Usare in sicurezza laptop e telefono

Modulo 5: Dispositivi, software e rete · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di proteggere laptop e telefoni da smarrimento, furto e malware, e saprà cosa fare nella prima ora se un dispositivo risulta smarrito.
Concetti chiave: blocco schermo, crittografia del disco, chiave di ripristino, individuazione e cancellazione remota del dispositivo, protezione integrata, utente standard, account amministratore, permessi delle app, gestione remota (MDM)

Il dispositivo è il mazzo di chiavi

Su un laptop o un telefono di un imprenditore non ci sono solo file. Ci sono anche sessioni aperte di posta, contabilità e banca, password salvate, l'app di autenticazione per l'autenticazione a due fattori (2FA), dati dei clienti nella cartella dei download e foto di passaporti che qualcuno aveva inviato "giusto per un attimo". Un dispositivo perso o rubato è quindi quasi sempre più di una semplice perdita economica. Può dare accesso a tutta la Sua attività e può costituire una violazione di dati personali (lezione 8.2).

Esistono due tipi di rischio, con misure diverse:

Blocco schermo: la prima porta

Senza blocco, chiunque prenda in mano il Suo dispositivo può proseguire esattamente da dove Lei si era fermato. Imposti quindi:

• un codice PIN o una password su ogni dispositivo, con la biometria (impronta digitale o volto) come comodità aggiuntiva. Un PIN di sei cifre o più è molto più robusto di uno di quattro; uno schema di sblocco a trascinamento è spesso leggibile dalle tracce sullo schermo;
• blocco automatico dopo pochi minuti di inattività;
• l'abitudine di bloccare manualmente il dispositivo quando si allontana. Su Windows è il tasto Windows + L, su Mac Control + Command + Q;
• limitare le notifiche sulla schermata di blocco. Un codice di accesso via sms o un frammento di un'e-mail riservata non deve essere visibile a chi vede il Suo telefono sul tavolo.

Crittografia del disco: ciò che un ladro non può leggere

Il blocco schermo ferma un passante, ma non un ladro con tempo a disposizione. Questi può estrarre il disco da un laptop e leggerlo in un altro computer. Contro questo scenario aiuta la crittografia del disco: tutti i dati sull'archiviazione vengono cifrati con una chiave che viene rilasciata solo quando Lei effettua l'accesso. Senza questa chiave, il disco è un insieme di caratteri illeggibili.

Alla crittografia è associata una chiave di ripristino: un codice lungo con cui può accedere ai dati se la password non funziona più o dopo una modifica importante al dispositivo. Conservi questa chiave in un luogo raggiungibile anche se il laptop stesso è andato perso, per esempio nel Suo gestore di password o nell'account della Sua organizzazione. Una chiave di ripristino su un foglietto nella borsa del laptop è utile quanto la chiave di casa sotto lo zerbino.

Perché questo conta ai fini del GDPR: se perde un dispositivo cifrato la cui chiave è conservata in modo sicuro, la probabilità di un uso illecito dei dati è bassa. Con un laptop non cifrato contenente dati di clienti la situazione è diversa. Come valutare questo aspetto lo imparerà nella lezione 8.2.

Smarrito? La prima ora

Lo predisponga ora, così funzionerà quando servirà:

1. Attivi l'individuazione e la cancellazione remota. Apple, Google e Microsoft dispongono ciascuno di una funzione per mostrare un dispositivo sulla mappa, farlo suonare, bloccarlo e cancellarlo. Funziona solo se è stata attivata in anticipo.
2. Sappia dove effettuare l'accesso per farlo, e si assicuri di poterlo fare anche senza il dispositivo smarrito. Se la Sua autenticazione a due fattori (2FA) è impostata solo su quel telefono, avrà bisogno dei codici di ripristino (lezione 2.3).

Se il dispositivo è smarrito:

1. Blocchi il dispositivo da remoto e faccia comparire un messaggio con un numero di telefono.
2. Revochi le sessioni dei Suoi servizi principali: posta, archiviazione cloud, contabilità. In Nextcloud, per esempio, può revocare l'accesso per singolo dispositivo o impartire al dispositivo il comando di cancellare i dati di quel servizio.
3. Cambi le password degli account aperti sul dispositivo, da un altro dispositivo pulito.
4. Cancelli il dispositivo da remoto se non lo ritrova rapidamente.
5. Valuti e documenti se vi erano dati personali, e sporga denuncia in caso di furto.

Malware: protezione integrata e diritti minimi

Un laptop o un telefono moderno dispone già di molta protezione integrata: Windows ha Microsoft Defender, macOS ha controlli propri sui programmi, e gli store di app di Apple e Google verificano le app prima di renderle disponibili. Un pacchetto antivirus separato può offrire funzioni aggiuntive, ma l'aspetto più importante è che la protezione integrata sia attiva e venga aggiornata.

Due abitudini fanno una grande differenza:

• Lavori quotidianamente come utente standard, non come amministratore. Il malware che avvia per sbaglio riceve gli stessi diritti che ha Lei. Come utente standard, può fare molto meno: non può installare software, non può modificare le impostazioni di sistema, non può disattivare la protezione. Se occorrono i diritti di amministratore una volta, il sistema chiederà la password di amministratore. Quel momento di riflessione è esattamente lo scopo.
• Installi solo dallo store ufficiale o dal sito del produttore. Su Android questo significa: lasciare disattivata l'opzione "installa da fonti sconosciute". In caso di truffe con richieste di aiuto o finte notifiche bancarie, i truffatori inviano volentieri un link a una "app" che in realtà prende il controllo dello schermo.

Permessi delle app: cosa può fare un'app?

Ogni app richiede permessi: fotocamera, microfono, posizione, contatti, file. Un'app torcia che vuole accedere ai Suoi contatti non ha un buon motivo per farlo. Controlli i permessi nelle impostazioni del telefono una volta al trimestre:

• conceda la posizione solo "durante l'uso", non sempre;
• revochi l'accesso a contatti e file alle app che non ne hanno bisogno. I Suoi contatti sono dati personali di altre persone;
• rimuova le app che non usa più;
• presti particolare attenzione alle app che richiedono permessi di accessibilità o condivisione dello schermo. Con questi permessi un'app può vedere e cliccare tutto ciò che vede Lei.

Più dispositivi? Gestione remota

Se lavora con alcune persone o più, "ognuno fa da sé" diventa difficile da controllare. Con la gestione remota (Mobile Device Management, MDM) stabilisce centralmente che ogni dispositivo sia cifrato, abbia un blocco, riceva aggiornamenti e possa essere cancellato da remoto. Esistono soluzioni integrate nelle grandi suite aziendali per ufficio, servizi autonomi e soluzioni open source. Per i telefoni di proprietà dei collaboratori (bring your own device) spesso si può gestire solo la parte aziendale, in modo da non poter accedere alle foto private di qualcuno.

Anche senza MDM può definire degli accordi e verificarli insieme una volta all'anno. La checklist nell'esercizio aiuta in questo.

Nella pratica: ecco come si presenta

In Nextcloud, come offerto da WebOké, in Impostazioni, Sicurezza si trova un elenco Dispositivi e sessioni. Lì vede ogni browser, app e ogni password per app che ha accesso. Tramite i tre puntini revoca l'accesso di un singolo dispositivo, oppure fa in modo che il dispositivo cancelli i dati di Nextcloud non appena si ricollega. Presso altri servizi cloud si chiama spesso "dispositivi", "sessioni" o "panoramica sicurezza" e funziona in modo analogo.

Riepilogo

• Un dispositivo è un mazzo di chiavi: contiene sessioni, password e l'app 2FA.
• Imposti il blocco automatico, usi un PIN robusto e limiti le notifiche sulla schermata di blocco.
• Attivi la crittografia del disco e conservi la chiave di ripristino altrove rispetto al dispositivo.
• Attivi in anticipo l'individuazione e la cancellazione remota; in caso di smarrimento: bloccare, revocare le sessioni, cambiare le password, cancellare, valutare.
• Lavori come utente standard, installi solo da fonti ufficiali e controlli periodicamente i permessi delle app.

Quiz

Esercizio

Esercizio D5.2: Controllare il Suo laptop e telefono. Verifichi sul Suo laptop e telefono il blocco, la crittografia del disco, la chiave di ripristino, l'individuazione e la cancellazione remota, il tipo di account e i permessi delle app. Spunti la checklist e scriva cosa farebbe se il Suo telefono venisse rubato domani.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è analogo.

• Guida a Nextcloud 3.6: Visualizzare, revocare o cancellare da remoto dispositivi e sessioni
• Guida a Nextcloud 3.10: Telefono smarrito o 2FA non disponibile: ecco come accedere di nuovo
• Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
• ACN, dispositivi mobili: https://www.acn.gov.it/
• Microsoft, Crittografia dispositivo in Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, codici di accesso e protezione dei dati (in inglese): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web