wwwirelesss!

Qualche giorno fa ho partecipato alla tavola rotonda organizzata da ZeroUno sul tema "mobilità e sicurezza".
Qui alcune riflessioni sui temi trattati: non concordo con l'autore su taluni aspetti, sopratutto perchè abbiamo opinioni completamente diverse sugli strumenti che consentono di operare in mobilità (in particolare, per me sono giocattoli irresistibili!). E' tuttavia stato lui a dire la frase che ho riportato nel precedente post, che sottoscrivo in pieno.

D'altro canto, come ho avuto modo di dire, la sicurezza è necessariamente un fattore "criticamente abilitante" se vogliamo veramente (o seriamente?) parlare di azienda che si muove. E purtroppo, tanto le tecnologie di base (i canali GSM, GPRS, WiFi, ...) che gli strumenti si dimostrano inadeguati, di per se, a sostenere l'obiettivo di abbattere i confini dell'azienda. Sono noti casi eclatanti nei quali l'installazione di un malware su un telefono consentirebbe di violare i server interni all'azienda (benchè il problema possa essere evitato con buone pratiche di compartimentazione dell'infrastruttura IT!). I limiti che ha esposto Telmon nel post sono assolutamente veri, e le aziende dovranno fare fatica solo per il fatto di ammettere al loro interno apparecchi con capacità di elaborazione e memorizzazione equivalente ad un PC di pochi anni fa, in grado di collegarsi a diverse tipologie di reti, ovvero i telefoni cellulari...
...e non solo: WiMax e tecnologie similari impongono scelte anche a coloro che l'azienda la vorrebbero lasciare chiusa: cosa fare quando la rete pubblica entrerà nella rete privata, ovvero quando tutti i dipendenti potranno essere contemporaneamente connessi alla rete pubblica wireless ed alla LAN?
Invero, questa condizione è già presente (connessione tramite cellulare), mitigata solo da fattori di costo, ed i problemi sono "circoscritti" ad azioni intenzionalmente mirate a compiere qualcosa di non lecito rispetto alle politiche aziendali, o illecite in quanto tali. Qualcosa per cui valga la pena di spendere qualcosa. Questo aspetto non è certamente rassicurante, ma presuppone una serie di violazioni di sicurezza e un margine di rischio *anche* per l'attaccante.
Al contrario, il prossimo futuro vede l'utente comune, al quale può essere semplicemente inibita la chat, passare da una connessione all'altra, con tutti i rischi che normalmente imputiamo all'utenza "mobile" che si collega a reti diverse, realmente muovendosi. Questo rischio è a mio avviso ben più grave del precedente, già attuabile, attacco intenzionale: vengono a mancare i presupposti che ci permettono di considerare casa propria come un ambiente realmente amministrato. Ovviamente, parlo in generale. Normalmente, in un ambiente "realmente amministrato" l'utente non dovrebbe passare da una connessione ad un'altra a suo piacimento.
Ma secondo uno degli interventi, pare proprio che il problema ad oggi, in molte aziende, sia ancora questo.

Mi chiedo quindi se il problema sia la mobilità in sè o il grado di "preparazione" dell'azieda "chiusa"....

Mobile sempre...

Mobilità e disponibilità: un problema talvolta quotidiano... Quasi in modo inconscio, le batterie di cellulari, auricolari, notebook, sono messe in carica preventivamente per il viaggio del giorno dopo, per la comune giornata di lavoro, ...
Da un certo punto di vista, poi, il telefono cellulare, paradossalmente, diviene 'modello di disponibilità': della posta elettronica, della comunicazione vocale, del dipendente dell'azienda che, con accrocchi di questo genere, può dire addio alla vetusta Reperibilità...
Questo, nonostante che il cellulare, di per se, sia molto lontano dal concetto di "infrastruttura critica", con quel che ne consegue. Ai vari fattori che concorrono a confermare questa ipotesi, (sarà capitato anche a voi di collegare il telefono all'alimentatore, ma non di attaccare l'alimentatore alla presa?) si aggiunge il fatto che la copertura non è sempre ideale, e non solo per "il vocale" ma anche su servizi applicativi: da pochi giorni a questa parte si scopre come un servizio orientato all'utenza business, e non "banalmente" corporate, può abbandonarci in ogni momento (forse il tono è un poco apocalittico, scusate...). Non si parla di attacco, e le dichiarazioni citate nell'articolo specificano che non si tratta di un problema di sicurezza.
Vabbuò, chiariamo meglio: non si tratta di un evento avvenuto a fronte di un atto intenzionale, ma la disponibilità non è pur sempre una delle tre dimensioni nelle quali si declina la Sicurezza?
Per l'utente finale, non aver ricevuto le e-mail per un test-bed male congegnato o per un DDoS, fa qualche differenza?
Si: nel primo caso, ci si chiede come mai un servizio così diffuso geograficamente, con un numero di utenti così elevato, che fa della disponibilità dei dati "al secondo, ovunque e comunque" la sua bandiera, nonostante le dovute misure di Business Continuity e Disaster Recovery, abbia un qualche (single) Point of Failure in grado di causare effetti in mezzo mondo. Ci si chiede quindi, cosa sia effettivamente successo (a distanza di giorni non è giunta una risposta). Si dimostra poi concretamente quali siano gli effetti di talune logiche di servizio che non spostano il rischio, ma ne precludono la gestione. Questo, se vogliamo, è uno dei nodi più critici che l'Azienda "mobile" oggi deve affrontare. I paradigmi della mobilità creano una rarefazione nella determinazione dei ruoli/responsabilità (es:erogatore e fruitore), per i quali la gestione del rischio non sempre ha dei modelli chiari di analisi e strumenti adatti per delle risposte.
Come stimo l'impatto dei servizi di connettività sulla produttivilità del personale, quando questo è mobile? E come tratto questo rischio?
L'ufficio mobile virtuale non ha una connessione di rete, ovvero può avere, ad esempio, un Operatore, il cui ruolo è sminuito in caso di roaming. Ma se il roaming non funziona, per colpa dell'Operatore locale? Se si pensa che la disponibilità della connessione di rete per il lavoro quotodiano per i dipendenti è un elemento di analisi da pochi anni a questa parte, che dire di questi nuovi scenari?
Certo era più semplice (e qui molti sorrideranno per esperienze purtroppo recenti) quando il problema era "solo" il cavo portato fisicamente fino all'azienda!
Ad un "collega" ricordo che ha avuto pienamente ragione in una dichiarazione, qualche tempo fa (e qui cerco di riportare, spero correttamente, le sue parole):

cambiano le tecnologie ma i problemi sono sempre gli stessi, e si manifestano pressochè nella medesima forma. Peccato che le soluzioni sono allo stesso modo le medesime, ma bisogna passare attraverso agli stessi problemi per vederle attuare...

(e con una certa indignazione)

Possibile!?