Il 5 ottobre si è svolto il webinar “Smart working: precauzioni per l’uso – Norme, protezione e sicurezza” grazie alla collaborazione tra Doxer, Fastweb, GBSAPRI e lo Studio Legale Giulia Guerrini.
Il webinar, coordinato e moderato da Andrea Bassi (owner gruppo Doxer), ha offerto spunti concreti per rendere lo Smart Working sicuro dal punto di vista informatico, assicurativo, normativo e giuslavoristico. Il tutto grazie all’intervento di esperti di diverse realtà che sono entrati nel merito dei loro specifici ambiti: aspetti tecnici, legali, di sicurezza e risk management.
LA FILOSOFIA DI FASTWEB
Alessandro Perrino, business innovation senior manager di Fastweb, ha evidenziato come l’azienda voglia passare da una visione oggi molto orientata al solo team di appartenenza ad una più ampia e collaborativa.
Seguire quindi la filosofia del «WORKING SMART» significa raggiungere di volta in volta i seguenti obiettivi:
- Attività da svolgere focalizzate o creative, individuali o collaborative.
- Spazi e worksetting appropriati per il tipo di attività e per i tempi di svolgimento, dentro l’azienda e da remoto, da casa, ma non solo.
- Strumenti tecnologici e processi per svolgerle in maniera efficace ed efficiente.
Per rendere al meglio la filosofia Fastweb Perrino ha riportato le parole dell’Amministratore Delegato Fastweb, Alberto Calcagno: “Smart working non significa dare un laptop ai propri dipendenti. Significa dare fiducia, delega e possibilità di esprimere il proprio coraggio. Fa parte di una profonda evoluzione culturale che mette l’uomo al centro. É su questo che bisogna investire per prima cosa e per tempo“.
SICUREZZA CYBER
Successivamente – sempre per l’azienda Fastweb – Renato Federico Russo, Security Solution Consultant, ha evidenziato la sicurezza informatica nell’ambito dello smart working.
Nel grafico vediamo nello specifico dati relativi agli attacchi cyber nel 2019 legati alla realtà italiana.
Russo, esponendo un caso reale, ha messo in luce alcune strategie di implementazione e di mitigazione nel breve, medio e lungo periodo, per ridurre gli attacchi.
Interventi a breve termine:
- isolare a livello network tutte le macchine che sono state interessate dalla compromissione (per impedire la propagazione del malware verso l’ambiente di DR).
- Verificare le attuali configurazioni dei firewall in modo da eliminare esposizioni non più utili e/o pericolose.
- Individuare dei flussi specifici verso i server, su cui prevedere di applicare un profilo di Intrusion Prevention, in accordo con il cliente (fase di testing) per evitare blocchi dovuti a falsi positivi.
- Predisporre il log management relativo al traffico definito lecito dal firewall per aumentare la visibilità e poter disporre di strumenti di analisi storica di eventuali anomalie.
Interventi a medio termine:
- abilitare la multi-factor authentication, tramite la dotazione di token software per i propri dipendenti, mitigando fortemente il rischio di compromissione dei collegamenti VPN.
- Implementare soluzioni di tipo EPP-EDR, in grado di applicare meccanismi di analisi non basati solo su signature, ma anche su machine learning e intelligenza artificiale ed in grado di applicare logiche di incident response.
- Effettuare una scansione con tool verticali per identificare le vulnerabilità in termini infrastrutturali e applicative per cominciare ad imbastire un piano di patching con i manutentori di sistema del cliente.
- Garantire la continuità di servizio dei servizi pubblicati (portali istituzionali, e-commerce, webmail, API), proteggendoli da attacchi DDoS e applicativi.
Interventi a lungo termine:
- garantire la sicurezza introducendo un’ecosistema fatto di persone, competenze e procedure strutturate per la gestione dell’attacco.
- layer tecnologico.
Ecco uno schema esemplificativo.
SMART WORKING: DISCIPLINA E APPLICAZIONI
L’avv. Giulia Guerrini ha illustrato invece la parte relativa all’aspetto normativo e giuslavoristico.
L’excursus legislativo dello smart working è incentrato su alcune date specifiche ed è relativamente “giovane”. Gli articoli che lo disciplinano (Artt. 18-23 L. 81/2017) sono pochi e si incentrano su due obiettivi primari da raggiungere:
- incrementare la competitività delle imprese;
- agevolare la conciliazione dei tempi di vita e lavoro.
Lo smart working, nonostante i notevoli vantaggi presenta molti problemi applicativi. Innanzitutto l’avv. Guerrini ha spiegato come non tutte le tipologie di lavoro siano compatibili con l’adozione di questo modello lavorativo e di come il calcolo stesso della produttività sia legato al singolo lavoratore e alle condizioni in cui si trova ad operare.
A questo proposito la Pubblica Amministrazione è stato un esempio di come, soprattutto nella fase iniziale, la mancanza di direttive adeguate ha portato rallentamenti ed inefficienze in questo settore.
SMART WORKING E CYBER RISK
Alberto Montuori, broker assicurativo ed Account Executive di GBSAPRI, dopo un excursus generico sul risk management e sul trasferimento dei rischi si è addentrato nel tema dei rischi cyber e delle relative coperture.
QUALI COSTI E DANNI
I danni che le aziende subiscono in conseguenza di un cyber attacco posso essere di diversa natura e posso incidere in maniera rilevante sul conto economico delle imprese. Tra questi ad esempio:
- costi diretti di:
- denuncia del “data breach” al GDPR (e delle relative comunicazioni a coloro i cui dati siano stati violati)
- ripristino dei sistemi
- riscatto
- investigazione
- onorari di esperti e consulenti
- danni:
- da interruzione di attività
- da perdita di fatturato
- reputazione (perdita di fiducia da parte di clienti e fornitori dell’azienda colpita).
- potenziale che la perdita od il furto di dati sensibili può causare alle persone cui detti dati si riferiscono.
Emerge, quindi, l’importanza di procedere ad un’analisi accurata dei rischi del caso e valutare l’impatto che eventuali danni avrebbero sull’attività aziendale. A tal fine il ruolo del Broker risulta strategico per il risk management, la ricerca di soluzioni personalizzate e la costruzione di un prodotto assicurativo ad hoc.
LA POLIZZA CYBER RISK
Una Polizza “Cyber Risk” correttamente strutturata consente di:
- Ricevere assistenza informatica e legale da parte di consulenti esperti al fine di prevenire eventuali attacchi e gestire l’eventuale intrusione nei sistemi aziendali;
- Coprire i danni subiti dall’azienda in conseguenza di un cyber attacco(costi di ripristino dei sistemi, costi di riscatto, costi di investigazione, danni da interruzione di attività e/o da perdita di fatturato) ;
- Coprire i danni che l’azienda potrebbe essere tenuta a pagare a terzi in conseguenza della perdita o del furto di dati sensibili che l’Azienda custodiva in qualità di Titolare del trattamento.
La stessa polizza concorre, inoltre, a rendere l’azienda più conforme all’osservanza delle misure minime di sicurezza che il GDPR (punto 32 «sicurezza del trattamento») pone a carico del titolare e del responsabile del trattamento. Essa può rientrare tra le “misure tecnico-organizzative idonea a garantire un adeguato livello di sicurezza”.
Montuori, in chiusura, ha accennato anche all’importanza di valutare l’opportunità di affiancare ad una polizza Cyber una polizza di Tutela Legale ad hoc. Questa infatti potrebbe consentire di opporsi alle ingenti sanzioni amministrative a cui si è esposti e di far fronte procedimenti di natura penale, piuttosto esosi..
Potrebbe interessarti anche: SMART WORKING: LA NUOVA NORMALITÀ?
