Il rischio aziendale dell'uso di account email personali

Quando i dipendenti spostano le comunicazioni aziendali nei conti e-mail personali, le organizzazioni perdono visibilità su dove si trovano i dati, chi può accedervi e come proteggerli, conservarli o recuperarli quando qualcosa va storto.

Punti chiave

• Non puoi proteggere i dati che non puoi vedere. Le informazioni aziendali archiviate negli account di posta elettronica personali sfuggono a molti controlli di sicurezza, monitoraggio e governance aziendali.
• L'e-mail personale aumenta il rischio aziendale oltre la sicurezza informatica. Può creare sfide legali, di conformità, di registrazione e di continuità, oltre al rischio di phishing e malware.
• La comunicazione aziendale sicura richiede sia politiche che tecnologia. Le organizzazioni dovrebbero fornire strumenti di comunicazione sicuri e approvati e renderli più facili da usare rispetto alle alternative personali.

"Quando è opportuno utilizzare l'e-mail personale per lavoro?"

Da anni riceviamo diverse versioni di questa domanda. Si basa sul presupposto che utilizzare l'email personale sia talvolta più conveniente rispetto all'accesso a un account controllato dall'azienda. L'autenticazione multifattoriale (MFA), le restrizioni di posizione e altri controlli possono essere fastidiosi quando qualcuno è in viaggio o ha poco tempo.

La risposta breve a questa domanda è "mai". Gli account email personali introducono nuove vie di attacco nell'azienda. Si trovano al di fuori del controllo dei criteri di sicurezza aziendali, il che significa che l'azienda non può monitorarli per messaggi dannosi, politiche di accesso e conservazione, accessi sospetti o attacchi di furto di account (ATO).

Gli account di posta elettronica personali sono soggetti a phishing delle credenziali, messaggi dannosi, truffe di supporto tecnico e molti altri attacchi. Sebbene gli account personali possano offrire il filtraggio dello spam e l'MFA, di solito non dispongono delle capacità robuste della sicurezza e-mail aziendale. La ricerca di Hudson Rock sugli infostealer su un dominio aziendale ha rilevato migliaia di infezioni associate ai dipendenti che hanno esposto l'infrastruttura di autenticazione aziendale e una miriade di credenziali per servizi consumer come Netflix, Twitter, Dropbox e LinkedIn. Questo non rivela una relazione causale, ma mostra che i dispositivi personali o a uso misto possono esporre sia gli account personali che l'accesso aziendale. Una singola infezione da infostealer può portare a una massiccia violazione dei dati.

Quali sono i rischi finanziari dell'utilizzo di un account personale per affari?

I dati sono ormai uno degli asset più preziosi che un'azienda possiede: registri dei clienti, informazioni finanziarie, proprietà intellettuale, comunicazioni operative, registri dei dipendenti e rapporti con i fornitori passano tutti tramite e-mail ogni giorno. Quando quei dati risiedono in sistemi che il tuo team IT non controlla, perdi la capacità di proteggerli, gestirli, verificarli o recuperarli.

La ricerca di IBM illustra quanto siano diventate alte le poste in gioco. Nel 2024, il 70% delle organizzazioni violate ha riferito che la violazione ha causato una significativa o molto significativa interruzione delle loro operazioni — e per quelle che sono riuscite a riprendersi, il processo ha richiesto più di 100 giorni. Solo il 12% delle organizzazioni violate è riuscito a riprendersi completamente.

Questa è solo una parte del quadro. Uno studio ha rilevato che il 65% dei consumatori ha perso fiducia in un'azienda dopo una violazione dei dati, e il 27% ha interrotto completamente il rapporto con l'azienda . Un altro ha scoperto che le aziende violate sotto-performano il NASDAQ di una media del 15,6% nei tre anni successivi a una violazione. Questo tipo di ricerca ci mostra che una violazione può danneggiare un'azienda per molti anni.

Quali sono i rischi legali dell'utilizzo di un account personale per lavoro?

Consentire ai dipendenti di utilizzare account e-mail personali per svolgere attività aziendali significa che le informazioni aziendali della tua azienda vengono memorizzate su server di posta al di fuori del tuo controllo, in qualsiasi parte del mondo. Non hai modo di sapere tutti i luoghi in cui i dati della tua azienda sono memorizzati o dove sono stati trasmessi.

E un account e-mail personale non è coperto dalle politiche di sicurezza della tua azienda. Il tuo dipendente potrebbe aver accettato i Termini e le Condizioni di Gmail (che consentono ricerche sui contenuti delle e-mail), ma la tua azienda no. Potresti avere una buona politica sulla privacy dei dati in atto, ma gli account e-mail personali possono aggirarla con un solo clic del pulsante "Invia".

Comprendere i rischi e le implicazioni dell'utilizzo di account personali per affari non è sempre evidente fino a quando non ci sono richieste di Libertà di Informazione, indagini interne o eDiscovery. In tutti questi casi, quegli account personali potrebbero contenere informazioni rilevanti e come tali devono essere offerti per la ricerca e il recupero.

Anche l'atto di scoperta è difficile: le e-mail personali non sono scopribili nelle procedure legali standard di scoperta. Google, ad esempio, vieta la scansione esterna delle e-mail degli utenti (diversi casi sono attualmente in corso), il che significa che l'azienda dovrà istruire l'utente a scansionare le proprie e-mail e corre un grande rischio di sanzioni per spoliazione. Se il problema è normativo, è probabile che l'azienda venga trovata non conforme.

Se un dipendente utilizza account e-mail personali per inviare e-mail relative al lavoro utilizzando un dispositivo aziendale, ciò non significa necessariamente che l'organizzazione abbia il diritto di cercare quelle e-mail. Nel caso di "Stengart vs. Loving Care", la Corte Suprema del New Jersey ha stabilito che un dipendente "potrebbe ragionevolmente aspettarsi che la comunicazione e-mail con (il loro) avvocato tramite il suo account e-mail personale, protetto da password e basato sul web, rimanga privata, e che inviarle e riceverle utilizzando un laptop aziendale non elimini il privilegio avvocato-cliente che le proteggeva".

Potrebbe essere molto difficile convincere un richiedente o un tribunale che tutte le informazioni rilevanti siano state scoperte e prodotte, anche se sono state intraprese misure eroiche (e costose) come copiare l'intera casella di posta dell'individuo su un server aziendale per la ricerca e il recupero. E pochi utenti sarebbero d'accordo nel consentire una copia completa della loro e-mail personale sui server della loro azienda.

La soluzione potrebbe essere ovvia, ma le aziende devono comunque rafforzarla.

Prima di tutto, stabilire politiche rigorose contro l'uso dell'email personale per il lavoro è l'unica linea d'azione possibile, ma nonostante tutte le ragioni per cui le attività aziendali dovrebbero essere svolte solo tramite l'email aziendale, gli utenti sceglieranno comunque il percorso di minor resistenza e utilizzeranno qualsiasi email sia più semplice per loro. Spetta quindi all'azienda assicurarsi che il "percorso di minor resistenza" sia quello corretto.

Le aziende possono essere proattive e garantire che i dipendenti remoti o sul campo possano accedere facilmente ai sistemi di posta elettronica aziendale utilizzando i propri dispositivi. Le interfacce webmail sono facili da configurare e qualsiasi cattura di conformità vedrà e preserverà quelle email anche quando inviate da un pc domestico, laptop, smartphone o tablet. Quando si compone una nuova email, in particolare sui dispositivi mobili, i dipendenti devono essere ricordati di scegliere sempre l'indirizzo email aziendale, non quello personale. Per i non dipendenti come appaltatori e consulenti, il problema è lo stesso. Se l'appaltatore o il consulente sta svolgendo attività per conto dell'azienda, allora è un passo intelligente fornire loro un indirizzo email aziendale e imporre linee guida rigorose sull'uso di questo come parte dell'accordo.

I dipartimenti IT dovrebbero sempre essere in grado di mantenere il controllo centrale e la visibilità di tutte le email inviate o ricevute per conto dell'azienda per evitare i problemi che derivano dal condurre affari da account email personali, ma ciò richiede alcune politiche semplici e un'organizzazione IT che sia sia proattiva che persistente. Il problema potrebbe non scomparire del tutto, ma sarà un problema nominale, non uno grande.

Barracuda offre una serie di soluzioni per la gestione delle email e delle informazioni per aiutare le organizzazioni a centralizzare e controllare i propri dati aziendali e a minimizzare il rischio aziendale e legale. Scopri di più sulle soluzioni di sicurezza e protezione dei dati Barracuda sul nostro sito aziendale qui.