Sicurezza del software sul posto di lavoro: una guida per i responsabili IT

La maggior parte dei responsabili IT che valutano la sicurezza del software “ gestione dell'ambiente di lavoro ” si imbatte in tre problemi. Le certificazioni dei fornitori coprono un’infrastruttura errata. Le integrazioni compromettono l’attribuzione degli utenti nei registri di audit. La scarsa adozione crea flussi di lavoro “ombra” che i team addetti alla conformità non vedono mai. È inoltre necessario verificare come si comportano il provisioning delle identità, i controlli di accesso e le tracce di audit in implementazioni reali relative alla prenotazione dell’ postazione , alla gestione dei visitatori e al monitoraggio dell’occupazione.

In poche parole

gestione dell'ambiente di lavoro La sicurezza del software richiede la verifica dell'ambito della certificazione, il collaudo delle integrazioni delle identità in un ambiente sandbox e la conferma di elevati tassi di adozione. Ciò riduce i flussi di lavoro "ombra" che compromettono la tracciabilità dei controlli.

• Verificate che i rapporti relativi alla norma ISO 27001 e allo standard Service Organization Control 2 (SOC 2) Tipo 2 riguardino specificatamente il prodotto che state acquistando, e non solo l'infrastruttura generale del fornitore
• Sistema di test per la gestione delle identità cross-domain (SCIM) e le operazioni di provisioning e deprovisioning in un tenant sandbox prima di passare a qualsiasi piattaforma
• Considerate il tasso di adozione come un indicatore di sicurezza, poiché gli strumenti che i dipendenti aggirano generano flussi di lavoro non documentati al di fuori della vostra traccia di audit

Che cos’è la sicurezza del software “ gestione dell'ambiente di lavoro ”?

gestione dell'ambiente di lavoro La sicurezza del software è l'insieme delle misure di controllo che proteggono i dati che transitano attraverso le piattaforme utilizzate per la gestione degli uffici ibridi. Ciò include postazione e sala per la prenotazione, i registri dei visitatori, i dati sull'occupazione e gli orari dei dipendenti.

Questi dati sono importanti perché contengono informazioni di identificazione personale e dati dettagliati sulle abitudini di spostamento. Il sistema sa quando determinati dipendenti si trovano nell'edificio. Può rivelare informazioni sensibili, come chi condivide gli spazi e in quali momenti. La protezione di queste informazioni richiede un rigoroso isolamento degli inquilini, registri di audit completi e chiari controlli di accesso.

È necessario distinguere tra sicurezza della piattaforma e sicurezza organizzativa. La sicurezza della piattaforma comprende i controlli del fornitore volti a proteggere l’infrastruttura cloud. La sicurezza organizzativa dipende dal modo in cui si configurano i modelli di accesso e le autorizzazioni all’interno del proprio tenant specifico. Entrambe devono funzionare in sinergia.

Perché le verifiche sulla sicurezza dei software aziendali falliscono

Le valutazioni di sicurezza delle piattaforme aziendali spesso falliscono perché le demo e i materiali di marketing non evidenziano i limiti operativi. Uno strumento può sembrare eccellente in una demo, ma una volta implementato può comportare notevoli oneri di manutenzione.

Il problema più comune è la mancata corrispondenza dell'ambito di applicazione. I fornitori presentano rapporti SOC 2 che escludono il prodotto o l'infrastruttura specifici che state effettivamente acquistando. È necessario leggere il rapporto per intero e verificare che l'audit copra la vostra implementazione.

Le integrazioni superficiali creano un'ulteriore lacuna. I connettori sincronizzano i dati di base, ma interrompono le tracce di audit, con la conseguente perdita dell'attribuzione agli utenti. Quando non è possibile ricondurre un'azione a un utente specifico, la propria posizione di conformità si indebolisce.

La proliferazione degli strumenti aggrava ulteriormente questi problemi. Le organizzazioni implementano numerose soluzioni puntuali con accessi separati e senza un controllo centralizzato degli accessi. Ogni strumento aggiuntivo amplia la superficie di attacco e moltiplica il carico di lavoro amministrativo.

Il rischio nascosto è il crollo dell'adozione. Gli strumenti superano la verifica di sicurezza, ma nella pratica si rivelano inadeguati. Quando i dipendenti smettono di utilizzare il sistema ufficiale, creano flussi di lavoro “ombra” al di fuori della traccia di audit.

Linee guida di sicurezza per le piattaforme gestione dell'ambiente di lavoro

Ogni valutazione deve partire da una rigorosa linea di base in materia di sicurezza. Occorrono prove concrete di conformità, piuttosto che promesse di marketing.

Documentazione relativa alle norme ISO 27001 e SOC 2 Tipo II

Alcune fonti indicano che il 70% degli acquirenti aziendali richiede la certificazione SOC 2. Richiedete il rapporto SOC 2 Tipo 2 completo, anziché accontentarvi di una pagina di sintesi o di un badge sul sito web. Il rapporto descrive in dettaglio gli obiettivi di controllo specifici e dimostra che il fornitore rispetta le proprie politiche di sicurezza. Verificate che l’ambito dell’audit copra esattamente il prodotto e l’infrastruttura che intendete utilizzare.

Prestare attenzione al periodo di audit e alle eventuali eccezioni segnalate. Un rapporto di Tipo I dimostra solo l’esistenza di un progetto in un determinato momento. Un rapporto di Tipo II dimostra l’efficacia operativa nel corso di diversi mesi. Se il periodo di audit è terminato da più di 6 mesi, richiedere una lettera di collegamento che copra il periodo intercorso dalla data di conclusione dell’audit.

GDPR, residenza dei dati e sub-responsabili del trattamento

Le organizzazioni che operano in Europa devono rispettare rigorosamente le leggi sulla protezione dei dati. Verificate l'esatta ubicazione dell'hosting dei dati, ad esempio un data center situato esclusivamente nell'UE, come quello di Francoforte. In questo modo i dati dei dipendenti rimangono sotto la giurisdizione europea, a condizione che l'elenco dei sub-responsabili del trattamento e i termini contrattuali lo consentano.

Richiedete l'elenco completo dei sub-responsabili del trattamento e verificate che non vi siano soggetti terzi inattesi. Spesso i fornitori ricorrono a servizi esterni per l'analisi dei dati o l'invio di e-mail che trattano i vostri dati al di fuori dell'UE. Verificate la disponibilità di un accordo sul trattamento dei dati e delle clausole contrattuali standard (SCC).

Crittografia e gestione delle chiavi

La protezione dei dati richiede standard di crittografia avanzati sia per i dati inattivi che per quelli in transito. La piattaforma dovrebbe utilizzare il protocollo TLS 1.2 o versioni successive per tutte le comunicazioni di rete. I dati inattivi devono essere crittografati con AES-256 in tutti i database e i volumi di archiviazione.

Esaminare le pratiche di gestione delle chiavi e le politiche di rotazione adottate dai fornitori. Le piattaforme più avanzate automatizzano la rotazione delle chiavi e le memorizzano in moduli di sicurezza hardware (HSM) dedicati.

Registri di audit e controlli sulla conservazione dei dati

La disponibilità di tracciati di audit completi è imprescindibile per gli audit di conformità e le indagini sugli incidenti. La piattaforma deve registrare tutte le attività degli utenti: accessi, prenotazioni dipostazione e registrazioni dei visitatori. Deve inoltre tenere traccia delle azioni degli amministratori, quali le modifiche alla configurazione e l’assegnazione dei ruoli.

Verificate i periodi di conservazione di questi registri. È necessario sapere per quanto tempo il fornitore conserva i dati e con quanta facilità è possibile esportarli. Le piattaforme migliori offrono un’API di esportazione o un’integrazione diretta con i sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM) per un monitoraggio centralizzato.

Architettura di integrazione che mantiene intatti i registri di audit

Le integrazioni rappresentano un grave problema di sicurezza perché ampliano la superficie di attacco. Una piattaforma sicura per l'ambiente di lavoro deve collegarsi all'infrastruttura esistente senza compromettere le tracce di audit.

Integrazioni con Microsoft 365 e Google Workspace

Le integrazioni native con Microsoft 365 (M365) e Google Workspace preservano il contesto utente e le tracce di audit. Queste integrazioni approfondite consentono ai dipendenti di prenotare gli spazi direttamente dai propri calendari esistenti. I connettori superficiali sincronizzano i dati degli eventi, ma spesso perdono l'attribuzione dell'utente.

Verificare gli ambiti OAuth e le autorizzazioni richieste dall'applicazione. La piattaforma dovrebbe utilizzare, ove possibile, autorizzazioni delegate anziché autorizzazioni generiche per l'applicazione. Ciò garantisce il rispetto del principio del privilegio minimo all'interno della directory.

Integrazioni per la gestione dei ticket con ServiceNow

ticketing per l'ufficio Gli strumenti dovrebbero integrarsi direttamente nei flussi di lavoro esistenti relativi alla gestione dei servizi IT. Una piattaforma sicura funge da semplice interfaccia front-end, mentre ServiceNow gestisce la risoluzione back-end. Ciò evita la duplicazione dei processi e garantisce la corretta attribuzione dei ticket.

Verificare che l’integrazione supporti la sincronizzazione bidirezionale e gli aggiornamenti di stato in tempo reale. Quando il team addetto alle strutture chiude un ticket in ServiceNow, l’app per il posto di lavoro dovrebbe riflettere immediatamente tale modifica.

Documentazione API e politica sulle modifiche compatibilità

La documentazione pubblica delle API rivela il grado di maturità tecnica di una piattaforma aziendale. Un’API REST (Representational State Transfer) ben documentata, con chiare politiche di gestione delle versioni, è indice di affidabilità a lungo termine. Il supporto dei webhook è altrettanto importante per lo streaming di eventi in tempo reale verso i sistemi interni.

Esaminare la politica di obsolescenza del fornitore e le tempistiche di notifica delle modifiche che comportano incompatibilità. I team IT devono ricevere un preavviso sufficiente prima che una modifica all’API comprometta un’integrazione critica.

Requisiti relativi alla gestione delle identità e degli accessi

La gestione delle identità e degli accessi è un requisito fondamentale in materia di sicurezza per qualsiasi strumento aziendale. È necessario richiedere una procedura di provisioning che non richieda alcuna manutenzione per prevenire la deriva degli accessi.

SSO con SAML o OIDC

Il supporto nativo del Single Sign-On (SSO) è indispensabile per centralizzare il controllo degli accessi. La piattaforma deve supportare standard di settore quali il Security Assertion Markup Language (SAML) 2.0 e OpenID Connect (OIDC). È consigliabile evitare i fornitori che limitano l'SSO ai propri livelli aziendali più costosi.

Verificare che la piattaforma supporti l'applicazione rigorosa del SSO. Gli utenti non devono poter aggirare il provider di identità utilizzando un nome utente e una password locali.

Attivazione e disattivazione di SCIM

L'integrazione con SCIM è importante per la sicurezza perché automatizza l'intero ciclo di vita delle identità. La piattaforma dovrebbe supportare il provisioning automatico degli utenti da Microsoft Entra ID (precedentemente Azure AD) o Okta. Ciò elimina la configurazione manuale degli account e la procedura di offboarding, che in molte organizzazioni richiede dalle 5 alle 8 ore per ogni dipendente.

La revoca immediata dei privilegi è la funzionalità di sicurezza più importante di SCIM. Quando un dipendente lascia l'organizzazione, la sincronizzazione della directory dovrebbe revocare l'accesso all'ambiente di lavoro nel giro di pochi minuti, in base all'intervallo di sincronizzazione del proprio provider di identità. Senza SCIM, gli account abbandonati rimangono attivi e creano significative vulnerabilità di sicurezza.

Controllo degli accessi basato sui ruoli

Una piattaforma sicura richiede un controllo granulare degli accessi basato sui ruoli. È necessario definire ruoli distinti per amministratori, responsabili delle sedi, utenti standard e revisori con accesso in sola lettura. Ciò garantisce che i dipendenti abbiano accesso solo alle funzionalità necessarie per lo svolgimento delle loro mansioni.

Il sistema deve supportare restrizioni di accesso basate sulla posizione geografica e sull'appartenenza a un team. Il responsabile di una sede locale a Londra non dovrebbe avere diritti amministrativi sulla sede di New York. La piattaforma deve inoltre garantire una rigorosa tracciabilità di tutte le assegnazioni di ruoli.

Rischi legati all’adozione e all’affidabilità che determinano lacune nella sicurezza

Il basso livello di adozione rappresenta un problema di sicurezza. Alcune fonti stimano che quasi la metà degli attacchi informatici sia collegata allo “Shadow IT”. Se i dipendenti aggirano lo strumento ufficiale, creano flussi di lavoro “ombra” che compromettono la tracciabilità dei processi.

Affidabilità del sistema di prenotazione

Verificate l'affidabilità del sistema di prenotazione prima di approvarne l'implementazione completa. Simulate i giorni di picco in ufficio e un'elevata concorrenza per verificare le prestazioni del sistema sotto carico intenso. Un sistema che va in crash un martedì mattina perderà immediatamente la fiducia degli utenti.

Verificare i meccanismi di gestione dei conflitti e la logica di prevenzione dell'overbooking. La piattaforma deve risolvere i tentativi di prenotazione simultanei senza creare record duplicati.

Controlli sulle prenotazioni fantasma e sui no-show

Le prenotazioni fantasma si verificano quando i dipendenti riservano dei posti ma non si presentano mai. Ciò crea un problema di qualità dei dati che compromette l'accuratezza dei dati relativi all'occupazione. Inoltre, impedisce ad altri dipendenti di utilizzare le risorse disponibili.

La piattaforma deve applicare i requisiti relativi al check-in automatico e le politiche di rilascio automatico. Se un utente non effettua il check-in entro un determinato lasso di tempo, il sistema dovrebbe rilasciare l'postazione.

Proliferazione degli strumenti e accessi separati

L'implementazione di più soluzioni puntuali crea inutili falle nella sicurezza. Strumenti separati per la prenotazione dell’ postazione , la gestione dei visitatori e l’emissione dei biglietti comportano controlli di accesso distinti. Questa frammentazione aumenta la superficie di attacco e moltiplica il carico di lavoro amministrativo.

Il consolidamento di queste funzioni in un'unica piattaforma gestione dell'ambiente di lavoro riduce i rischi. I dipendenti devono utilizzare una sola applicazione. Il reparto IT deve gestire una sola integrazione.

Lista di controllo passo dopo passo per la valutazione della sicurezza

Seguire un processo di valutazione strutturato consente di individuare tempestivamente eventuali lacune di sicurezza. Utilizzate questa checklist sequenziale per valutare qualsiasi piattaforma di gestione dell'ambiente di lavoro .

[Table1]

Indicatori che dimostrano la sicurezza dopo l'implementazione

La sicurezza non si esaurisce con l'implementazione. È necessario monitorare costantemente il proprio livello di sicurezza per garantire che la piattaforma rimanga conforme.

Monitorare il tasso di adozione e il tasso di utilizzo attivo. Un divario significativo tra gli utenti registrati e quelli attivi indica che i dipendenti stanno aggirando il sistema. Confrontare i livelli di adozione tra le diverse sedi e i diversi team per individuare eventuali problemi di conformità a livello locale.

Misurare l'accuratezza dell'assegnazione delle risorse e la latenza della revoca delle stesse. Monitorare il tempo necessario affinché una modifica apportata nel sistema delle risorse umane si rifletta nella piattaforma aziendale. Verificare la presenza di account abbandonati e di modifiche non autorizzate alle autorizzazioni.

Monitora lo stato di integrità delle integrazioni e il volume dei ticket di assistenza. Tieni traccia degli errori di integrazione, dei limiti di frequenza delle API e degli errori di sincronizzazione dei dati. Utilizza l'andamento dei ticket per individuare problemi di usabilità rilevanti dal punto di vista della sicurezza prima che causino un malcontento diffuso.

In che modo deskbird garantisce la sicurezza gestione dell'ambiente di lavoro

deskbird è sviluppato e ospitato in Europa, con i dati dei clienti archiviati a Francoforte, garantendo la conformità al GDPR e mantenendo i dati sotto la giurisdizione tedesca e dell’UE. Il sistema gestisce in modo nativo le prenotazioni postazione , sala , la gestione dei visitatori e ticketing per l'ufficio senza richiedere soluzioni specifiche separate.

[Table2]

deskbirdL'esperienza utente offerta da deskbird garantisce un tasso di adozione superiore al 90% in oltre 10.000 team aziendali e non richiede alcuna formazione per gli utenti. Questo elevato tasso di adozione assicura che i dati relativi all’occupazione rimangano accurati e che le tracce di audit restino intatte. Scopri la configurazione di sicurezza di in una demo.