Pratiche It obsolete forniscono troppo facilmente l’accesso di default causando ricorrenti problemi di sicurezza. Per Roger Howell Director, Sales Engineering Western & South Eastern Europe di Citrix, è giunto il momento di pensare in modo diverso: l’accesso dovrebbe essere specifico e modulato a seconda dell’obiettivo.
Immaginate una classica procedura di accesso, dice Howell. Che cosa accade quando si inviano le proprie credenziali al momento login? Accade che l’utente si ritrova in possesso di un pass di accesso… praticamente a tutto. E non è detto che tutte le applicazioni e i dati a cui ha accesso in virtù del suo ruolo e dei suoi privilegi gli serva effettivamente in quel momento e per quel particolare obiettivo a cui sta lavorando.
Al fine di prevenire l’utilizzo e la divulgazione impropria di informazioni sensibili, senza venir meno alle istanze di conformità, tutelando la privacy e garantendo la proprietà intellettuale, l’accesso alle applicazioni critiche e ai dati deve essere rigorosamente controllato.
In fase di trasmissione, di utilizzo e di giacenza, i dati sensibili soffrono di eccessiva esposizione nel momento in cui si dispone di un accesso così largo e, sfortunatamente, le continue falle nella sicurezza dei sistemi ci ricordano questa lezione fin troppo spesso.
A rendere anche più grave questa situazione, oggi accade che le credenziali di accesso vengano memorizzate dai precedenti login.
Per essere allineati con l’obiettivo che ci si propone, secondo Howell l’accesso ai dati deve essere coerente e in qualche modo proporzionale al loro livello di sensibilità e deve essere funzionale alla situazione in cui ci si trova.
Questo tipo di approccio viene chiamato accesso contestuale e le policy a esso relative si basano sugli elementi di fiducia delle 5W dell’accesso (who, what, when, where e why), che accordano il permesso per un utilizzo specifico solo quando gli obiettivi di fiducia richiesti vengono verificati e soddisfatti end-to-end.
L’accesso contestuale è un processo continuo che parte dalla richiesta, passa per l’abilitazione all’utilizzo di dati specifici per arrivare a coinvolgere le politiche dinamiche che regolano il ciclo di vita della sicurezza dei dati.
Se la promessa dell’accesso contestuale e la limitazione dell’All Access Pass sono stati un obiettivo per molti anni, la loro attuazione è stata tutt’altro che soddisfacente.
Tutti gli elementi necessari, tra cui: l’autenticazione a più fattori (MFA), la gestione dell’identità dinamica, l’analisi degli endpoint, la cifratura, l’Information Rights Management (IRM), le politiche di rete e di utilizzo dei dati specifici dell’applicazione sono stati eccessivamente difficili da mettere in pratica e gestire a livello di soluzione di sicurezza end-to-end. Fortunatamente, la continua evoluzione delle tecnologie di virtualizzazione e containerizzazione ci rende molto più vicini a raggiungere l’obiettivo di cambiare il tradizionale approccio all’accesso.
Di seguito riportiamo due esempi fattici da Howell, rappresentativi di come la virtualizzazione e “containerizzazione” facilitino l’attuazione di un modello di accesso contestuale:
Necessità: l’organizzazione richiede che la possibilità di copiare i dati da un’applicazione all’altra sia limitata. Questa esigenza è particolarmente critica poiché ha il fine di rallentare la fuoriuscita di dati da applicazioni basate sul cloud e SaaS, oltre che per la gestione degli utenti home-based e l’accesso di terzi.
Soluzione: Utilizzare la virtualizzazione per vietare l’utilizzo del copia e incolla, o istituire una one-way clipboard policy che preveda il filtraggio del formato permettendo la copia o l’esportazione di solo alcuni dati specifici. Il filtro dei formati specifica inoltre che i dati copiati e incollati possono essere solo testo, rich text, HTML o bitmap (per citarne alcuni). E le policy possono essere applicate a tutti i livelli, a gruppi o per singole applicazioni.
Necessità: L’utilizzo dei dati deve essere limitato a determinati ruoli e ad alcuni team che lavorano su progetti definiti. L’Enclaving è essenziale per controllare la proprietà, la distribuzione, le diverse versioni e la scadenza all’interno di un ciclo di vita dei dati dinamico che comprende gli utenti BYO, i contractor, il personale sempre in viaggio e terze parti con dati altamente sensibili (ad esempio i legali).
Soluzione: Implementare la containerizzazione attraverso enclavi specifici di dati e applicazioni consente di proteggere i dati aziendali, le policy BYO e l’utilizzo degli stessi dati da parte di utenti terzi in completa sicurezza. I container sono crittografati e gestiti a livello aziendale, con stretti controlli sulle modalità con cui i dati possono essere copiati, esportati o condivisi. I dati possono essere cancellati dinamicamente alla scadenza del progetto, mentre le informazioni sulle le policy di gestione dei diritti sono applicate continuamente. Inoltre il digital watermarking aiuta a identificare la proprietà, è abilitata l’autenticazione a più fattori e log specifici di utilizzo consentono infine di abilitare la governance.
