Cosa si intende per dispositivi gestiti e non gestiti? Come proteggerli?

Con l'evoluzione dei moderni modelli di lavoro tra modalità remote, ibride e in ufficio, il confine tra dispositivi personali e aziendali non è più netto. I dipendenti alternano laptop, smartphone e tablet; alcuni forniti dall'IT, altri di proprietà personale e spesso utilizzati nello stesso flusso di lavoro.

Questa diversità di dispositivi ha creato una duplice sfida per i team IT: proteggere i dispositivi gestiti (di proprietà aziendale) e, al contempo, il crescente numero di dispositivi non gestiti (BYOD). 

Analizziamo nel dettaglio la differenza tra dispositivi gestiti e non gestiti, cosa implicano per la tua sicurezza e come proteggere entrambi senza complicare la vita agli utenti o al tuo team di conformità.

Dispositivi gestiti e non gestiti (BYOD): qual è la differenza?

Quando si sviluppa una moderna strategia di gestione dei dispositivi, è fondamentale comprendere in che modo i dispositivi di proprietà aziendale e quelli di proprietà dei dipendenti differiscono non solo in termini di proprietà, ma anche nel modo in cui sono configurati, protetti e monitorati.

Cosa sono i dispositivi gestiti?

I dispositivi gestiti sono endpoint di proprietà dell'organizzazione e registrati in una soluzione di gestione centralizzata dei dispositivi, come un software Unified Endpoint Management (UEM). Questi dispositivi sono completamente sotto il controllo IT, consentendo agli amministratori di applicare policy di sicurezza, inviare aggiornamenti di sistemi operativi e app, configurare le impostazioni delle policy, monitorare le attività dei dispositivi e degli utenti e, se necessario, risolvere i problemi da remoto.

Le caratteristiche principali dei dispositivi gestiti includono: 

• Hardware di proprietà aziendale
• Iscritto alla piattaforma MDM/UEM
• Visibilità e controllo completi per i team IT
• Criteri di sicurezza applicati (crittografia, gestione delle applicazioni, criteri di passcode, ecc.)
• Ideale per uso aziendale con poco o nessun utilizzo personale

Caso d'uso: Un'azienda di logistica fornisce al personale addetto alle consegne tablet Android preconfigurati solo con app lavorative e bloccati tramite la modalità chiosco per impedirne l'uso improprio.

Cosa sono i dispositivi non gestiti (BYOD)?

Dispositivi non gestiti, comunemente denominati BYOD (Porta il tuo dispositivo), sono smartphone, laptop o tablet personali che i dipendenti utilizzano per accedere alle risorse aziendali. Questi dispositivi non sono completamente registrati in un UEM, ma possono disporre di controlli di sicurezza semplificati, come la containerizzazione o la gestione basata su app, per proteggere i dati aziendali.

Caratteristiche principali:

• Hardware di proprietà dei dipendenti
• Controllo limitato o nullo a livello di dispositivo da parte dell'IT
• Separazione dei dati tramite contenitori o policy specifiche per app
• Rischio potenzialmente più elevato a causa di modelli di utilizzo personali
• Spesso utilizzato in ambienti di lavoro ibridi o remoti

Caso d'uso:

Un dipendente accede alla posta elettronica di lavoro e alle app aziendali dal proprio iPhone personale, che dispone di un contenitore di lavoro sicuro gestito dalla soluzione UEM dell'azienda.

BYOD è un rischio per la sicurezza? No, se gestito correttamente

Il BYOD gode spesso di una cattiva reputazione negli ambienti IT, e non del tutto senza ragione. I dispositivi personali presentano configurazioni variabili, superfici di minaccia sconosciute e visibilità IT limitata. 

Ma ecco la verità: BYOD non è intrinsecamente insicuro. 

Il vero rischio risiede nel modo in cui viene gestito o gestito male. 

Se configurato con i giusti controlli, il BYOD può essere sicuro e flessibile. Gli strumenti di gestione odierni semplificano la protezione dei dati senza ostacolare gli utenti.

Strumenti moderni che consentono un BYOD sicuro

• Soluzioni UEM con registrazione BYOD: I principali UEM ora supportano BYOD con controllo selettivo, utilizzando contenitori e profili anziché la gestione completa dei dispositivi.
• Containerizzazione: Crea uno spazio di lavoro sicuro e isolato sui dispositivi personali. I dati di lavoro rimangono crittografati, protetti da policy e cancellabili senza intervenire sui contenuti personali.
• Accesso condizionato e zero-trust: Applica regole di accesso basate sullo stato del dispositivo, sul sistema operativo, sulla posizione e sulla conformità. Solo i dispositivi verificati possono accedere alle app aziendali.

Grazie a questi strumenti, il BYOD smette di essere un vettore di rischio e diventa un'estensione controllata e sicura dell'ecosistema aziendale.

Scegliere la strategia giusta per i dispositivi: gestiti, non gestiti o entrambi?

Non esiste un approccio universale quando si tratta di strategia per gli endpoint. La combinazione giusta, che si tratti di dispositivi gestiti, BYOD o entrambi, dipende dalle operazioni aziendali, dalle esigenze di conformità e dal modo in cui lavorano i team. 

Nella pratica, molte organizzazioni combinano le due opzioni: dispositivi gestiti per i ruoli che richiedono un controllo rigoroso e BYOD sicuro per la flessibilità in situazioni di rischio ridotto. Per raggiungere questo equilibrio, i responsabili IT devono valutare sia le priorità a livello aziendale sia i requisiti a livello di dispositivo, in termini di controllo, costi ed esperienza utente.

Fattori aziendali da considerare:

• Conformità normativa: Nei settori sanitario, finanziario e aeronautico, i dispositivi completamente gestiti e crittografati sono la soluzione predefinita.
• Posizione di sicurezza: Le organizzazioni ad alto rischio (ad esempio, appaltatori governativi, infrastrutture critiche) necessitano di un controllo che i modelli BYOD non possono garantire completamente. 
• Modello di lavoro: I luoghi di lavoro remoti utilizzano in modo efficace sia i dispositivi gestiti che quelli BYOD, poiché i dispositivi gestiti garantiscono coerenza IT; il BYOD aggiunge flessibilità e velocizza l'onboarding.
• Risorse IT e spese generali: La gestione dei dispositivi aziendali richiede molte risorse, mentre il BYOD riduce i costi hardware ma complica l'applicazione delle policy.
• Esperienza utente e flessibilità: Il BYOD funziona quando l'accesso è fluido e i dati personali rimangono privati. Questo aumenta la soddisfazione e la produttività degli utenti. 

Fattori specifici del dispositivo da valutare: 

Come proteggere i dispositivi gestiti

La protezione dei dispositivi gestiti è un elemento fondamentale di qualsiasi strategia IT aziendale. I team IT possono proteggere il sistema operativo, le app, i dati e l'accesso alla rete senza dipendere da utenti o strumenti di terze parti.

Con un Soluzione di gestione unificata degli endpoint (UEM). Una volta implementate, le organizzazioni possono applicare queste misure su larga scala, su Android, iOS, Windows, macOS, ChromeOS e Linux.

Ecco come le organizzazioni moderne possono proteggere efficacemente i propri dispositivi gestiti:

1. Gestione degli aggiornamenti e delle patch del sistema operativo

Mantenere il sistema operativo aggiornato è imprescindibile. Le soluzioni UEM consentono ai team IT di automatizzare gli aggiornamenti del sistema operativo e di distribuire patch di sicurezza senza l'intervento manuale dell'utente.

• Per Android, ciò include aggiornamenti tempestivi della versione del sistema operativo per ridurre al minimo il rischio di vulnerabilità note.
• Per Windows, ChromeOS e macOS, gli UEM possono applicare sia aggiornamenti importanti sia patch di sicurezza critiche su tutti gli endpoint.
• Ciò garantisce che tutti i dispositivi siano costantemente conformi agli standard di sicurezza e alle funzionalità più recenti.

2. Patching delle applicazioni di terze parti

Oltre al sistema operativo, la maggior parte delle vulnerabilità si trova nelle applicazioni di terze parti. Gli UEM consentono ai team IT di:

• Monitora e applica patch alle app più comunemente utilizzate, come browser, strumenti di messaggistica e suite di produttività
• Automatizza gli aggiornamenti per app come Zoom, Chrome e Slack
• Ridurre i rischi senza dipendere dall'azione dell'utente

3. Crittografia dei dati

I dati devono rimanere protetti quando sono inattivi. Gli UEM possono applicare protocolli di crittografia nativi su tutte le piattaforme dei dispositivi. Ad esempio: 

• Crittografia BitLocker per endpoint Windows.
• Crittografia FileVault per dispositivi macOS.

Ciò garantisce che, anche se un dispositivo viene smarrito o rubato, i dati rimangano illeggibili e protetti da accessi non autorizzati.

4. Modalità chiosco

Per i dispositivi di prima linea di proprietà aziendale, modalità kiosk limita l'utilizzo a una singola app o a un set predefinito di app e aiuta a: 

• utilizzando modalità chiosco con app singola per bloccare i dispositivi su un'app specifica o su un gruppo selezionato di app.
• Nelle casse dei negozi, negli strumenti da campo e nei chioschi di feedback
• Aumentare la concentrazione e la produttività limitando le distrazioni
• Ridurre al minimo i rischi per la sicurezza bloccando l'accesso non necessario al sistema

5. Autenticazione del dispositivo (controlli di accesso contestuali)

Utilizzando parametri contestuali, l'IT può:

• Definisci regole di accesso in base al contesto, come ora, posizione e rete
• Limitare l'accesso durante le ore non lavorative o da aree geografiche rischiose
• Fare domanda a 'stile tessera magnetica' logica per consentire solo condizioni di accesso attendibili
• Impedisci l'accesso non autorizzato senza una supervisione manuale costante

6. Accesso amministrativo Just-in-Time (JIT)

I diritti di amministratore permanenti rappresentano una responsabilità in materia di sicurezza. Accesso just-in-time (JIT) Consente l'elevazione temporanea dei privilegi per attività specifiche, revocando automaticamente i diritti di amministratore dopo un periodo di tempo predefinito. Questa funzionalità è particolarmente utile per desktop e laptop gestiti, poiché garantisce che gli utenti abbiano accesso elevato solo quando assolutamente necessario e non un secondo di più.

7. Tunneling VPN

Un tunnel sicuro e crittografato è essenziale quando i dispositivi si connettono a reti pubbliche o domestiche. Le soluzioni di sicurezza degli endpoint integrate in UEM possono imporre l'utilizzo di VPN sempre attive o condizionate, garantendo che tutto il traffico aziendale venga instradato attraverso canali sicuri. Questo protegge i dati in transito e nasconde le attività aziendali da malintenzionati.

8. Filtraggio dei contenuti Web

Limitando l'accesso a siti web non lavorativi o dannosi, il filtraggio web previene l'esposizione accidentale a phishing, malware o contenuti non necessari. Gli amministratori possono bloccare direttamente categorie di dominio specifiche, come social media, contenuti per adulti o e-commerce, aumentando la produttività e migliorando al contempo l'igiene degli endpoint.

9. Autenticazione Wi-Fi e VPN basata su certificato

Anziché affidarsi a credenziali condivise, gli UEM possono distribuire certificati digitali agli endpoint per un'autenticazione di rete fluida e sicura. Questa soluzione è particolarmente efficace sui dispositivi Android e Windows aziendali, consentendo una connettività zero-touch a reti e VPN approvate.

10. Criteri di autenticazione e codice di accesso

L'obbligo di utilizzare codici di accesso complessi e regolarmente aggiornati è fondamentale. Queste misure riducono il rischio di accessi non autorizzati ai dispositivi. Gli UEM possono imporre:

• Complessità minima del codice di accesso
• Requisiti di autenticazione biometrica
• Blocco automatico dopo periodi di inattività

11. Integrazione con Mobile Threat Defense (MTD)

 L'integrazione UEM e MTD estende la protezione contro minacce specifiche per dispositivi mobili come:

• Dispositivi rooted o jailbroken
• App dannose
• Connessioni Wi-Fi non protette
  Gli UEM possono attivare risposte automatiche, come l'isolamento o la cancellazione dei dati del dispositivo, quando vengono rilevate minacce.

12. Restrizioni periferiche

Per impedire il trasferimento non autorizzato di dati, gli UEM possono bloccare l'utilizzo di periferiche come porte USB, slot per schede SD e dispositivi di archiviazione esterni come chiavette USB e dischi rigidi. Questa funzionalità è richiesta nei settori regolamentati e per proteggere i dati sensibili.

13. Tracciamento della posizione e geofencing

Gli UEM forniscono monitoraggio della posizione in tempo reale per dispositivi smarriti o rubati. Inoltre, il geofencing consente agli amministratori di creare confini virtuali e applicare policy basate sulla posizione. Ad esempio, disabilitare la fotocamera o bloccare determinate app quando un dispositivo entra in una struttura protetta.

14. Gestione della configurazione di rete

Gli amministratori possono configurare da remoto le impostazioni Wi-Fi, VPN e proxy su flotte di dispositivi. È possibile limitare l'utilizzo del Wi-Fi pubblico e applicare automaticamente le restrizioni alle reti aziendali sicure, riducendo il rischio di attacchi man-in-the-middle (MitM).

15. Criteri utente, dispositivo e sottogruppo

Gli UEM supportano il raggruppamento logico di utenti e dispositivi in base a ruoli, posizione o reparto. Ciò consente l'applicazione di policy personalizzate, una delega più semplice del controllo IT e una gestione scalabile del ciclo di vita dei dispositivi.

16. Controllo delle impostazioni di comunicazione

L'IT può regolare le funzionalità di comunicazione dei dispositivi, come chiamate telefoniche in uscita, SMS/MMS e condivisione Bluetooth. Limitare queste funzionalità aiuta a prevenire l'esfiltrazione di dati e a far rispettare le policy aziendali.

17. Monitoraggio e gestione remota (RMM)

Gli amministratori possono applicare comandi come blocco, riavvio, cancellazione o ripristino da una console centrale. I parametri di integrità del dispositivo, inclusi batteria, memoria e storage, possono essere monitorati in tempo reale. La risoluzione dei problemi da remoto riduce inoltre al minimo i tempi di inattività e le esigenze di supporto in loco.

18. Monitoraggio e correzione automatizzati della conformità

Grazie al monitoraggio continuo e automatizzato, i dispositivi vengono analizzati in modo proattivo per individuare eventuali problemi di conformità, come crittografia disabilitata, sistema operativo obsoleto o dispositivi non conformi alle policy; la correzione automatica si attiva immediatamente. Azioni come:

• Blocco automatico dello schermo
• Visualizzazione di messaggi di avviso
• Cancellazione dei dati aziendali

aiutare a mantenere la sicurezza senza intervento manuale.

Come gestire i dispositivi non gestiti (BYOD)

La gestione e la protezione dei dispositivi non gestiti o BYOD (Bring Your Own Device) presentano sfide specifiche. Poiché l'organizzazione non possiede o non controlla completamente questi dispositivi, può essere più difficile applicare misure di sicurezza standard. Tuttavia, con gli strumenti e le strategie giuste, i team IT possono garantire che i dispositivi BYOD rimangano conformi agli standard di sicurezza aziendali.

Ecco come le organizzazioni possono proteggere i dispositivi non gestiti:

1. Containerizzazione

La containerizzazione è uno dei metodi più efficaci per separare i dati di lavoro da quelli personali sui dispositivi BYOD. Un container di lavoro incapsula app, dati e documenti aziendali, mantenendoli isolati dalle app e dai file personali dell'utente. 

Ciò garantisce la protezione delle informazioni aziendali sensibili anche in caso di compromissione della parte personale del dispositivo. Con le soluzioni UEM, la containerizzazione consente anche un controllo granulare sulle app di lavoro, ad esempio applicando la crittografia, controllando l'accesso ai dati e persino cancellando da remoto il contenitore di lavoro senza compromettere i dati personali.

2. Gestione dell'applicazione

Sebbene i dispositivi BYOD non siano gestiti centralmente, i team IT possono comunque controllare le app distribuite nel contenitore di lavoro su questi dispositivi. Gli amministratori possono bloccare e consentire le applicazioni o creare un elenco di applicazioni consentite che possono essere applicate per garantire che gli utenti finali abbiano accesso solo alle applicazioni affidabili. 

Inoltre, le configurazioni delle app gestite possono essere applicate per configurare le app in base alle policy aziendali. Ad esempio, le organizzazioni possono imporre impostazioni come la limitazione della funzionalità di copia e incolla per i documenti sensibili.

3. Applicazione delle politiche di sicurezza

Per garantire la sicurezza dei dati di lavoro sui dispositivi BYOD, le organizzazioni possono applicare una serie di policy di sicurezza al contenitore di lavoro, ad esempio:

• Crittografia dei dati relativi al lavoro archiviati nel contenitore (per garantire la protezione dei dati anche in caso di smarrimento o furto del dispositivo).
  
• Policy di passcode per i contenitori di lavoro, che richiedono agli utenti di inserire un passcode complesso prima di accedere alle risorse aziendali. Questo può includere opzioni di autenticazione biometrica come la scansione delle impronte digitali o il riconoscimento facciale per una maggiore sicurezza.
• Applicando queste policy, le organizzazioni possono ridurre il rischio di accessi non autorizzati ai dati aziendali, consentendo al contempo agli utenti di mantenere separati i propri dati personali.

4. Accesso condizionato alla posta elettronica

La posta elettronica è spesso un vettore primario per le violazioni dei dati, soprattutto sui dispositivi BYOD, dove il proprietario del dispositivo ha la flessibilità di installare e utilizzare app di terze parti. Per proteggere l'accesso alla posta elettronica, le organizzazioni possono utilizzare policy di accesso condizionale per garantire che solo i dispositivi che soddisfano specifici requisiti di sicurezza, come la crittografia del dispositivo, il livello di versione del sistema operativo, ecc., possano accedere agli account di posta elettronica aziendali. Ciò garantisce che, anche se il dispositivo non è completamente conforme, l'accesso alla posta elettronica aziendale possa essere limitato o controllato.

5. Prevenzione della perdita di dati (DLP) a livello di contenitore

Data Loss Prevention (DLP) Le funzionalità possono essere applicate a livello di contenitore per garantire che i dati aziendali all'interno del contenitore di lavoro non vengano condivisi in modo inappropriato. Ciò può includere:

• Limitazione della funzionalità copia-incolla dalle app di lavoro alle app personali o ad altre aree non autorizzate.
• Disabilitazione degli screenshot per impedire che dati riservati vengano acquisiti e condivisi.
• Limitare la condivisione dei file tra app di lavoro e personali per impedire trasferimenti di dati non autorizzati.
  Gli strumenti DLP a livello di contenitore garantiscono che, anche se un dispositivo viene compromesso o smarrito, le informazioni sensibili rimangano protette.

6. Gestione dei contenuti

La gestione dei contenuti sui dispositivi BYOD, in particolare documenti e file che fanno parte del contenitore di lavoro, è fondamentale per garantire la sicurezza dei dati. I team IT possono applicare policy che stabiliscono quali contenuti sono accessibili e come possono essere utilizzati. 

Ad esempio, i documenti potrebbero essere visualizzabili solo all'interno di app specifiche e il download o la stampa di documenti potrebbero essere limitati per impedire l'esfiltrazione non autorizzata di dati. I sistemi di gestione dei contenuti garantiscono che i dipendenti possano comunque accedere ai documenti di lavoro necessari senza compromettere la sicurezza.

7. Supporto remoto

In caso di incidente di sicurezza o di necessità di assistenza da parte di un utente, gli strumenti di supporto remoto consentono agli amministratori IT di risolvere i problemi o fornire soluzioni direttamente sui dispositivi BYOD. Ad esempio, se un dispositivo BYOD viene compromesso o un dipendente riscontra un problema che potrebbe portare a una violazione della sicurezza, l'IT può accedere da remoto al dispositivo, monitorarne lo stato e applicare le necessarie policy o correzioni di sicurezza. Ciò garantisce una rapida risoluzione dei problemi, mantenendo al contempo la sicurezza del dispositivo.

Con Scalefusion, la protezione dei dispositivi gestiti e non gestiti diventa semplice

Con la crescita del lavoro ibrido e dell'adozione del BYOD, la protezione dei dispositivi gestiti e non gestiti è diventata una responsabilità IT fondamentale. Scalefusion aiuta i team IT a gestire e proteggere i dispositivi su piattaforme come Windows, Android, iOS, macOS, Linux e ChromeOS.

L'IT può applicare centralmente le policy di sicurezza utilizzando i profili dei dispositivi, garantendo la conformità sia dei dispositivi aziendali che di quelli personali. Grazie a controlli automatizzati e a un'applicazione coerente, Scalefusion riduce i rischi senza dover ricorrere all'intervento dell'utente.

Protegge inoltre i dati sensibili mantenendo i dispositivi intuitivi, garantendo flessibilità senza compromettere la sicurezza. Che i dispositivi siano aziendali o di proprietà dei dipendenti, Scalefusion semplifica la conformità e la gestione del rischio senza la consueta complessità.

Domande Frequenti

 1. Che cos'è la gestione dei dispositivi di sicurezza?

La gestione dei dispositivi di sicurezza prevede l'utilizzo di strumenti come UEM o MDM per monitorare, configurare e applicare policy di sicurezza su dispositivi aziendali e personali. Garantisce la protezione dei dati sensibili, il rispetto dei requisiti di conformità e la sicurezza dei dispositivi attraverso il controllo degli accessi, l'applicazione di patch e l'applicazione della crittografia.

2. I dispositivi BYOD possono essere conformi alle normative di settore come HIPAA o GDPR?

Sì, i dispositivi BYOD possono essere conformi a normative come HIPAA o GDPR se vengono applicate le giuste misure di sicurezza. Con UEM, containerizzazione e prevenzione della perdita di dati (DLP), le aziende possono proteggere i dati sensibili sui dispositivi personali tramite crittografia, cancellazione remota e accesso condizionale, garantendo la conformità e impedendo al contempo l'accesso non autorizzato.

5. Perché i dispositivi non gestiti sono pericolosi?

I dispositivi non gestiti sono rischiosi perché privi di controlli di sicurezza centralizzati, lasciando i dati aziendali sensibili esposti a minacce come malware, perdite di dati e accessi non autorizzati. Senza un monitoraggio o una crittografia adeguati, questi dispositivi possono facilmente diventare punti di accesso per attacchi informatici. La mancanza di misure di sicurezza coerenti rende difficile applicare le policy e garantire che i dispositivi personali soddisfino gli standard di sicurezza dell'organizzazione.

3. Quali sono i principali rischi dei dispositivi non gestiti sul posto di lavoro?

I dispositivi BYOD non gestiti presentano rischi quali la fuga di dati, il malware e la mancanza di misure di sicurezza coerenti. Senza una gestione centralizzata, è più difficile applicare i protocolli di sicurezza e, in caso di smarrimento o furto di un dispositivo, i dati aziendali potrebbero essere compromessi. Questi rischi possono essere ridotti al minimo con strumenti come la containerizzazione e la cancellazione remota.

4. In che modo la containerizzazione protegge i dati aziendali sui dispositivi personali?

La containerizzazione isola i dati aziendali in un ambiente sicuro sui dispositivi personali, garantendone la separazione dalle app personali. Questo impedisce l'accesso non autorizzato e consente all'IT di crittografare i dati, applicare controlli di accesso e cancellare da remoto il contenitore aziendale, se necessario, senza compromettere i dati personali.