuni scenari relativi a minacce, rischi e difficoltà, insieme alle soluzioni adottabili dai professionisti della sicurezza IT per prendere le scelte più appropriate nel settore critico delle vulnerabilità aziendali. Le aziende che si concentrano su un solo aspetto del problema, senza affrontare in modo olistico i problemi di sicurezza derivanti dalla mobilità, dalla consumerizzazione e dalla proliferazione dei dispositivi, corrono il rischio di offrire agli utenti un livello molto più basso di soddisfazione, produttività e vantaggi nel business, con costi maggiori e con l esposizione di dati sensibili. Iniziare dagli obiettivi Indipendentemente dai dispositivi utilizzati e dai rispettivi proprietari, che cosa state cercando di ottenere? Il vostro obiettivo è offrire l accesso mobile ad alcune risorse aziendali particolarmente utili, come e-mail, servizi di file e app intranet? In questo caso, l uso di dispositivi mobili isolati e molto limitati può offrire ben poco. Per consentire l accesso mobile e sicuro a queste preziose risorse (l obiettivo di molte aziende), bisogna: 2. Proteggere il dispositivo client, che funge da canale di comunicazione con le risorse accessibili a livello locale e remoto. Chiarendo questi obiettivi, si comincia con il definire quali tecnologie e strumenti di sicurezza saranno necessari. Alcuni esempi: Le comunicazioni su reti non sicure richiedono l uso di un tunnel autenticato e crittografato. Per proteggere i dati archiviati e utilizzati nei dispositivi mobili si ricorre a tecnologie di crittografia e DLP (Data Loss Prevention). La protezione dei dispositivi richiede la gestione delle configurazioni e l uso di software antimalware. Identificare e comprendere le minacce È facile capire perché la perdita di dati rivesta una priorità così alta nella mobile security. I requisiti normativi e il costo contenuto dei dispositivi mobili aggravano ulteriormente il problema. Come illustrato dalla tabella, molte aziende devono iniziare concentrandosi su tecniche e strumenti capaci di proteggere i dati mobili. Minaccia Dispositivo perduto o rubato Media card perduta o rubata Uso improprio delle comunicazioni locali (es. Bluetooth, IR) App compromesse Malware Attacchi da Web/ rete Rischio Accesso non autorizzato a dati locali o in rete; perdita di dati Perdita di dati locali Dispositivo compromesso/ infetto, perdita di dati e potenziale riduzione dell attività Perdita di dati e potenziale riduzione dell attività Perdita di dati e potenziale riduzione dell attività Perdita di dati e potenziale riduzione dell attività 1. Proteggere i dati a cui si accede, che diventano locali per il dispositivo client.

Contromisure e altri controlli correlati Dopo la descrizione di obiettivi, minacce e rischi, passiamo ad analizzare tre livelli di contromisure e controlli che aiutano a instaurare e mantenere una strategia di mobile security. A causa dell ampiezza del problema, consigliamo di iniziare con il primo gruppo. Si potranno quindi adottare gli elementi degli altri due gruppi, seguendo una pianificazione che dipende dalla tolleranza aziendale per il rischio, dalla natura del business, dai requisiti normativi e dal livello di maturità mobile dell azienda. Alcuni controlli di sicurezza elencati più avanti come DLP mobile, sandboxing enterprise e app di autodifesa rappresentano nuove soluzioni emergenti. Salvo esigenze particolarmente critiche, è opportuno rimandare l adozione di tali soluzioni. Sono infatti all orizzonte soluzioni più mature, con implementazione e gestione più semplici. Livello 1: MDM (Mobile Device Management) In questo contesto, l acronimo MDM (Mobile Device Management) significa comodità. L aspetto più importante è costituito dalle funzionalità, non dalla specifica categoria di prodotti da cui derivano. Per alcune aziende è sufficiente utilizzare Exchange ActiveSync o BlackBerry Enterprise Server, ma altre richiedono una completa soluzione MDM di classe enterprise. Indipendentemente dalla soluzione MDM più opportuna, molte aziende dovranno in definitiva implementare anche ulteriori misure di sicurezza, come quelle descritte qui di seguito. Poiché le attuali offerte MDM sono alquanto carenti sulla sicurezza, è probabile che il settore si evolverà. In particolare: 1. I produttori potrebbero aggiungere ulteriori funzionalità di sicurezza alle soluzioni MDM. 2. I produttori aggiungeranno funzionalità MDM alle soluzioni di mobile security, è probabile, dal momento che è più facile aggiungere elementi semplici ad altri elementi più complessi (per esempio, aggiungere funzionalità MDM alla sicurezza), piuttosto che fare il contrario. Molte aziende considerano la perdita di dati come il problema principale nell ambiente mobile. Proprio per questo motivo, la maggiore attenzione va dedicata a strumenti e tecniche capaci di proteggere i dati mobili. Tutti questi scenari permettono al mercato di offrire valide soluzioni. In ogni caso, se i produttori aggiungeranno funzionalità MDM alle soluzioni di mobile security, si potrà ottenere la migliore integrazione con costi complessivi inferiori. L obiettivo principale della tecnologia MDM è la gestione centralizzata del ciclo di vita dei dispositivi mobili (come smartphone e tablet), ma molte funzionalità di gestione sono rilevanti anche sotto l aspetto della sicurezza. Per esempio, se è possibile configurare le impostazioni Wi-Fi e aggiornare le applicazioni, le medesime funzionalità si possono usare anche per ridurre l esposizione del dispositivo a eventuali attacchi. Altre funzionalità, come la cancellazione da remoto e il controllo della crittografia, forniscono ulteriori livelli di protezione dei dati. Le soluzioni MDM più valide dovrebbero includere: Gestione delle applicazioni Comprende la capacità di inventariare le applicazioni di un dispositivo, distribuire/aggiornare il software e limitare l utilizzo (se non l installazione) delle singole applicazioni. Spesso include il supporto di un portale self-service e/o di un app store aziendale. Gestione della configurazione e controllo delle risorse Offre il controllo su un ampia gamma di parametri e capacità a livello di dispositivo, come i requisiti delle password, funzionalità di fotocamera, uso delle SD card e impostazioni di VPN, Wi-Fi, Bluetooth e crittografia. Integrità dei dispositivi Qualsiasi difesa può essere efficacemente aggirata se il dispositivo mobile viene sottoposto a jailbreak o rooting. La capacità di rilevare questa condizione è conseguentemente un fattore critico. 3. Le soluzioni MDM e quelle di mobile security avanzata potrebbero rimanere indipendenti.

Recovery dei dispositivi e riduzione delle perdite Comprende il tracciamento dei dispositivi, blocco manuale e automatico, cancellazione manuale/automatica di tutti i dati o di quelli selezionati e supporto per backup e ripristino a livello di dispositivo. Gestione di assistenza e manutenzione Il controllo da remoto è utile per l assistenza tecnica, mentre il controllo delle spese permette di ridurre l utilizzo, soprattutto in caso di costi elevati (es. roaming all estero). Policy, contratti e consapevolezza degli utenti Le policy costituiscono uno strumento fondamentale di qualsiasi strategia di mobile security. Le policy prescelte determinano gli specifici controlli tecnici necessari. È inoltre fondamentale fare in modo che gli utenti sottoscrivano dei contratti di utilizzo mobile, per documentare i loro diritti, le loro responsabilità e i diritti dell azienda (es. è opportuno includere una clausola che permetta all azienda di cancellare i contenuti del dispositivo in cambio della possibilità di accedere alle risorse aziendali). La sottoscrizione di tali contratti è particolarmente importante quando si supportano i modelli BYOD (Bring Your Own Device) e con utilizzo sussidiato, soprattutto per le incertezze legali correlate a responsabilità e diritti di accesso ai dati. Il training continuativo per la consapevolezza degli utenti sulla mobile security è probabilmente consigliabile, ma l esperienza dimostra che questo tipo di intervento risulta spesso poco efficace. Livello 2: sicurezza supplementare Le funzionalità di sicurezza orientate al modello MDM sono un eccellente punto di partenza per una strategia di mobile security. Con la continua espansione degli scenari di accesso mobile e l accelerazione nello sviluppo del malware mobile (in altre parole, con la continua crescita di vulnerabilità, minacce e rischi), l efficacia del modello MDM per la sicurezza diminuisce costantemente. I dipartimenti IT devono implementare misure capaci di integrare il modello MDM, al fine di rafforzare l accesso sicuro, la protezione dalle minacce e la protezione dei dati. Accesso sicuro ActiveSync e/o la sicurezza basata su MDM possono essere sufficienti se gli utenti mobili usano soltanto la posta elettronica. Se invece si fornisce un accesso che va al di là dell e-mail, diventano sempre più rilevanti tre contromisure orientate all accesso: (1) un autenticazione forte sulla rete es. tramite token; (2) una funzionalità di tunnelling crittografato che supporti l accesso a tutti i tipi di app es. una VPN SSL; (3) una funzionalità di verifica dell integrità host, che limiti l accesso in base alle condizioni della sicurezza nel dispositivo dell utente (in modo indipendente oppure come componente integrante delle principali VPN SSL). Protezione dalle minacce Storicamente, il malware mobile non è mai stato uno dei problemi principali. Nel 2011 la situazione ha tuttavia incominciato a cambiare e se ne prevede una crescita ancora più rapida nel 2012. Conseguentemente, i prodotti antimalware per le piattaforme mobili stanno diventando sempre più importanti, soprattutto perché la natura altamente dinamica del Web e delle minacce che ospita dimostra la palese insufficienza delle tecnologie e dei meccanismi convenzionali in questo settore (es. le firme). Ciò di cui le aziende hanno veramente bisogno è un valido cocktail di sicurezza Web, in grado di esaminare i contenuti da ogni angolo possibile per rilevare le nuove minacce. Ciò rende necessaria una sorta di intelligence in tempo reale, che utilizzi molteplici motori d ispezione complementari in grado di offrire l analisi delle minacce e la classificazione dei contenuti in tempo reale. Altrettanto utile sarà la capacità di filtrare le applicazioni mobili in base alla reputazione. Questa capacità, ancora emergente, è analoga ai filtri di reputazione per posta elettronica, URL e file scaricati, ma si focalizza sulla possibilità di impedire agli utenti di scaricare app mobili infettate da malfare, un problema attualmente in crescita, soprattutto per gli app store automatizzati. Protezione dei dati Un ulteriore copertura in questo settore assume più che altro la forma della tecnologia DLP. Il punto di partenza per una soluzione completa è rappresentato dalla sede centrale dell azienda. Qui sarà opportuno usare dei gateway di sicurezza email e Web con funzionalità DLP integrate, per controllare fin dall inizio quali dati possono andare ai dispositivi mobili (es. via email oppure tramite servizi di

condivisione file sul Web, come Dropbox). Per i dati che si spostano sulle piattaforme mobili, il livello di protezione successivo dovrebbe essere costituito da una funzionalità DLP mobile per impedire l esposizione ostile o involontaria dei dati stessi. In particolare, l esigenza di un modello DLP mobile è stimolata anche dall utilizzo sempre più diffuso delle applicazioni SaaS, dove dati e utenti si trovano all esterno del perimetro aziendale e della protezione che esso solitamente offre. Agenti o cloud Qual è il modo migliore di implementare ulteriori funzionalità per la protezione dei dati e dalle minacce: agenti software locali, oppure servizi basati sul cloud? Per alcune delle piattaforme più diffuse, come Apple ios, non c è scelta. L architettura limita le funzionalità o preclude completamente l uso di agenti di sicurezza. Android supporta gli agenti, ma il loro peso sul dispositivo dovrà essere il più ridotto possibile per ridurre l impatto negativo sulle prestazioni. Ulteriori elementi a favore dei servizi basati sul cloud sono rappresentati da vantaggi quali: implementazione più rapida, semplice e meno costosa; compatibilità universale a livello di piattaforma; maggiore adattabilità. Gli agenti locali possono offrire un miglior livello incrementale di funzionalità ed efficienza, ma è improbabile che ciò rappresenti un vantaggio rispetto ai punti di forza dell approccio basato su cloud. Livello 3: misure di sicurezza emergenti Questo terzo livello di contromisure rappresenta una certa novità sul mercato e viene spesso classificato come avanzato o emergente. I primi utilizzatori di queste tecnologie solitamente hanno una tolleranza molto ridotta per i rischi, usano dati estremamente sensibili, oppure devono sottostare a requisiti normativi molto rigorosi. Virtualizzazione di app/desktop La decisione di non consentire mai ai dati sensibili di lasciare il data center offre chiaramente un livello di protezione superiore. Un modo per ottenere questo risultato consentendo tuttavia l accesso con sola visualizzazione alle risorse essenziali, consiste nell implementare delle soluzioni su server per la virtualizzazione di app e desktop (es. i prodotti Citrix o VMware). App di autodifesa In alcuni casi, le aziende possono scegliere app mobili appositamente progettate per essere intrinsecamente più sicure, per esempio incorporando proprie funzionalità di crittografia e gestione delle chiavi e sfruttando in misura minore le caratteristiche della piattaforma nativa e le posizioni di storage dei dati per la protezione. Sandbox enterprise Scopo della tecnologia sandbox è creare nel dispositivo mobile una zona isolata, dove gli utenti possano lavorare con le risorse aziendali. L accesso a tale zona dipende dall autenticazione e autorizzazione; tutti i dati trasmessi alla, dalla ed entro la zona sono crittografati. Con i dispositivi mobili che supportano questa tecnologia, il risultato è rappresentato da un ulteriore e sofisticato livello di protezione dei dati. Gli svantaggi comprendono il supporto relativamente limitato per le app e la riduzione delle funzionalità a disposizione dell utente, dal momento che non sarà possibile usare le app native di email e calendario per accedere alle risorse aziendali. VPN always-on uesto approccio prevede il reinstradamento alla sede centrale di tutto il traffico dati, attraverso un tunnel crittografato. In questo modo il traffico viene protetto da tutte le contromisure implementate a livello centrale, incluso un completo modello DLP di classe enterprise. Gli svantaggi comprendono minori prestazioni, un maggior carico di traffico sull infrastruttura di rete e di sicurezza aziendale e le complessità associate allo sviluppo di policy che prevedano anche la presenza di obiettivi di uso personale. Avvertenze e complicazioni Nulla di ciò che sia correlato alla sicurezza delle informazioni risulta facile come potrebbe apparire a prima vista. Ciò è doppiamente vero nel caso della mobile security. Ecco due argomenti che è opportuno citare: Diversità di dispositivi e piattaforme La principale complicazione per la strategia aziendale di mobile security è rappresentata

dalla diversità di dispositivi e piattaforme mobili. Questo aspetto si manifesta in due modi. In primo luogo, le differenze nell architettura delle piattaforme hanno un impatto negativo sull esigenza e disponibilità di molte funzionalità di sicurezza add-on. Per esempio, il modello di isolamento adottato da Apple ios riduce l efficacia di gran parte del malware, ma contemporaneamente preclude l utilizzo di agenti di sicurezza completamente funzionali. Altre piattaforme soffrono di una resistenza variabile nei confronti del malware e altri tipi di minacce, associata a vari livelli di supporto per agenti di sicurezza locali. Un problema correlato è che la diversità di piattaforme, dispositivi e service provider ha un impatto negativo sulla disponibilità ed efficacia delle funzioni di sicurezza native. Conseguentemente, ci sono considerevoli variazioni da un dispositivo all altro in termini di (a) che cosa occorre dal punto di vista della sicurezza e (b) come si può implementare nel modo migliore. Differenti scenari di proprietà e utilizzo Ulteriori complicazioni nascono da nuovi e diversi modelli di proprietà e utilizzo. Non succede più che tutti i dispositivi client siano di proprietà dell azienda e vengano usati rigorosamente per motivi di lavoro. I dipendenti si aspettano di poter usare i propri dispositivi mobili per le attività personali. I diversi accordi relativi a proprietà e rimborsi comportano spesso l adozione di policy e funzionalità differenti. Per esempio, con il modello BYOD e nessun rimborso agli utenti, la cancellazione dei dati deve rappresentare l ultima risorsa ed essere selettiva (ovvero cancellare tutti i dati aziendali ma nessun dato personale). L aggiunta del rimborso del servizio cambia tuttavia la situazione. In questo caso, la cancellazione di tutti i dati risulta più accettabile e conseguentemente costituisce una porzione importante del piano di sicurezza; diventano più rilevanti anche altre funzionalità, come il controllo delle spese. Caratteristiche di una soluzione enterprise ideale Nessuno restituisce il proprio laptop o desktop quando riceve uno smartphone. Di conseguenza, la mobilità aggiunge semplicemente nuove sfide alla sicurezza aziendale. Questo aspetto, insieme alle pressioni a livello di budget, stimola le esigenze di efficienza amministrativa e ridotto TCO (Total Cost Of Ownership) nella scelta delle soluzioni di mobile security. Per le aziende, le soluzioni ideali avranno una natura di classe enterprise e consentiranno di ridurre i costi minimizzando il numero di prodotti e produttori. Classe enterprise Le caratteristiche principali di tutte le soluzioni di mobile security al fine di ridurre ulteriormente i costi e migliorare l efficienza comprendono: gestione centralizzata, amministrazione basata su ruoli, integrazione delle directory, policy di gruppo, reportistica flessibile e audit trail per la configurazione. Consolidamento La possibilità di soddisfare le esigenze dell azienda con un insieme più ridotto di prodotti e fornitori porta invariabilmente alla riduzione di costi e complessità, migliorando integrazione ed efficienza. Per questo motivo, solitamente i responsabili della sicurezza/it favoriscono quei solution provider che offrono un portafoglio più ampio di funzionalità per il maggior numero di dispositivi da supportare (soprattutto nei livelli 1 e 2). È possibile ottenere ulteriori vantaggi se le funzionalità avanzate di protezione dei dati e dalle minacce per i dispositivi mobili sono disponibili come estensioni di soluzioni già utilizzate per offrire funzionalità simili agli utenti/dispositivi fissi. Conclusioni La necessità di supportare e rendere sicura una popolazione crescente di dispositivi mobili è un problema di grande attualità. Questa sfida è complicata da una serie di fattori, tra cui in modo particolare: (a) la diversità di piattaforme e dispositivi e il suo impatto negativo sull esigenza di certi controlli e sulle soluzioni disponibili; (b) la diversità dei possibili scenari di proprietà, rimborso e utilizzo e l esigenza di raggiungere il miglior compromesso tra le aspettative degli utenti e quelle dell azienda. A causa di queste complessità, non esiste alcuna ricetta semplice e generica per risolvere il problema della sicurezza mobile. Ciò nonostante, le aziende dovrebbero:

Restare concentrate sull obiettivo più importante garantire una protezione adeguata dei dati mobili e contemporaneamente assicurare una valida esperienza agli utenti e un TCO ragionevole; Seguire un approccio a vari livelli, dove le funzionalità di sicurezza di tipo MDM sono integrate da controlli avanzati per l accesso sicuro, protezione dalle minacce e, soprattutto, protezione dei dati; È possibile ottenere ulteriori vantaggi se le funzionalità avanzate di protezione dei dati e dalle minacce per i dispositivi mobili sono disponibili come estensioni delle soluzioni già utilizzate per offrire funzionalità simili agli utenti/ dispositivi fissi. Preferire le soluzioni che offrono un alto livello di efficienza amministrativa e riduzione del TCO, grazie al consolidamento e all integrazione di funzionalità di classe enterprise (come gestione centralizzata, integrazione delle directory e reportistica efficace). L autore Mark Bouchard, CISSP, ha fondato AimPoint Group, una società di ricerca e analisi IT specializzata in sicurezza delle informazioni, gestione della conformità, fornitura di applicazioni e ottimizzazione dell infrastruttura. Ex-analista di META Group, da più di 15 anni Mark analizza i trend tecnologici e di business relativi a un ampia gamma di problematiche di sicurezza delle informazioni e networking. Veterano della U.S. Navy, la sua passione è aiutare le aziende a risolvere i problemi dell IT. Ha aiutato centinaia di organizzazioni in ogni parte del mondo a raggiungere i propri obiettivi tattici e strategici. Chi è Websense I moderni strumenti di produttività sono sempre più mobili, sociali e nel cloud. Queste caratteristiche appartengono anche ai sofisticati attacchi per il furto di dati, che i normali software antivirus e firewall non sono in grado di impedire. È possibile restare un passo più avanti grazie alla sicurezza Websense TRITON TM, che combina i livelli più avanzati di sicurezza Web, sicurezza email e moduli DLP (disponibili congiuntamente o separatamente) in un unica e potente soluzione. Con analisi condivisa, flessibili opzioni di implementazione e una console di gestione unificata, è la soluzione più efficiente ed economica per le attuali esigenze di sicurezza. 2012 Websense, Inc. Tutti i diritti riservati. Websense e il logo Websense sono tutti marchi registrati Websense, Inc. negli Stati Uniti e in altri paesi. Tutti gli altri marchi sono di proprietà dei rispettivi produttori. WS-WP-V1 04/04/2012