Cosa è meglio per i lavoratori remoti: VDI o VPN?

A causa delle restrizioni che le aziende hanno attuato in risposta ai recenti eventi, la maggior parte degli impiegati nel mondo sta ora lavorando da casa, e i reparti IT si stanno affannando a capire come sostenere il massiccio aumento dei lavoratori da remoto (vedere il post sul blog VMware con suggerimenti per la pianificazione e i primi passi da fare).

Una delle domande che si sono poste ripetutamente è: “In questo scenario di continuità aziendale in cui tutti cercano di lavorare da casa, cosa è meglio? VDI o VPN?” Purtroppo la risposta è complessa. In questo post, verranno analizzate queste opzioni per aiutarvi a fare la vostra scelta.

Che cosa significa “VDI contro VPN”?

La maggior parte degli impiegati oggi usano per il loro lavoro computer basati su Windows, sia che si tratti di computer desktop, computer portatili (che possono essere utilizzati in ufficio, a casa o in viaggio), o desktop remoti/virtuali (sia VDI che RDSH) dove il desktop Windows dell’utente funziona come una macchina virtuale in un data center da qualche parte (sia on-premises che nel cloud). La domanda “VDI contro VPN” significa in realtà: “Quando i miei utenti lavorano da casa, devo fornire un desktop virtuale remoto al quale possono accedere da qualsiasi tipo di dispositivo? (VDI) Oppure, dovrei procurargli un computer portatile che esegue tutto localmente su di esso e poi farli ricollegare all’ufficio attraverso la VPN per accedere ai loro file, applicazioni, ecc.? (VPN)”

Prima di poter rispondere quale sia la soluzione “migliore”, o quale opzione “dovreste” scegliere, pensate a come definire cosa sia “migliore”.

Per esempio, la soluzione migliore è quella che…

E’ la più veloce da distribuire?
E’ la più facile da installare?
E’ la più economica da installare?
Ha la migliore esperienza utente?
Funzionerà per la maggior parte degli utenti?
Fornirà la migliore sicurezza?

Non si può dire “sì” a tutte queste. È come quel vecchio detto commerciale: “Veloce, economico e facile: puoi averne solo due dei tre”.
E’ anche impossibile dire solo VDI o VPN, poiché la risposta per ciascuno potrebbe essere VDI o VPN a seconda della vostra situazione specifica. Al fine di pensare a quale sia più sensato per voi, considerate le seguenti domande:

Quali applicazioni avete bisogno di supportare? Sono tutte applicazioni web o applicazioni Windows?
È tutto on-premises, o avete apps in cloud o SaaS?
Avete già esperienza con la VDI, e avete già fatto questa progettazione? C’è un ambiente VDI già funzionante che potete espandere?
Avete già esperienza nella gestione di laptop Windows remoti (al di fuori del firewall) e avete già fatto questa ingegnerizzazione?
I vostri utenti hanno già dei portatili che porteranno a casa o bisognerà trovare nuovi dispositivi? (Se nuovi, li fornirete voi o gli utenti?)
Come gestite i computer portatili oggi? Legacy SCCM, AD e GPO? O con una moderna piattaforma unified endpoint management basata sul cloud?
Avete già una VPN? Avete abbastanza licenze per tutti i vostri utenti remoti?
Avete abbastanza larghezza di banda per i vostri utenti remoti? Avete pensato a come cambieranno le vostre esigenze di larghezza di banda? (ad esempio, se la VDI era solo interna, ma ora verrà utilizzata per i lavoratori da remoto, potete supportare tutto questo aumento del traffico internet aziendale?)
Ci sono cose “facili” da fare per liberare la larghezza di banda Internet aziendale? (ad es. abilitare lo split tunneling per gli utenti VPN).
I vostri “altri” componenti dell’infrastruttura funzionano meglio con un’opzione rispetto all’altra?
Ci sono requisiti normativi che dettano determinate decisioni tecnologiche? (ad esempio, una normativa che stabilisce che i dati dei clienti non possono essere memorizzati localmente su un dispositivo, ecc.)

Si può scoprire che si finisce per avere un mix di entrambe le cose. Ci potrebbero essere alcuni utenti o luoghi in cui il percorso VDI ha più senso e altri in cui l’opzione VPN è migliore.

Uso della VDI per i lavoratori remoti

In primo luogo, la frase “VDI” ha tradizionalmente descritto uno scenario in cui un utente accede da remoto ad un desktop basato su Windows 10 che gira come VM su un server nel vostro datacenter. Tuttavia, ai fini di questa conversazione, dovremmo ampliare la nostra definizione di VDI per includere qualsiasi scenario in cui un utente si connette a un desktop Windows da un dispositivo client casuale. Quindi, oltre alla VDI tradizionale, potrebbero anche esserci le tecnologie VDI o RDSH in esecuzione nel cloud che si pagano come servizio (DaaS, Microsoft WVD, ecc.).

Le tecnologie VDI hanno diverse caratteristiche interessanti (si noti che sono stati scritti interi libri su questo, quindi ne sto solo evidenziando selettivamente alcune che sono più rilevanti):

Non importa che tipo di dispositivo abbia l’utente a casa. Può essere un moderno computer Windows, un tower di dieci anni trovato nel seminterrato, un iPad, il Chromebook del figlio, un vecchio MacBook, ecc.
Per connettersi a un desktop VDI non è necessaria alcuna competenza “informatica” a casa dell’utente. Basta indicargli una pagina web e fargli fare il login, e potrà accedere al suo desktop aziendale Windows completo in pochi minuti.
Sicurezza “integrata”, poiché tutte le applicazioni e i dati rimangono sui server in ufficio o nel cloud, quindi non dovete preoccuparvi di ciò che potrebbe essere salvato sul dispositivo di casa di un utente, il che significa che non dovete preoccuparvi di cosa possa essere perso o rubato, ecc.

Anche la VDI ha alcuni svantaggi:

Ingegnerizzare e costruire un ambiente VDI è complesso. Se attualmente non si dispone di VDI, sarà necessario ricorrere agli esperti giusti per aiutarvi a progettare, e questo potrebbe richiedere troppo tempo.
I vostri utenti da casa avranno bisogno di connessioni internet decenti per poter lavorare.
La VDI richiede più larghezza di banda e potenza di server per i display più grandi e i monitor multipli. Gli utenti che normalmente lavorano in questo modo potrebbero avere un’esperienza peggiore attraverso la VDI.
Non tutte le applicazioni funzionano bene attraverso la connessione remota del desktop VDI. Le applicazioni per audio/video-conferenze sono notoriamente impegnative per la VDI e, ironia della sorte, questi sono i tipi di applicazioni più utilizzati dai dipendenti che lavorano da casa (anche se gli utenti esperti di tecnologia possono partecipare alle riunioni dai loro iPhone o iPad e non attraverso i loro desktop VDI di Windows).
Se avete già la VDI che usate dal vostro ufficio (evviva!), e poi pensate: “Fantastico, ora lo userò per gli utenti da casa”, potreste incorrere in limitazioni di larghezza di banda con la connessione internet del vostro ufficio aziendale.
La VDI può essere costosa perché è necessario tutto l’hardware del server per eseguire tutti i desktop degli utenti. Quindi, se avete già comprato dei portatili per gli utenti, ma poi loro usano quei portatili per accedere alla VDI, è come se pagaste due volte per ogni desktop.

Utilizzo di una VPN per i lavoratori remoti

L’opzione “VPN” significa essenzialmente che gli utenti utilizzano i normali computer portatili a casa, e le applicazioni che utilizzano sono installate localmente su questi portatili. Poi per le cose di cui hanno bisogno dall’ufficio (file sharing, sistemi aziendali e database, ecc.) si collegano alla VPN per accedere alla rete aziendale.

Anche in questo caso, ci sono molti aspetti interessanti, tra cui:

Se i vostri utenti hanno già dei portatili aziendali, in sostanza non dovete “fare” nulla. Basta dire ai vostri utenti di portare i loro portatili a casa e iniziare a lavorare.
Questa opzione non richiede molte impostazioni o acquisti di back end (per esempio, non avete bisogno di costosi server VDI o di pagare più di 30 dollari al mese per ogni utente per il DaaS). Tutto il “lavoro” viene svolto sui portatili.

Ci sono anche alcuni aspetti negativi dell’opzione VPN:

Dal momento che tutte le vostre applicazioni verranno eseguite localmente su un laptop a casa di un utente, dovete capire come fare ad installarle e come tenerle aggiornate.
Che cosa succede se il portatile dell’utente è troppo vecchio e non può eseguire tutte le applicazioni? E se si tratta di un Mac?
Qualsiasi dato o file con cui l’utente lavora sarà copiato localmente sul suo computer di casa. Sei d’accordo?
Una VPN mette il laptop dell’utente sulla rete aziendale, anche se è a casa. Che cosa significa questo per Patch Tuesday, dove si potrebbe avere la propria infrastruttura di distribuzione del software (WSUS, server di distribuzione, BranchCache, P2P, ecc)? La vostra VPN e il vostro internet aziendale saranno in grado di gestire tutte le patch che passano attraverso la rete aziendale verso i vostri utenti? Gli utenti non su VPN riceveranno anche gli aggiornamenti?
Per gli utenti che non hanno computer portatili aziendali, può essere molto impegnativo far funzionare un computer portatile nuovo di zecca con tutto installato e configurato quando l’utente è al 100% a casa e il portatile non è mai arrivato in ufficio.
Se avete bisogno di procurarvi nuovi laptop per i vostri utenti, la vostra immagine esistente del disco di Windows funzionerà per loro? Quanto tempo e effort sarà necessario? E cosa succede se tutti i vostri utenti si ritrovano con marche e modelli diversi? Sarete mai in grado di far installare e far funzionare tutto in remoto?

Detto questo, possiamo fare le seguenti asserzioni.

Ad esempio, l’affermazione che è difficile configurare un nuovo laptop da remoto è vera solo se si utilizzano strumenti PCLM legacy (Microsoft SCCM, GPO, on-prem AD, VPN, ecc.). Se si dispone di una moderna piattaforma di gestione (VMware Workspace ONE, ecc.), è possibile sfruttare le moderne capacità di Windows 10 basate sul cloud per consentire agli utenti di effettuare facilmente il self-enroll dei propri laptop, anche quelli nuovi acquistati nei negozi locali dagli utenti. I laptop automaticamente scaricano, si configurano e si mantengono aggiornati e sicuri, il tutto tramite cloud.

È fantastico! Ma è necessario aver già fatto il lavoro di progettazione e di configurazione per facilitare tutto questo. Quindi, se state eseguendo la migrazione, o se è già stata eseguita, della gestione fisica del vostro PC Windows 10 su Workspace ONE UEM, allora potete usare questo, e siete pronti.

Ma se avete ancora l’SCCM e niente di moderno, allora non c’è davvero alcun modo in cui potete usare quello che avete per integrare i vari computer che si trovano nelle case delle persone. (Alcuni clienti stanno configurando ora nuovi ambienti di Workspace ONE UEM basati su SaaS per integrare nuovi computer portatili Windows 10 e Mac remoti, mantenendo il vecchio ambiente SCCM per tutti i loro portatili esistenti che lo utilizzano).

E gli utenti che non hanno computer a casa?

Molti impiegati non hanno computer portatili aziendali, quindi se questi lavoratori hanno bisogno di lavorare da casa, bisogna pensare a quali opzioni scegliere:

Compri loro un dispositivo e glielo spedisci a casa.
Dite loro di usare qualsiasi computer che hanno già.
Dite loro di andare su Amazon, Walmart, ecc. e di comprare un nuovo computer portatile.
Dite loro di usare il loro telefono o tablet.

Allora, cosa scegliere?

L’argomento più importante per decidere se scegliere la VDI o la VPN, secondo me, è: “Quale opzione tecnologica ti è più comoda? Dove hai speso il maggior effort?”

Sia un desktop VDI che un portatile fisico richiedono molta ingegneria per funzionare. Con la VDI, bisogna pensare ai server, agli IOPS, alle immagini disco, al layering delle applicazioni, alla stampa, ai profili utente, ai tempi di login, al numero di monitor, alle GPU, ai pixel e alla larghezza di banda, agli aggiornamenti dei client, ecc. Su questo sono stati scritti interi libri e le persone (come me!) dedicano decenni della loro vita a capire tutto questo.

Ma lo stesso vale per i portatili Windows che si connettono tramite l’opzione VPN. Gli architetti desktop passano mesi o anni a progettare l’immagine, a pensare a come le applicazioni vengono installate e configurate, a come impostare tutti gli strumenti di sicurezza, la crittografia del disco, il monitoraggio, le patch del software e gli aggiornamenti, i tunnel VPN e molte altre cose.

Quindi, la mia breve risposta sarebbe: “Bisognerebbe scegliere la soluzione con cui ci si sente più a proprio agio”. Se non avete mai fatto VDI prima d’ora, a meno che non riusciate a trovare un ottimo partner di consulenza, non sarebbe facile consigliare di entrare in VDI in una sorta di emergenza.

Lo stesso vale per le VPN e i computer portatili. Se la vostra unica esperienza nella gestione di dispositivi Windows si basa su quelli che si trovano nel vostro ufficio, allora la gestione di laptop remoti sarà piuttosto stressante date le sfide create dalla quarantena.

Fonte: VMware

Come lo Shadow IT mina la vostra strategia Zero Trust Network Access

Un principio fondamentale della sicurezza dei dati è garantire che si sappia dove vengono conservati; i dati che si spostano al di fuori del controllo aziendale sono la ragione per cui lo Shadow IT è un problema per i team di sicurezza. Senza la possibilità di gestire l’autenticazione e l’accesso alle applicazioni shadow, è probabile che esse siano protette in modo improprio e che compromettano la sicurezza.

Sfortunatamente per i team di sicurezza, il 41% dei dipendenti utilizza applicazioni professionali senza chiedere l’autorizzazione all’IT, con una probabilità quasi doppia che venga fatto da dipendenti a livello manageriale. Quando si ha una non conformità dall’alto, la sfida a proteggere i dati diventa molto più difficile e diventa un problema culturale complesso da correggere.

Perché lo Shadow IT viene adottato?

Ogni reparto vuole adottare nuove tecnologie per migliorare le operazioni e la produttività al fine di ottenere un vantaggio competitivo; purtroppo, se tutte le decisioni tecnologiche hanno bisogno di un’approvazione da parte dell’IT, in particolare durante i progetti di trasformazione digitale, ci sarà inevitabilmente un collo di bottiglia e alcuni progetti avranno priorità e altri ritardi. In caso di ritardo è possibile vedere le unità aziendali prendere in mano la situazione e aggirare il processo ufficiale di approvvigionamento IT.

Ad esempio, è la fine del trimestre, un venditore sta per inviare una proposta e il cliente chiede se può essere trasmessa tramite Dropbox, un servizio non approvato. Il venditore contatta l’IT e attende una risposta o usa Dropbox per tranquillizzare il cliente? Per un compito apparentemente innocuo, perché aspettare? Il rischio percepito è minimo ed è meglio chiedere perdono, giusto?

Un altro esempio è un responsabile delle risorse umane che deve prepararsi a diversi colloqui il giorno successivo. È già tardi e deve tornare a casa per mettere a letto i bambini, così decide di inviare i profili dei candidati alla sua email personale per semplicità. Anche se con buone intenzioni, i dati sono, anche in questo caso, al di fuori della sicurezza aziendale.

Se consideriamo che lo Shadow IT nasce dalla volontà di essere produttivo e di accedere a determinate informazioni in modo efficiente, è chiaro che lo Shadow IT è in parte un problema di accesso.

Shadow IT e accesso

Permettere ai dipendenti di accedere in modo sicuro ai dati di cui hanno bisogno ovunque si trovino, qualunque sia il dispositivo che utilizzano, è alla base della trasformazione digitale, tanto che le strategie di sicurezza e di accesso hanno dovuto evolversi per soddisfare le moderne esigenze aziendali. COVID-19 ha costretto le aziende a rivalutare il modo in cui la forza lavoro accede alle informazioni, allontanandosi dalle tecnologie tradizionali. Se gli utenti non sono in grado di accedere alle informazioni di cui hanno bisogno o subiscono continue disconnessioni tramite la VPN, ciò porterà inevitabilmente all’adozione di Shadow IT.

Zero Trust Network Access (ZTNA) è stato pubblicizzato come il modello sostitutivo per la sicurezza e l’accesso tradizionale basato sul perimetro, con Gartner che prevede che entro il 2023, il 60% delle aziende eliminerà gradualmente la maggior parte delle loro reti private virtuali di accesso remoto (VPN) a favore di ZTNA.

Shadow IT mina lo ZTNA. I progetti ZTNA avranno successo solo se forniranno una protezione universale per l’infrastruttura applicativa di un’organizzazione, non solo per le applicazioni note, senza continueranno a esserci lacune nella sicurezza.

Con ZTNA, l’infrastruttura applicativa di un’organizzazione beneficia di una serie di tecnologie di sicurezza e di accesso, tra cui Identity & Access Management (IAM), controlli di adaptive access e gestione dei privilegi; le applicazioni shadow non funzioneranno perché non sono integrate. Oltre ad essere vantaggioso per la sicurezza, allevia i problemi di produttività ottimizzando la connettività e riducendo l’onere della riautenticazione su più servizi. ZTNA può mitigare l’adozione di Shadow IT consentendo agli utenti di essere produttivi.

Le aziende devono adottare tecnologie che consentano loro di ottenere visibilità dello Shadow IT su tutte le piattaforme e di applicare policy su tutti i dispositivi. Mentre lo sviluppo e la comunicazione di una chiara governance del cloud è importante, i team di sicurezza non possono contare sulla prudenza o sulla conformità dell’intera forza lavoro, ed è necessario un ulteriore livello di protezione.

Fonte: Wandera

Lavoro da remoto sicuro – come Ericom sta gestendo la mia nuova normalità

Come molti di voi, ho adattato il mio stile di vita per affrontare la nuova realtà dovuta all’epidemia di Coronavirus. Non sono in preda al panico, ma sto impiegando misure prudenti per rimanere al tempo stesso sicuro e produttivo, e chiedo ai miei cari di fare lo stesso. In un settore, però, ho avuto un vantaggio: sono un lavoratore a distanza da quasi un anno ormai, per un’azienda che produce prodotti per l’accesso remoto sicuro. Quindi, quando si tratta di sapere quali soluzioni funzionano per il lavoro da remoto, non c’è niente di meglio che chiedere a me!

Ho la fortuna di essere abbastanza ben collegato in rete nell’area di Washington DC, e nel più ampio settore della tecnologia della sicurezza informatica. Di conseguenza sono stato in grado di aiutare amici e contatti, sia nelle grandi aziende che nelle piccole, a sfruttare le soluzioni Ericom per il passaggio dei loro utenti agli ambienti di lavoro da remoto. Nella speranza che alcune delle mie indicazioni possano esservi utili, ecco alcune soluzioni chiave del portfolio Ericom che si sono dimostrate utili e che hanno permesso loro di introdurre rapidamente programmi di lavoro da remoto:

Ericom AccessNow – Uso questo prodotto tutti i giorni e lo amo assolutamente. Il nostro team IT me lo ha fatto usare il mio primo giorno in Ericom. In poche parole, fornisce un accesso RDP basato su browser, da qualsiasi dispositivo con un browser compatibile HTML5, anche da Chromebooks. Lo uso per accedere alle applicazioni aziendali Windows-based di cui ho bisogno, ma può essere utilizzato per accedere ai desktop Windows (virtuali e fisici), che girano su piattaforme Windows Terminal Services/RDS/VDI, compresi Microsoft Hyper-V e altri hypervisor. Non c’è nessun client da installare. Voglio dire niente… niente Flash, Silverlight, ActiveX, ecc. I team IT sono stupiti di quanto sia semplice da implementare e del livello di accesso ai desktop e di controllo che fornisce agli utenti, indipendentemente da dove si trovino. Per maggiori informazioni premere qui.

Ericom Connect – Per le aziende che necessitano di una soluzione con più controllo amministrativo, integrazione del sistema di autenticazione, monitoraggio e così via, segnalo Ericom Connect. Come AccessNow, Connect è un’applicazione remota e una soluzione di accesso al desktop, ma ha maggiori controlli che le imprese più grandi cercano, insieme all’enorme scalabilità che richiedono. Infatti, un singolo server Ericom Connect può supportare fino a 100.000 utenti simultanei, eliminando la necessità di implementazioni multiple. È 100% web-based, il che lo rende facile da usare per i dipendenti. Anche la gestione amministrativa è accessibile da qualsiasi web browser. Per maggiori informazioni premere qui.

Ericom Shield – Molte imprese sono preoccupate per il loro nuovo esercito di lavoratori da remoto che si recano sul web attraverso reti personali, WIFI da pubblici esercizi e altre reti non sicure. Prevedono che l’accesso al web da reti non aziendali potrebbe arrivare fino al 70-80% del loro traffico web. E poiché tale traffico non verrà instradato attraverso filtri di rete, controlli e prevenzione del phishing, temono che gli endpoint possano essere infettati da malware web-based. Capiscono che una volta che ciò accade, il malware può spostarsi all’interno della rete aziendale quando l’utente si ricollega. È qui che la soluzione di isolamento remoto del browser, Ericom Shield, può essere d’aiuto. Sia che gli utenti navighino su un sito maligno in modo indipendente o che ne raggiungano uno cliccando su un URL apparentemente innocuo incorporato in un’e-mail di phishing, Ericom Shield garantisce la loro sicurezza, poiché i contenuti web non vengono mai eseguiti sull’endpoint. Solo un flusso interattivo che rappresenta il sito web viene inviato al browser del dispositivo, fornendo un’esperienza utente sicura, senza soluzione di continuità e completamente interattiva. La tecnologia di isolamento del browser di Ericom Shield è in grado di rendere i siti in modalità di sola lettura per impedire agli utenti di inserire le credenziali, fornendo un’ulteriore protezione dal phishing. Gli allegati dei file vengono igienizzati prima di essere trasmessi agli endpoint, garantendo che il malware all’interno dei download non possa infettare i dispositivi dell’utente finale. Per maggiori informazioni premere qui.

Spero che questa rapida panoramica sia utile a molti di voi. Auguro a voi e ai vostri lavoratori da remoto la stessa esperienza produttiva e sicura che ho avuto durante il mio ultimo anno in Ericom.

Fonte: Ericom Software – Autore Gerry Grealish Chief Marketing Officer

[Track-It!] Supporto per protocollo TLS 1.2

TLS 1.2

I protocolli TLS 1.0 e 1.1 sono, da tempo, considerati insicuri. Si suggerisce di utilizzare il protocollo TLS 1.2 (e, in futuro, il protocollo TLS 1.3) per realizzare una comunicazione più sicura.

BMC ha rilasciato una patch per il prodotto Track-It! 11.4 che consente di utilizzare il protocollo TLS 1.2.

La patch deve essere installata sopra la versione 11.4 SP1 (il numero di build da verificare nelle “Informazioni di sessione” è 11.4.1.558 o 11.4.1.599).

Nel caso è necessario aggiornare BMC Track-It! prima a tale versione e poi applicare la patch.

Oltre ad aggiungere il supporto a TLS 1.2, sono state aggiune le funzionalità seguenti:

Supporto ad Exchange Web Service con Open Authentication per Office 365 Exchange
Supporto al protocollo LDAPS
Supporto per Catalina OS in Track-It! Mac audit

Il nostro Supporto è a disposizione per qualsiasi ulteriore informazione.

La notizia originale si trova a questo indirizzo