Molti indicatori negli ultimi mesi hanno indicato un aumento dei mandati di ritorno in ufficio quest’anno, e la direttiva del presidente Trump di porre fine agli accordi di lavoro a distanza presso le agenzie federali dovrebbe alimentare ulteriormente la tendenza, insieme a un possibile picco nelle minacce alla sicurezza informatica.
I leader aziendali che spingono l’RTO sembrano preoccupati principalmente dei potenziali cali nella collaborazione e nella produttività dei dipendenti e, naturalmente, dei costi di mantenimento degli spazi per uffici semivuoti. Il fatto è che la ricerca suggerisce che una politica di cinque giorni in ufficio fa poco per aumentare la produttività dei dipendenti o i profitti di un'azienda o le prestazioni del mercato azionario - e c'è sicuramente il rischio di far arrabbiare, o addirittura di perdere, il personale nella transizione.
Questo tipo di aumento delle lamentele dei dipendenti e dello stress dell’ufficio ha gravi implicazioni per i Chief Information Security Officer (CISO) e altri incaricati di monitorare le “minacce interne” e la sicurezza informatica complessiva nelle organizzazioni pubbliche e private.
Ed è uno dei motivi per cui i leader aziendali devono tenere la sicurezza informatica al primo posto mentre valutano i pro e i contro di dove lavorano i lavoratori.
“Le minacce interne, incluso il sabotaggio, devono essere prese in considerazione, poiché alcuni dipendenti potrebbero essere personalmente colpiti dal cambiamento e, in casi estremi, potrebbero agire”.Fritz-Jean Louis, principale consulente per la sicurezza informatica, Info-Tech Research
Perché non si tratta solo di tornare alla normalità pre-pandemia. L’RTO influisce sulla sicurezza informatica in vari modi. Ci sono aspetti positivi, certo, ma gli esperti prevedono alcune sfide significative, poiché le vecchie minacce alla sicurezza diventano nuove e altri rischi imprevisti rendono le cose più complicate per i team di sicurezza.
Positivi e negativi dell’RTO per i CISO
In primo luogo, il lato positivo: mentre un'iniziativa RTO potrebbe creare alcune sfide, rende anche alcuni aspetti della sicurezza informatica più semplici per i CISO, afferma Larry Whiteside Jr. Il veterano CISO ora gestisce Confide, un servizio di valutazione e rivendita di prodotti per i CISO.
“È molto più facile proteggere le persone all’interno delle mura aziendali”.Larry Whiteside Jr., CISO e co-fondatore, Confide
"È molto più facile proteggere le persone all'interno delle mura aziendali", afferma. “Non conosci il trucco domestico delle persone e non conosci la loro rete domestica”. Chi usa la propria macchina da lavoro quando non ci sono? Quali altri dispositivi non sicuri sono presenti su quella rete? La maggior parte dei router domestici sono "un disastro", aggiunge. Poche persone mai aggiornare il software su di loro - a parte, forse, dai gruppi di minacce avanzate persistenti cinesi che li infettano con malware.
Zero trust – l’idea di diffidare di tutto sulla rete e assegnare privilegi basati su un ’autenticazione robusta – avrebbe dovuto risolvere questi problemi. Tuttavia, Whiteside Jr. afferma che si tratta di un framework complesso piuttosto che di un singolo prodotto, e molte aziende non erano pronte per questo.
[Leggi anche: assumere lavoratori da remoto ha i suoi rischi - fai attenzione alle frodi deepfake]
I mandati RTO portano le proprie sfide, tra cui il temuto “movimento laterale”, in cui un utente malintenzionato che compromette un dispositivo può poi saltare ad altri sulla rete aziendale e compromettere anche quelli.
“Non si trattava di passare da un dispositivo all’altro durante la pandemia, quando tutti erano a casa; si trattava più di un ’escalation dei privilegi”, spiega Whiteside Jr..
A casa, un dispositivo di lavoro non è sulla rete aziendale, quindi non c'è alcuna possibilità per gli aggressori di passare da quel dispositivo infetto alle macchine sulla rete dell'ufficio. Al contrario, negli ultimi anni gli aggressori informatici si sono concentrati sul furto delle credenziali dei dipendenti dai dispositivi remoti che consentono loro di dirottare i loro account di lavoro online nel software cloud. Una macchina infetta su una rete domestica potrebbe fornire le credenziali di accesso al workspace basato su cloud Microsoft 365 di un dipendente, ad esempio, a cui un utente malintenzionato potrebbe quindi accedere dal proprio computer per rubare i file di lavoro. ( Politiche e tecnologie di gestione delle identità e degli accessi corrette possono aiutare a supervisionare le autorizzazioni degli utenti e a mitigare tali rischi.)
Con il movimento laterale (o quello che viene chiamato est-ovest), un utente malintenzionato può viaggiare orizzontalmente attraverso una rete, espandendo il proprio accesso con relativa facilità. Mentre gli strumenti di rilevamento degli endpoint identificano prontamente il traffico nord-sud (ad esempio, lo spostamento in entrata o in uscita da una rete), i movimenti laterali possono essere più difficili da individuare. Le aziende devono affidarsi a soluzioni di gestione autonoma degli endpoint e monitoraggio in tempo reale, come il rilevamento delle anomalie e l’ analisi sofisticata della sicurezza informatica, che possono registrare e tracciare attività insolite degli utenti.
Il più grande rischio per la sicurezza informatica dell’RTO: quando i dipendenti diventano canaglia
Un’altra preoccupazione RTO per i CISO: il cattivo sangue, che potrebbe mettere a repentaglio i dati o i sistemi informatici di un’azienda.
“Molte aziende mi hanno detto di sentirsi felici quando Amazon [lo scorso settembre] ha annunciato che cinque giorni di ritorno in ufficio. Lo vedono come un'opportunità per attirare alcuni dipendenti di qualità da Amazon. "Mark Ma, Ph.D., professore associato di amministrazione aziendale, Università di Pittsburgh
Mark Ma, professore associato di amministrazione aziendale presso l'Università di Pittsburgh, ha studiato le politiche RTO e ha riscontrato un calo significativo della soddisfazione dei dipendenti quando le aziende hanno ordinato ai dipendenti di tornare al lavoro. Si è tradotto direttamente in un elevato turnover dei dipendenti, in particolare per le dipendenti di sesso femminile con figli a casa, e per i dipendenti esperti, un gruppo che spesso apprezza la loro autonomia e sono molto attraenti per i potenziali datori di lavoro, osserva Ma. "Molte aziende mi hanno detto di sentirsi felici quando Amazon [lo scorso settembre] ha annunciato che cinque giorni di ritorno in ufficio", dice. "La vedono come un'opportunità per attirare alcuni dipendenti di qualità da Amazon."
Alcuni di questi dipendenti porteranno con sé segreti aziendali, forse per addolcire l'accordo con un nuovo datore di lavoro? È una vera preoccupazione, dicono gli esperti.
“Le minacce interne, incluso il sabotaggio, devono essere prese in considerazione, poiché alcuni dipendenti potrebbero essere personalmente colpiti dal cambiamento e, in casi estremi, potrebbero agire”, avverte Fritz-Jean Louis, principale consulente di sicurezza informatica presso la società di analisi Info-Tech Research.
I dipendenti potrebbero essere tentati di ritorsioni se fossero sottoposti a una supervisione draconiana da parte del datore di lavoro mentre lavorano da casa. Le storie abbondano di aziende paranoiche che spiano i dipendenti remoti, utilizzando un software che monitora la frequenza con cui i lavoratori a domicilio spostano i loro topi per verificare se sono alle loro scrivanie.
Questa cultura del presentismo virtuale non solo aliena i dipendenti, ma è una scarsa misura della produttività, avverte Ma.Non abbiamo trovato alcuna prova significativa che i mandati di rientro in ufficio effettivamente migliorino o danneggino la performance dell’azienda o la valutazione del prezzo delle azioni sui loro rendimenti azionari”, afferma Ma.
Un modo per andare avanti
La soluzione più accettabile è anche parte di ciò che vede come un modo per andare avanti per le aziende che richiedono una presenza in ufficio, pur promuovendo relazioni rispettose e produttive con il personale. "Perché non tracciate e monitorate direttamente l'output?" suggerisce. "Quanti progressi hanno fatto i dipendenti verso il loro obiettivo: i risultati attesi."
“Un approccio [ibrido] dà la priorità alle esigenze dei dipendenti in una certa misura, mentre guardiamo a come rendiamo quel tempo più prezioso in ufficio”.Elysca Fernandes, direttrice dei servizi di ricerca e consulenza HR, McLean and Company
Consiglia un approccio ibrido per sfruttare i vantaggi del lavoro in ufficio, riducendo al minimo gli impatti sul morale e altri problemi che possono portare a significative minacce alla sicurezza informatica.
Per i professionisti delle risorse umane, questo è un vantaggio per tutti. "È un approccio che dà la priorità alle esigenze dei dipendenti in una certa misura, mentre guardiamo a come rendiamo quel tempo più prezioso in ufficio", afferma Elysca Fernandes, direttore dei servizi di ricerca e consulenza delle risorse umane presso la società di consulenza McLean and Company. "Tutto rientra in questa tendenza più ampia per aumentare la quantità di tempo che le persone trascorrono in ambienti di ufficio o in luoghi di lavoro fisici al di fuori della loro casa se stanno ancora lavorando da casa."
Ma suggerisce di consentire ai team di decidere autonomamente quando ha senso venire in ufficio. Ciò potrebbe comportare orari o giorni regolari, o potrebbe ruotare attorno a tipi specifici di eventi come grandi riunioni di team o riunioni con i clienti. La chiave del successo è un sistema di monitoraggio delle prestazioni trasparente e robusto che misura i risultati reali come il numero di record elaborati o quando viene inviato un report.
Le policy RTO possono bilanciare gli obiettivi aziendali con le esigenze dei dipendenti, dando priorità alle sfide di sicurezza informatica nel processo decisionale.
