Numerosi indicatori degli ultimi mesi hanno segnalato un aumento delle disposizioni relative al ritorno in ufficio quest’anno, e si prevede che la direttiva del presidente Trump volta a porre fine alle modalità di lavoro a distanza presso le agenzie federali alimenti ulteriormente tale tendenza – insieme a un possibile picco delle minacce alla sicurezza informatica.
I dirigenti aziendali che promuovono il ritorno in ufficio (RTO) sembrano preoccupati soprattutto per i potenziali cali nella collaborazione e nella produttività dei dipendenti e, naturalmente, per i costi legati al mantenimento di spazi d’ufficio semivuoti. Il fatto è che, secondo alcune ricerche, una politica che preveda cinque giorni di presenza in ufficio contribuisce ben poco ad aumentare la produttività dei dipendenti, i profitti dell’azienda o la sua performance in borsa – e vi è sicuramente il rischio di suscitare malumore, o addirittura di perdere, parte del personale durante la fase di transizione.
Tale aumento dei reclami da parte dei dipendenti e dello stress sul posto di lavoro comporta gravi implicazioni per i responsabili della sicurezza informatica (CISO) e per gli altri soggetti incaricati di monitorare “le minacce interne” e la sicurezza informatica complessiva presso le organizzazioni pubbliche e private.
Ed è uno dei motivi per cui i dirigenti aziendali devono tenere sempre presente la sicurezza informatica nel valutare i pro e i contro delle diverse modalità di lavoro dei dipendenti.
«È necessario tenere in considerazione le minacce interne, compreso il sabotaggio, poiché alcuni dipendenti potrebbero essere personalmente colpiti dal cambiamento e, in casi estremi, potrebbero reagire in modo inappropriato.»Fritz-Jean Louis, consulente capo per la sicurezza informatica, Info-Tech Research
Perché non si tratta semplicemente di tornare alla normalità pre-pandemia. L’RTO incide sulla sicurezza informatica in vari modi. Ci sono aspetti positivi, certo, ma gli esperti prevedono alcune sfide significative, poiché le vecchie minacce alla sicurezza tornano a farsi sentire e altri rischi imprevisti rendono la situazione più complessa per i team addetti alla sicurezza.
Aspetti positivi e negativi dell’RTO per i CISO
Innanzitutto, gli aspetti positivi: sebbene un’iniziativa di RTO possa comportare alcune difficoltà, essa rende anche più agevole alcuni aspetti della sicurezza informatica per i CISO, afferma Larry Whiteside Jr. Il CISO di lunga esperienza gestisce attualmente Confide, un servizio di valutazione e rivendita di prodotti destinato ai CISO.
«È molto più facile garantire la sicurezza delle persone all’interno delle mura aziendali.»Larry Whiteside Jr., responsabile della sicurezza informatica (CISO) e cofondatore di Confide
«È molto più facile garantire la sicurezza delle persone all’interno dei confini aziendali», afferma. «Non si conosce la configurazione di rete domestica delle persone né la loro rete domestica.» Chi utilizza il proprio computer di lavoro quando non è presente? Quali altri dispositivi non protetti sono presenti su quella rete? «La maggior parte dei router domestici è un vero e proprio “caos”», aggiunge. Sono in pochi ad aggiornare il software di questi dispositivi – a parte, forse, i gruppi cinesi di minacce persistenti avanzate ( ) che li infettano con il malware .
L’approccio “zero trust” – basato sul principio di diffidare di tutto ciò che si trova sulla rete e di assegnare i privilegi sulla base di un’autenticazione robusta – avrebbe dovuto risolvere tali problemi. Tuttavia, Whiteside Jr. afferma che si tratta di un quadro complesso piuttosto che di un singolo prodotto, e che molte aziende non erano pronte ad affrontarlo.
I requisiti RTO comportano tuttavia alcune sfide, tra cui il temuto “” (movimento laterale), in cui un aggressore che compromette un dispositivo può poi passare ad altri dispositivi presenti sulla rete aziendale e compromettere anche quelli.
«Non si trattava di passare da un dispositivo all’altro durante la pandemia, quando tutti erano a casa; si trattava piuttosto di un’escalation dei privilegi nell’ambito dell’ », spiega Whiteside Jr.
A casa, un dispositivo aziendale non è collegato alla rete aziendale, pertanto gli hacker non hanno alcuna possibilità di passare da quel dispositivo infetto ai computer presenti nella rete dell’ufficio. Negli ultimi anni, invece, gli autori degli attacchi informatici si sono concentrati sul furto delle credenziali dei dipendenti da dispositivi remoti, che consentono loro di appropriarsi indebitamente dei loro account di lavoro online nei software cloud. Un dispositivo infetto all’interno di una rete domestica potrebbe, ad esempio, rivelare le credenziali di accesso allo spazio di lavoro basato su cloud di un dipendente su Microsoft 365 , al quale un malintenzionato potrebbe poi accedere dal proprio computer per sottrarre i file di lavoro. (Adeguate politiche di gestione delle identità e degli accessi e tecnologie possono contribuire a controllare le autorizzazioni degli utenti e a mitigare tali rischi.)
Grazie al movimento laterale (o cosiddetto movimento est-ovest), un aggressore può spostarsi orizzontalmente all’interno di una rete, ampliando il proprio accesso con relativa facilità. Mentre gli strumenti di rilevamento di tipo “ endpoint ” identificano facilmente il traffico nord-sud (ad esempio, i movimenti in entrata o in uscita da una rete), i movimenti laterali possono risultare più difficili da individuare. Le aziende devono avvalersi di soluzioni di gestione autonoma endpoint e di monitoraggio in tempo reale quali il rilevamento delle anomalie e sofisticate analisi di sicurezza informatica, ciascuna delle quali è in grado di registrare e monitorare attività insolite da parte degli utenti.
Il principale rischio per la sicurezza informatica degli RTO: quando i dipendenti agiscono di propria iniziativa
Un’altra preoccupazione legata all’RTO per i CISO: i rapporti tesi, che potrebbero mettere a rischio i dati o i sistemi informatici di un’azienda.
“Molte aziende mi hanno riferito di aver provato soddisfazione quando Amazon [lo scorso settembre] ha annunciato il ritorno in ufficio per cinque giorni alla settimana. Lo considerano un’opportunità per attirare alcuni dipendenti di alto livello provenienti da Amazon.”Mark Ma, Ph.D., professore associato di economia aziendale presso l’Università di Pittsburgh
Mark Ma, professore associato di economia aziendale presso l’Università di Pittsburgh, , ha condotto una ricerca sulle politiche di ritorno al lavoro (RTO) e ha riscontrato un calo significativo della soddisfazione dei dipendenti quando le aziende hanno ordinato loro di tornare al lavoro. Ciò si è tradotto direttamente in un elevato turnover del personale, in particolare per le dipendenti con figli a carico e per i dipendenti con esperienza, una categoria che spesso attribuisce grande importanza alla propria autonomia e che risulta particolarmente appetibile per i potenziali datori di lavoro, osserva Ma. "Molte aziende mi hanno riferito di aver accolto con favore l’annuncio fatto d Amazon [lo scorso settembre] riguardo al ritorno in ufficio cinque giorni alla settimana", afferma. "Lo considerano un'opportunità per attirare alcuni dipendenti di alto livello provenienti dall' Amazon."
È possibile che alcuni di quei dipendenti si portino via dei segreti aziendali, magari per rendere più allettante l’offerta presso un nuovo datore di lavoro? Si tratta di una vera e propria preoccupazione, affermano gli esperti.
"È necessario tenere conto delle minacce interne, compreso il sabotaggio, poiché alcuni dipendenti potrebbero risentire personalmente del cambiamento e, in casi estremi, potrebbero reagire in modo inappropriato", avverte Fritz-Jean Louis, consulente principale per la sicurezza informatica presso la società di analisi Info-Tech Research.
I dipendenti potrebbero essere tentati di reagire qualora fossero sottoposti a un controllo draconiano da parte del datore di lavoro durante il lavoro da casa. Non mancano certo le storie di aziende paranoiche che spiano i propri dipendenti che lavorano da remoto, utilizzando un software che monitora la frequenza con cui i lavoratori da casa muovono il mouse per verificare se si trovino effettivamente alla propria scrivania.
«Questa cultura del presenteismo virtuale non solo allontana i dipendenti, ma costituisce anche un indicatore inadeguato della produttività», avverte Ma.«Non abbiamo riscontrato prove significative del fatto che l’obbligo di ritorno in ufficio migliori o peggiori effettivamente le prestazioni aziendali o la valutazione del prezzo delle azioni in termini di rendimenti azionari», afferma Ma.
Una via da seguire
La soluzione più accettabile rientra inoltre in quella che egli considera una via da seguire per le aziende che richiedono la presenza in ufficio, pur continuando a promuovere rapporti rispettosi e produttivi con il personale. "Perché non tiene traccia e non monitora direttamente la produzione?" suggerisce. "In che misura i dipendenti abbiano compiuto progressi verso il raggiungimento del proprio obiettivo, ovvero i risultati attesi."
«[Un approccio ibrido] dà priorità, in una certa misura, alle esigenze dei dipendenti, valutando al contempo come rendere più proficuo il tempo trascorso in ufficio.»Elysca Fernandes, direttrice dei servizi di ricerca e consulenza in materia di risorse umane presso McLean and Company
Egli raccomanda un approccio ibrido per sfruttare i vantaggi del lavoro in ufficio, riducendo al minimo al contempo le ripercussioni sul morale e altre problematiche che possono comportare gravi minacce alla sicurezza informatica.
Per i professionisti delle risorse umane, ciò rappresenta una situazione vantaggiosa per tutte le parti. "Si tratta di un approccio che, in una certa misura, privilegia le esigenze dei dipendenti, valutando al contempo come rendere più proficuo il tempo trascorso in ufficio", afferma Elysca Fernandes, direttrice dei servizi di ricerca e consulenza in materia di risorse umane presso la società di consulenza McLean and Company. "Tutto ciò rientra in questa tendenza più ampia volta ad aumentare il tempo che le persone trascorrono negli uffici o nei luoghi di lavoro fisici al di fuori della propria abitazione, qualora continuino a lavorare da casa."
Ma suggerisce di consentire ai team di decidere autonomamente quando sia opportuno recarsi in ufficio. Ciò potrebbe riguardare orari o giorni fissi, oppure potrebbe ruotare attorno a tipi specifici di eventi, quali riunioni di gruppo su larga scala o incontri con i clienti. La chiave del successo è un sistema di monitoraggio delle prestazioni trasparente e solido, in grado di misurare risultati concreti quali il numero di record elaborati o il momento in cui viene inviato un rapporto.
Se elaborate con attenzione, le politiche RTO possono conciliare gli obiettivi aziendali con le esigenze dei dipendenti, attribuendo al contempo la massima priorità alle sfide legate alla sicurezza informatica nel processo decisionale.