Il lavoro da remoto di questo periodo vede anche un utilizzo maggiore delle piattaforme di collaborazione. I consigli per lavorare in sicurezza di FireEye. Mandiant, società di FireEye, raccomanda che le aziende adottino una standardizzazione attorno ad un’unica piattaforma di collaborazione, ove possibile, per gestirne meglio sia le complessità che ne derivano sia i rischi.
Sicurezza e privacy dei meeting
Controllo degli accessi ai meeting e URL: ricordare sempre con chi si è condiviso il link del meeting e chi sono i partecipanti autorizzati. La maggior parte delle piattaforme offre la possibilità di proteggerli con una password o creare una “Virtual Lobby” che consente all’amministratore di controllare l’accesso al meeting vero e proprio.
Awareness dei partecipanti: prima di iniziare ogni meeting, l’organizzatore dovrebbe esaminare l’elenco dei partecipanti che si sono collegati per verificare che siano conosciuti.
Condivisione dei contenuti: gli amministratori dovrebbero sempre disabilitare la possibilità per gli altri partecipanti di condividere gli schermi senza l’esplicito permesso dell’organizzatore.
Tono di entrata e di uscita: se disponibile, questa funzionalità previene la possibilità che qualcuno partecipi al meeting all’insaputa dell’organizzatore.
Registrazione: nessuno, tranne l’organizzatore del meeting, dovrebbe essere in grado di registrare il meeting. La registrazione non dovrebbe essere disponibile di default a tutti i partecipanti e senza l’esplicita approvazione dell’organizzatore.
Inoltrare l’invito al meeting: valutare e concordare controlli che impediscano agli utenti di inoltrare a loro volta gli inviti ai meeting.
I meeting virtuali introducono un differente insieme di complessità che le conversazioni faccia a faccia in genere non hanno. È necessario pertanto prestare attenzione a:
Video: è necessario fare attenzione a quello che vi circonda quando attivate il video. Anche se in molti casi è importante avere il video abilitato per i meeting, gli utenti devono essere consapevoli dell’ambiente circostante per evitare la divulgazione involontaria di informazioni private o dettagli che non devono essere resi pubblici. Alcuni programmi offrono la possibilità, ad esempio, di offuscare lo sfondo durante la videochiamata. Quando non si utilizza il video è indispensabile assicurarsi che la videocamera sia coperta o disabilitata.
Audio: quando non si parla in maniera attiva, assicurarsi che il pulsante “mute” sia abilitato. Se invece vi unite ad un meeting da un luogo in cui si può essere facilmente ascoltati da terzi è necessario essere discreti per non rivelare informazioni riservate o ancora meglio sportarsi in un luogo maggiormente riservato.
Le checklist da seguire per la sicurezza delle piattaforme collaborative
Autenticazione
I team di sicurezza devono assicurarsi che i seguenti elementi siano adeguatamente valutati e configurati:
Avere conferma che l’accesso a una piattaforma di collaborazione sia conforme alle pratiche di gestione aziendale degli accessi e delle password;
Essere sicuri che l’accesso a una piattaforma di collaborazione sia gestito attraverso una soluzione di gestione centralizzata delle identità come Active Directory (AD);
Considerare l’implementazione di una soluzione di sign-on singola per collegare le risorse aziendali e il cloud tramite una fonte di autenticazione comune se la piattaforma di collaborazione non fa parte dell’ecosistema IT aziendale;
Proteggere l’accesso alla piattaforma di collaborazione grazie all’autenticazione a più fattori (MFA);
Verificare regolarmente chi possiede l’accesso alla piattaforma di collaborazione;
Assicurarsi che i processi di onboarding e di off-boarding dei dipendenti coprano anche la questione degli accessi alle piattaforme di collaborazione.
Gestione degli accessi
I team di sicurezza dovrebbero assicurarsi che:
I permessi per la condivisione di file all’interno della piattaforma di collaborazione e delle applicazioni autorizzate dall’azienda per la condivisione dei file siano ristretti all’interno di specifici gruppi a seconda delle necessità di utilizzo;
La piattaforma di collaborazione e le applicazioni autorizzate di condivisione di file siano coperti da una soluzione di Data Loss Prevention (DLP);
La piattaforma di collaborazione sia integrata in un programma di Data Lifecycle Management (DLM) e tutti i dati elaborati e memorizzati all’interno della piattaforma siano conformi alle politiche di classificazione, conservazione e backup dei dati aziendali;
Le tecniche di “non-repudiation” come eDiscovery, Legal Hold o Archivial siano state opportunamente configurate;
Tutte le conversazioni, i file condivisi, così come le registrazioni audio e video siano criptate sia “in transito” sia “a riposo” e risiedano all’interno delle regioni coperte dalle normative sulla protezione dei dati aziendali e sulla privacy;
L’accesso alla piattaforma di collaborazione sia protetto e integrato con una soluzione di Mobile Device Management (MDM);
L’accesso alla piattaforma di collaborazione di un ospite esterno sia stato valutato e adeguatamente configurato o disabilitato;
I team di sicurezza abbiano piena visibilità sui log generati dalla piattaforma di collaborazione;
La piattaforma di collaborazione sia collocata dietro un Cloud Access Security Broker (CASB) per far rispettare i criteri di sicurezza aziendali;
L’utilizzo della piattaforma di collaborazione sia coperto dall’Acceptable Use Policy (AUP) e tutti i dipendenti siano consapevoli di come una piattaforma di collaborazione debba essere utilizzata.
