Gig Economy: tre cose da sapere sulle minacce interne

Il lavoro a chiamata – la cosiddetta gig economy – un fenomeno che va ben oltre il food delivery e in generale la consegna di pacchetti, sta ridefinendo la forza lavoro aziendale. Quest’anno, un numero mai visto di organizzazioni si è affidato a collaboratori non dipendenti. Secondo le stime, la percentuale di lavoratori della gig economy negli Stati Uniti nel corso del 2020 è stata del 43%. La tendenza alla crescita riguarda anche il nostro Paese, tanto che, secondo stime Inps, i gig workers in Italia sarebbero circa l’1,6% della popolazione, per un totale di quasi 590mila individui.

Questa maggiore dipendenza da collaboratori e freelance porta però con sé nuovi rischi di minacce interne.

Secondo Deloitte, l’87% delle aziende ha avuto un incidente legato a un consulente esterno o a un contractor, tanto da impattarne l’attività. Perché? Collaboratori, lavoratori a chiamata, fornitori di servizi e consulenti spesso necessitano dell’accesso remoto a risorse aziendali sensibili per svolgere il loro lavoro. Tuttavia, molte aziende non applicano a queste figure gli stessi principi di sicurezza utilizzati per i dipendenti interni. Questo aumenta l’esposizione delle organizzazioni – in particolare se non vengono messi in atto controlli adeguati, per proteggersi da violazioni della sicurezza in arrivo dall’interno.

Ci sono tre elementi in particolare da tenere presenti sulle minacce interne quando si parla di gig economy.

1. La maggior parte delle minacce interne sono accidentali

Non tutte le minacce che arrivano dall’interno sono dolose. Secondo Ponemon, il 61% delle minacce interne è causato da errori di un dipendente o un contractor. Tuttavia, i collaboratori esterni potrebbero non avere visibilità sulle policy di sicurezza dell’azienda, mentre è importante che tutti, inclusi i lavoratori a contratto, ne siano informati.

Tuttavia, anche policy di sicurezza IT restrittive non sono per forza la risposta. Team ibridi composti da dipendenti e contractor devono accedere a soluzioni basate sul cloud e ad altri sistemi critici per svolgere il proprio lavoro in modo efficace. Troppe restrizioni possono far sì che le persone cerchino un modo di eludere le regole, portando a rischi ancora maggiori. I team di sicurezza dovrebbero invece concentrarsi sulla costruzione di un programma completo di gestione delle minacce interne (ITMP, Insider Threat Management Program).

2. Il rischio interno varia a seconda del ruolo

Collaboratori e lavoratori a contratto aiutano le aziende ad aggiungere talenti specializzati senza i costi fissi complessivi di stipendi e benefit. I rischi legati a questi ruoli possono variare a seconda del reparto, nonché delle responsabilità e del livello di accesso. Ad esempio, un database administrator ha le chiavi di un’infrastruttura critica che potrebbe causare una grave violazione della sicurezza in caso di uso improprio delle credenziali. Un consulente esperto può avere accesso a piani di proprietà intellettuale o di prodotto sensibili, mentre un contractor che si occupi di grafica per il reparto marketing è sicuramente meno pericoloso.

Ogni reparto dovrebbe conoscere i rischi specifici legati a una forza lavoro a contratto. I team di sicurezza devono essere estremamente vigili nei confronti di collaboratori con accesso privilegiato. Inoltre, tutti i lavoratori devono conoscere e seguire le migliori pratiche di sicurezza specifiche per il loro ruolo. Ad esempio, il database administrator di cui sopra potrebbe utilizzare credenziali a rotazione per ridurre il rischio di compromissione accidentale.

3. La visibilità su dati e persone è fondamentale

Come anticipato, un programma ITMP completo dovrebbe includere persone, processi e tecnologia, per proteggere proattivamente le organizzazioni dai rischi. Da un punto di vista tecnologico, c’è bisogno di visibilità sull’attività del collaboratore esterno e dei dati. Questo approccio aiuta i team di sicurezza a:

• Comprendere il contesto che influenza le motivazioni di un utente
• Vedere dove si muovono i dati e perché
• Identificare segnali concreti in mezzo al rumore di sottofondo degli alert di sicurezza.