Utilizzo di servizi cloud come Infrastructure-as-a-service (Iaas) o Software-as-a-service (Saas). Interconnessione sempre più spinta dei processi di business nell’ambito dell’azienda estesa (impresa, fornitori, subfornitori, distributori, clienti) tramite strumenti internet (email, extranet, strumenti di instant messaging e di collaboration) in alternativa a quelli tradizionali (telefono, posta, fax). Sviluppo del mobile computing o del telelavoro, con una quantità crescente di dipendenti e lavoratori che chiedono di accedere ai dati e alle applicazioni da remoto, anche con strumenti tipici della It consumerization (smartphone e tablet), spesso personali (bring your own device). Se si considera questo scenario non si può non concludere che i perimetri Ict delle aziende sono sempre più sfumati con il mondo digitale esterno. Tanto che – benché non sia opportuno abbassare la guardia sulla difesa dei confini delle reti d’impresa (la maggior parte dei dati e delle applicazioni critiche risiedono ancora qui) – si fa sempre più forte la necessità di adottare un approccio alla sicurezza che prescinda dal perimetro fisico dell’azienda.
La security in questa nuova dimensione dell’Ict è diventata un argomento di scottante attualità. Da una parte non accennano a diminuire le minacce provenienti dalla cybercriminalità, che punta a sottrarre informazioni critiche (credenziali di accesso alle applicazioni, documenti personali, numeri di carte di credito, anagrafiche di clienti, dati finanziari ecc.) da rivendere sul mercato nero. Complice l’attuale situazione di crisi economica e competitività globale, a questa emergente tipologia di hacker, sempre più preparati, organizzati e finanziati, si sono aggiunte le “rogue nation” (stati canaglia) interessate a indebolire i sistemi industriali di altri Paesi (vedi articoli a pag. 35). Nonostante questo scenario da “cyber war”, le aziende che non vogliono perdere competitività, produttività e redditività, non possono non prendere in considerazione l’utilizzo dei nuovi modelli di fruizione dell’Ict. Queste includono il cloud computing (nelle sue diverse accezioni di privato, pubblico, ibrido), la mobility (anche con i device personali dei dipendenti), i social network (oggi, per esempio, le direzioni del personale utilizzano molto Linkedin per cercare nuove risorse, mentre gli uffici marketing lanciano compagne o interagiscono con nuovi segmenti di mercato via Facebook, Twitter, Pinterest).
Giovani imprenditori e sicurezza come investimento
Una testimonianza dell’attenzione che il mondo dell’impresa oggi presta all’abbraccio delle novità dell’Ict e alle necessità di rimodulare le strategie di sicurezza è stato, fra gli altri, il convegno “Sicurezza in azienda e… sulle nuvole: proteggi il tuo business”, organizzato dal Gruppo Giovani Imprenditori di Assolombarda nel corso dell’ultima edizione di Smau a Milano. Sotto la lente, c’era soprattutto il rapporto fra Pmi, cloud e security. Non è una novità, del resto, che proprio le Pmi – che notoriamente rappresentano la spina dorsale dell’economia italiana – siano il mercato nella maggior parte dei casi più allergico agli investimenti It. E quando alla fine investono, vuoi per la limitazione dei budget, vuoi per la mancanza di “educazione” It, spesso trascurano aspetti come la security, considerati ancora più costi che investimenti. “Le Pmi – ha osservato nel corso del convegno in Smau Umberto Sansovini, security consultant Ibm – hanno nel loro Dna l’attenzione verso il prodotto, non quella per la sicurezza It. Una grande azienda, invece, sovente dispone di un team dedicato alla security. Spesso le Pmi iniziano a preoccuparsi di questo tema dopo che è avvenuto un incidente”.
Umberto Sansovini, security consultant IbmDi fronte alla pressione esercitata dei propri dipendenti o dai media a sfruttare le nuove tecnologie digitali anche nel business, spesso gli imprenditori assumono atteggiamenti conservatori. Molti sono spaventati dalle notizie circa attacchi alle reti informatiche di aziende multinazionali o di istituzioni che periodicamente occupano mezze pagine dei quotidiani o spazi dei telegiornali. “Nella vita quotidiana – ha aggiunto Sansovini – ormai quasi tutti siamo abituati a scattare un foto con lo smartphone e a caricarla sul nostro album sul web, cioè in cloud. Se gli smartphone sono utilizzanti anche per motivi professionali, molte aziende chiedono di disattivare questi tipi di funzionalità. Tuttavia – ha concluso il security consultant Ibm – nel giro di un paio d’anni il ricorso al cloud sarà una normalità anche nei processi business di queste imprese”.
Del resto le soluzioni e le metodologie che consentono di sfruttare le opportunità della “nube” oggi esistono. Basta solo conoscerle e utilizzarle. O chiedere di farlo ai propri service provider.
“Molti utenti oggi – ha affermato Paolo Del Grosso, Infrastructure Leader di Cisco Italia – usano smartphone e tablet per accedere ai dati aziendali. Il 70-80% delle informazioni aziendali si trova nelle e-mail. Se questi dispositivi non sono messi in sicurezza, le aziende si trovano già con una importante breccia aperta”. La sicurezza dei mobile device è oggi alla portata di… clic così come per qualsiasi altro tipo di endpoint. Basta volerla. “È assurdo – ha chiosato Ferdinando Torazzi, Country manager di McAfee Italia – spendere 600 euro per acquistare uno smartphone o un tablet e non chiedere al cloud service provider un servizio di mobile security che costa magari tre euro al mese. I prezzi di questi servizi stanno diminuendo in modo impressionante. Un’azienda non dovrebbe considerarli come un costo, ma come un investimento”.
Anche per quanto riguarda l’uso di servizi di cloud computing la maggior parte dei timori delle aziende (soprattutto per quanto riguarda la confidenzialità dei dati trattati e archiviati su server esterni all’impresa) può oggi essere eliminata. Ma, è emerso con chiarezza al convegno organizzato dal Gruppo Giovani Imprenditori, è necessaria una nuova intesa fra aziende clienti e service provider. Come ha detto Torazzi, “gli operatori cloud conservano tutte le informazioni dei clienti sulla nuvola. Il compito di assicurare la protezione di questi dati dovrebbe essere prima di tutto loro. I clienti non dovrebbero sentirsi preoccupati della sicurezza dei loro dati. Detto questo, l’utente deve comunque essere informato. Deve sapere quello che può accedere, anche perché l’errore umano è sempre possibile, e discuterne con il fornitore è molto importante”. Ha così concluso Sansovini: “Nel caso si decida di ricorrere a un cloud service provider, è necessario verificare che abbia le soluzioni che possono garantire la sicurezza all’azienda. Quindi bisogna mettere bene nero su bianco gli impegni, definire Sla precisi. Eventualmente ricorrendo all’aiuto di qualcuno esperto in materia”.
