Da decenni ormai, la rete privata virtuale (VPN) è un elemento imprescindibile della vita quotidiana dei professionisti che lavorano fuori dall’ufficio. Ecco un altro classico: lamentarsi della VPN.
Gli utenti finali si lamentano del tempo aggiuntivo richiesto dalle VPN per l'accesso alla rete aziendale e devono sopportare una connessione Internet più lenta una volta connessi. Gli amministratori di rete devono rispondere alle chiamate all'help desk provenienti da quegli utenti arrabbiati. Sembra che tutti trovino le VPN scomode, poco pratiche e fastidiose.
E questo avveniva prima della pandemia. Tradizionalmente, la maggior parte delle aziende acquistava una capacità VPN appena sufficiente a servire circa il 10% dei propri dipendenti in qualsiasi momento, quanto bastava per garantire che i commerciali in giro per le visite, i dirigenti di alto livello e altri potessero svolgere il proprio lavoro quando si trovavano fuori sede.
Ma improvvisamente, tutti si sono ritrovati a lavorare da casa e, a meno che non fosse possibile procurarsi rapidamente l’hardware locale necessario per gestire le VPN tradizionali (note come concentratori VPN), le aziende hanno avuto grandi difficoltà a garantire ai propri dipendenti connessioni sicure e affidabili.
«Le aziende hanno dovuto aumentare di dieci volte la propria capacità VPN, e gli utenti stanno riscontrando prestazioni peggiori che mai.»Richard Stiennon
«Quello che un tempo era solo un fastidio ora sta ostacolando lo svolgimento delle attività aziendali», afferma Richard Stiennon, fondatore di IT-Harvest, una società di analisi della sicurezza. «Le aziende hanno dovuto aumentare di dieci volte la capacità delle proprie reti VPN, e gli utenti registrano prestazioni peggiori che mai.»
In un sondaggio condotto da Tanium e pubblicato su giugno 2020, i dirigenti hanno infatti indicato le reti VPN sovraccariche come la seconda sfida più importante in materia di sicurezza che hanno dovuto affrontare nel passaggio a modelli di lavoro più distribuiti. (Il primo punto consisteva nell’identificare i nuovi dispositivi informatici presenti in rete, poiché i lavoratori da remoto effettuavano l’accesso utilizzando i propri dispositivi personali.) Di conseguenza, il 40% ha dichiarato che in futuro ridurrà la propria dipendenza da tale tecnologia.
[Da vedere: Una buona sicurezza è sinonimo di un’informatica ben gestita]
Uno dei motivi: secondo Stiennon, i team di sicurezza informatica hanno dovuto dedicare così tanto tempo alla configurazione di connessioni sicure per i lavoratori da remoto da trascurare altre mansioni. Nel sondaggio condotto da “ Tanium”, il 26% dei dirigenti di alto livello ha affermato che le proprie aziende hanno dovuto ridurre la priorità attribuita all’applicazione delle patch e ad altre attività di sicurezza durante i primi mesi della crisi. Nel 2021, con il protrarsi della pandemia, molte aziende stanno valutando alternative più sicure e scalabili.
È giunto il momento di un aggiornamento
Fortunatamente, le aziende dispongono di un’alternativa. Poiché sempre più attività digitali vengono svolte utilizzando servizi basati sul cloud — si pensi a Microsoft360, Slack e Zoom — i principali fornitori hanno sviluppato funzionalità più veloci, più automatizzate e più sicure rispetto alle VPN. Ciò rende le VPN sempre più obsolete, afferma Rob Sadowski , responsabile del marketing per la fiducia e la sicurezza presso Google Cloud, in un articolo pubblicato su .
“La disponibilità di un accesso remoto integrato nel cloud garantisce un’esperienza migliore sia per gli utenti che per gli amministratori.”Alex J. Philips
«Le VPN non rappresentano la soluzione più adatta per una forza lavoro distribuita», afferma Sadowski. «Disporre di un accesso remoto integrato nel cloud garantisce un’esperienza migliore sia per gli utenti che per gli amministratori.»
Alex J. Philips, responsabile informatico (CIO) della National Oilwell Varco con sede a Houston, è d’accordo. «Le VPN sono probabilmente la principale fonte di problemi nel mio ambito», afferma.
La società di servizi per pozzi petroliferi con sede al numero 2016 ha dismesso più di una dozzina dei propri router VPN ed è passata a un servizio basato sul cloud che offriva centinaia di punti di accesso in tutto il mondo. Un ingegnere a Singapore, ad esempio, potrebbe accedere in modo sicuro alle applicazioni basate sul cloud senza dover utilizzare una VPN. Il risultato è stato un miglioramento dell’esperienza utente, sia che il dipendente si collegasse all’applicazione aziendale per la gestione delle spese, sia che utilizzasse servizi basati sul cloud quali Zoom o Slack.
Un altro vantaggio era la scalabilità, afferma Philips. Grazie alla VPN, il numero massimo di dipendenti che si sono collegati da remoto è stato di 2.000. Quando è scoppiata la pandemia, 9.000 lavoratori erano connessi contemporaneamente. Il sistema cloud li ha gestiti senza alcun intoppo.
[Legga anche: In che modo Bank of America sta ampliando il proprio futuro digitale]
«Nel frattempo, tutte queste altre aziende si affannavano per acquistare maggiore capacità VPN, in un momento in cui le catene di approvvigionamento globali si stavano bloccando e non era possibile reperire altro hardware», afferma. «Se avessimo ancora avuto la nostra vecchia architettura VPN, non so cosa avremmo fatto, ma sarebbe stata una situazione davvero difficile.»
I servizi basati sul cloud offrono funzionalità di sicurezza integrate che non presentano le vulnerabilità intrinseche delle VPN. Google Cloud, ad esempio, ha sviluppato una tecnologia open source denominata BeyondCorp affinché i propri dipendenti potessero accedere in modo sicuro dalla rete Wi-Fi di casa o da qualsiasi altra rete non protetta, senza dover ricorrere a una VPN.
Quando la città di New York ha istituito il proprio Cyber Command con l’obiettivo di creare un’infrastruttura comune per tutti i siti web e i servizi cittadini, i funzionari hanno scelto il Cloud dell’ Google , in parte perché ciò consentiva loro di evitare l’uso delle VPN. «Hanno dei lavoratori che proteggono la città più grande del Paese e hanno bisogno che tali lavoratori possano accedere ad applicazioni e risorse fondamentali ogni volta che lo desiderino», afferma Sadowski.
Conquistare la fiducia nel modello “zero trust”
Oltre a disporre di una larghezza di banda sostanzialmente illimitata, BeyondCorp adotta un approccio alla sicurezza denominato “zero trust”, in base al quale gli utenti devono dimostrare la propria identità in diversi modi ogni volta che accedono ai sistemi, alle applicazioni e ai siti web aziendali. Uno dei problemi delle VPN tradizionali è che, una volta che gli utenti hanno ottenuto l’accesso a una rete, hanno carta bianca per accedere a qualsiasi area desiderino — compresi, in teoria, i database sensibili relativi a clienti e dipendenti.
Secondo quanto riportato dalla stampa, recentemente alcuni hacker sono riusciti ad accedere, tramite una VPN, alla rete di un’azienda di trattamento delle acque con sede a Oldsmar, in Florida, e sono quasi riusciti a immettere quantità pericolose di soda caustica nella rete idrica.
Un sistema zero-trust non solo verifica l’identità di ogni dispositivo, ma garantisce anche che sia stato configurato correttamente e che, ad esempio, non utilizzi software obsoleto e non più supportato. Verifica l’identità dell’utente, in modo che i dipendenti licenziati non possano effettuare l’accesso. Inoltre, controlla l'accesso a ciascuna applicazione per garantire che l'utente disponga dei permessi necessari per accedervi.
Le VPN ( ), ideate per la prima volta da un ingegnere della Microsoft nel mid-1990s, funzionano creando un “tunnel” temporaneo e crittografato tra un router aziendale e il PC del dipendente. Sono stati progettati per consentire all’utente di accedere esclusivamente alle applicazioni presenti sulla rete aziendale e non erano destinati alle connessioni sempre attive di oggi.
La domanda di soluzioni VPN non scomparirà certo da un giorno all’altro, ovviamente. Non solo molte aziende hanno scelto di acquistare maggiore capacità anziché adottare nuovi approcci, ma anche fornitori quali IBM hanno trovato il modo di adattare le proprie offerte VPN per renderle più orientate al cloud.
Ciononostante, se il lavoro da casa dovesse diventare una realtà per milioni di dipendenti, gli amministratori di rete dovranno garantire la sicurezza di un numero molto maggiore di dispositivi in modo più efficiente — e non solo dei PC accuratamente configurati su cui i dipendenti lavorano da decenni. Sarà necessario garantire un accesso sicuro per il computer portatile di casa, i dispositivi mobili e qualsiasi nuovo dispositivo che verrà introdotto nei prossimi anni. Ciò rappresenta un terreno fertile per i ladri informatici e gli hacker, poiché un numero maggiore di dispositivi comporta maggiori opportunità di sottrarre password e altre credenziali.
I fornitori di tecnologia stanno stringendo sempre più spesso collaborazioni per risolvere questo complesso problema gestionale. Tanium ha ad esempio annunciato una partnership con Google nel 2020, affinché le aziende che utilizzano il nostro sistema di gestione endpoint e BeyondCorp possano monitorare costantemente tutto il traffico su un browser Chrome alla ricerca di malware e altre minacce.
«C’è un motivo per cui tutti amano odiare le VPN», afferma John Pescatore , e direttore del settore delle tendenze emergenti in materia di sicurezza presso il SANS Institute. «Dovreste poter lavorare allo stesso modo, sia che vi colleghiate dal vostro ufficio, dalla rete Wi-Fi di casa vostra, da un parcheggio o da una camera d’albergo, senza nemmeno dover sapere che esiste una cosa chiamata VPN.»
