BYOD (Bring Your Own Device)

Il BYOD copre un ampio spettro di situazioni. A un estremo, il dipendente legge la posta di lavoro sul telefono personale. All'altro, l'intero lavoro si svolge su un computer di proprietà domestica. Tutte le varianti hanno un tratto in comune: il dispositivo appartiene al dipendente, quindi l'autorità dell'organizzazione su di esso si basa su contratti e policy, non su un controllo amministrativo.

Il caso più comune è uno smartphone personale che contiene posta di lavoro, messaggistica e documenti accanto a foto di famiglia e account privati. Il più difficile è un computer domestico, il cui sistema operativo, gli aggiornamenti e il software installato sono fuori dalla portata dell'IT. Tablet e dispositivi secondari, usati per la lettura, i viaggi e le reperibilità, spesso mancano nella policy, e gli strumenti non gestiti che colmano il vuoto sono una forma di shadow IT.

Molte organizzazioni consentono i dispositivi personali solo in parte: posta e calendario sul telefono personale, ma nessun accesso ai dati di produzione. Dove passa questo confine è una decisione di policy, di solito applicata con regole di accesso più che con la fiducia.

I rischi derivano direttamente dalla proprietà. Quando i dati escono dal perimetro gestito, i controlli che dipendono dalla gestione dell'endpoint smettono di funzionare.

La perdita è ciò che pesa di più. Un telefono non cifrato con la casella sincronizzata può trasformare un dispositivo smarrito in una violazione di dati che potrebbe dover essere notificata secondo le norme sulla comunicazione delle violazioni.

Il BYOD incide in entrambe le direzioni. L'organizzazione non può controllare del tutto il dispositivo, e i dipendenti temono l'estremo opposto: uno strumento del datore di lavoro su un telefono che contiene anche la loro vita privata. Monitorare un dispositivo personale significa toccare foto di famiglia, messaggi privati e dati di posizione, per questo in molte giurisdizioni la sorveglianza generalizzata dell'hardware BYOD è limitata. Secondo il GDPR il monitoraggio deve essere proporzionato e trasparente. In diversi paesi europei, tra cui la Germania, i rappresentanti dei lavoratori devono approvare questi sistemi prima dell'installazione.

La soluzione pratica è la separazione. Un contenitore o un profilo di lavoro gestito contiene posta, file e applicazioni aziendali, e il controllo dell'organizzazione si ferma al suo confine. La parte personale resta privata, e la cancellazione remota, quando concordata, si limita al contenitore. Strumenti come il monitoraggio delle attività degli utenti vanno usati solo su computer di proprietà dell'organizzazione, e lo scopo va messo per iscritto prima dell'attivazione.

Il BYOD è un punto su uno spettro di proprietà, e molte organizzazioni passano a un'opzione intermedia dopo il primo incidente legato al BYOD. I modelli differiscono per chi acquista il dispositivo, chi sostiene l'onere del controllo e dove si colloca il confine della privacy.

I programmi maturi combinano la policy con livelli tecnici, applicati in proporzione a ciò che il dispositivo può raggiungere:

• Policy di uso accettabile: a che cosa può accedere un dispositivo personale, quali controlli di base come blocco schermo e cifratura sono obbligatori e che cosa succede alla cessazione del rapporto.
• MDM e MAM: la gestione dei dispositivi mobili impone la sicurezza di base sui dispositivi registrati, mentre la gestione delle app mobili riguarda solo le app di lavoro.
• Contenitori e profili di lavoro: uno spazio separato contiene i dati aziendali, è cifrato a parte dal contenuto personale e può essere cancellato senza toccarlo.
• Accesso condizionale: i servizi aziendali ammettono un dispositivo solo se è registrato, cifrato e aggiornato.
• Controllo dei dispositivi sull'endpoint: sulle postazioni aziendali, le regole decidono che cosa accade quando un telefono o una chiavetta personale viene collegata via USB: audit, lista di autorizzazione, sola lettura o blocco. Vedi il controllo dei dispositivi USB.

Anexet copre il lato aziendale del punto di contatto. Gli agenti girano sui computer dell'organizzazione, e il DLP sull'endpoint controlla il contenuto su quelle macchine, qualunque sia la destinazione. Il dispositivo personale resta fuori dal prodotto, come mostra la tabella.

Quando un telefono o una chiavetta personale viene collegato a una postazione aziendale, le regole di controllo dei dispositivi decidono che cosa succede. Il primo fotogramma mostra come audit dei dispositivi, accesso allo storage e controllo della scrittura per contenuto vengano attivati per un profilo agente. Il secondo mostra che cosa elenca la console per un singolo computer.

1 / 2

• 
• 

Inizia dai dati la cui fuga farebbe più danni, poi dai canali che usano davvero, inclusi i supporti rimovibili e i dispositivi personali collegati ai computer aziendali. Le policy scritte per tutti i dispositivi insieme finiscono per bloccare il lavoro e vengono disattivate.

Un programma BYOD funziona quando l'organizzazione sa dire quale dispositivo contiene quali dati. Lo si metta per iscritto prima di scegliere gli strumenti, poi lo si confronti con l'inventario dei dispositivi a intervalli regolari.

Per approfondire: Sicurezza informativa in ufficio; Come prevenire l'accesso non autorizzato al tuo computer.