Quanto è importante la sicurezza dei dati per gli utenti moderni delle app mobili

Sempre più aziende che sviluppano le proprie app mobili fanno il passo in più per garantire la sicurezza delle app mobili, e per una buona ragione.

Secondo il rapporto annuale 2021 dell'Identity Theft Resource Center (ITRC), l'anno 2021 è stato un record per il numero di compromissioni di dati: 1.862 casi . Al momento della stesura di questo articolo, nei tre trimestri del 2022, il centro ha segnalato finora 1.291 compromissioni di dati. Questi sono i dati sulle violazioni divulgate pubblicamente solo negli Stati Uniti.

In media, una violazione dei dati può costare a un'azienda che ne soffre circa 4,35 milioni di dollari (media globale), secondo i dati IBM del 2022. Aggiungete a ciò il tremendo colpo alla reputazione se le informazioni sulla violazione diventano pubbliche. Se guardato in questo modo, ogni imprenditore si rende conto che la sicurezza dei dati è importante.

In questo articolo, parliamo dell'importanza di implementare solide pratiche di sicurezza dei dati nelle app mobili e di come farlo nel modo giusto. Attingiamo alla nostra esperienza nello sviluppo di prodotti incentrati sulla sicurezza come la nostra app di messaggistica per la regione del Medio Oriente.

Cos'è la protezione dei dati in senso moderno

Il mondo in rapida digitalizzazione va matto per la sicurezza dei dati (giustamente) e oggi abbiamo numerose leggi di tipo nazionale e internazionale, implementate al solo scopo di proteggere le informazioni proprietarie. Tutti sono costruiti sulla base degli stessi principi, più o meno. La legge internazionale più nota di questo tipo è probabilmente il regolamento generale sulla protezione dei dati, o GDPR in breve.

Il GDPR si basa sui seguenti sette principi per il trattamento delle informazioni personali:

• Legittimità, correttezza e trasparenza
• Limitazione dello scopo
• Minimizzazione dei dati
• Precisione
• Limitazione di archiviazione
• Integrità e riservatezza (sicurezza)
• Responsabilità

Se dovessimo riassumere questi principi senza citare l'intero articolo 5 del GDPR, implementare misure di sicurezza dei dati significa che qualsiasi dato deve essere:

• raccolti ed elaborati nella quantità minima necessaria
• conservati per il solo periodo necessario e poi cancellati
• utilizzato solo per scopi specifici, e
• protetto dal furto o dalla modifica dei dati da parte di terzi diversi dal proprietario dei dati

I raccoglitori di dati devono anche informare gli utenti della raccolta e dell'elaborazione dei loro dati. Il raccoglitore e il responsabile del trattamento dei dati devono essere responsabili del rispetto di questi principi.

Quali dati degli utenti di app mobili devono solitamente essere protetti?

Tutti abbiamo visto messaggi sui cookie nei browser, ma nulla di simile esiste nelle app mobili. Allo stesso tempo, le app mobili possono raccogliere, archiviare ed elaborare informazioni molto più sensibili rispetto a quelle a cui gli utenti del sito Web non accedono, ad esempio. L'uso di tali dati rappresenta un potenziale danno reale se compromesso.

Quindi quali tipi di dati utente deve proteggere il proprietario di un'app mobile? Ecco un elenco non esclusivo di dati sensibili:

• Informazioni di identificazione personale . Ciò include informazioni su ID/patente di guida, indirizzi fisici e numeri di telefono. Tali informazioni vengono spesso utilizzate nelle app di e-commerce poiché per inviare un pacco, il venditore ha bisogno di queste informazioni. Alcune app di consegna memorizzano i codici chiave della serratura nelle loro app, aprendo potenzialmente i condomini ai ladri.
• Informazioni sulla salute personale e cartelle cliniche . Le app di telemedicina e alcuni tracker per la salute e l'assunzione di farmaci (ad esempio quelli rivolti a persone con disturbi cronici), a volte si sincronizzano con i sistemi EHR e possono fornire dati dagli utenti ai loro medici. Altre volte, l'app potrebbe solo memorizzare i dati senza trasferirli; l'utente potrà, a sua discrezione, mostrarlo successivamente al medico.
• Carta di pagamento e dati bancari . Sebbene al giorno d'oggi la maggior parte delle app utilizzi G Pay e Apple Pay per l'elaborazione dei pagamenti, non è insolito che alcune di esse memorizzino i dati della carta di credito nell'app, soprattutto quando gli utenti preferiscono non collegare i portafogli di sistema alle proprie carte. In tal caso, i proprietari delle app devono fare di tutto per proteggere tali dati.
• Numeri di previdenza sociale, informazioni sull'assicurazione . App che trattano i numeri di previdenza sociale e le informazioni sull'assicurazione degli utenti del negozio di assicurazioni. Tali informazioni sono considerate sensibili insieme alle informazioni di identificazione personale.

Tutte queste informazioni potrebbero essere memorizzate nei profili utente nelle app mobili per essere utilizzate per lo scopo dell'app: effettuare acquisti, mantenere la salute, gestire attività personali e altro ancora. E se tali dati vengono rubati dai server dell'app, possono essere utilizzati per furto di identità, frode, attacchi di phishing, rapina e altri crimini.

Pertanto, se stai sviluppando un'app che deve gestire uno o più tipi di tali informazioni sensibili, è tuo dovere in qualità di proprietario dell'app fornire una protezione sufficiente dei dati dei clienti dell'app.

Esistono diversi modi per garantire la sicurezza dei dati per le app mobili, a cui passeremo in seguito. Innanzitutto, vorremmo evidenziare alcuni degli ultimi casi di fuga di dati.

Ultimi casi popolari di perdita di dati delle app mobili degli utenti

Come accennato all'inizio di questo articolo, il 2021 è stato un anno con un numero record di violazioni dei dati. Un certo numero di quelli coinvolti app mobili. Eccone solo alcuni.

Fuga di dati degli utenti Android

Questa violazione non riguardava un'app specifica. Invece, ha coinvolto numerose app. Almeno ventitré app sono state interessate, ma potrebbero essercene di più. Tuttavia, il numero di app interessate non è importante, in realtà.

L'importante è la causa. Un certo numero di sviluppatori di app non ha prestato sufficiente attenzione alle configurazioni dei propri servizi cloud di terze parti, il che ha portato all'esposizione dei dati personali di oltre 100 milioni di utenti Android. I dati esposti includevano informazioni di identificazione personale come nomi e indirizzi, nonché informazioni mediche, foto, informazioni di pagamento e numeri di telefono.

Circolo

Nel febbraio 2021, diversi punti vendita hanno segnalato un caso in cui uno sviluppatore cinese ha creato un'app open source che consentiva agli utenti Web e Android di accedere all'app Clubhouse solo per iOS. Le persone potevano ascoltare qualsiasi streaming di Clubhouse senza avere né un iPhone né un codice di invito, che era un altro punto controverso quando si trattava di Clubhouse.

Sebbene inizialmente questa violazione non sembrasse di tipo dannoso, ha messo in luce falle nella sicurezza di Clubhouse e ha consentito a chiunque di accedere a discussioni private.

App di pagamento Klarna

L'app di mobile banking svedese Klarna ha subito una violazione dei dati nel maggio 2021, che è stata risolta rapidamente e, secondo quanto riferito, non ha causato alcun danno significativo. L'essenza della violazione era che gli utenti che accedevano ai propri account venivano brevemente connessi ad altri account di utenti casuali e potevano vedere le informazioni sui loro account.

Facebook

Facebook è notoriamente noto per i suoi principali scandali di violazione dei dati. Lo scandalo Cambridge Analytica nel 2016, la fuga di dati del 2019 e l'ultima fuga del 2021 che si diceva sfruttasse la stessa vulnerabilità che avrebbe dovuto essere risolta nel 2019. Il risultato? 533 milioni di utenti in tutto il mondo hanno fatto trapelare i propri dati.

App di certificazione COVID Portpass

Un'app privata volta a consentire agli utenti di dimostrare il loro stato di vaccinazione in Canada aveva avuto informazioni di identificazione personale dei suoi utenti esposte sul suo sito Web non protetto. I dati includevano foto di patenti di guida e passaporti, nomi, indirizzi, numeri di telefono e persino gruppi sanguigni di utenti.

Tipi principali di controlli di sicurezza dei dati

Controllo di accesso

Il controllo degli accessi, o gestione degli accessi, è il più semplice tra i componenti della sicurezza dei dati . Come suggerisce il nome, significa limitare l'accesso agli spazi in cui sono archiviati i dati al minor numero di persone possibile. Solo i dipendenti che richiedono tale accesso per svolgere il proprio compito possono avere la possibilità di ottenere i dati e tali dipendenti devono essere accuratamente selezionati.

Autenticazione

Una corretta autenticazione per la tua app mobile aiuterà a impostare una certa protezione contro perdite e violazioni da parte degli utenti. Se la tua app tratta dati sensibili (finanziari, relativi alla salute o di identificazione personale), il processo di accesso all'app deve disporre di misure di sicurezza . Ad esempio, riconoscimento facciale, scansione delle impronte digitali e autenticazione in due passaggi tramite codici a breve termine per e-mail.

Cancellazione dei dati

È uno dei principi del GDPR archiviare le informazioni sensibili degli utenti sui server solo finché è necessario per fornire i servizi. Quando viene meno la necessità di tali informazioni, i dati devono essere cancellati. Dopotutto, i dati non possono essere violati o divulgati dai server se non ci sono dati lì.

Crittografia dei dati

Uno dei modi più sicuri per proteggere i dati degli utenti nella tua app per dispositivi mobili consiste nell'utilizzare la crittografia end-to-end . In questo modo, una perdita accidentale di dati diventa quasi impossibile poiché i dati non avrebbero alcun senso senza le chiavi di decrittazione. Anche l'hacking di tali dati sarà molto più difficile, soprattutto se le chiavi di decrittazione non vengono conservate sui server ma sui dispositivi degli utenti e sono uniche per ciascun utente.

Mascheramento dei dati

Uno dei modi per crittografare i dati è mascherarli. Il mascheramento dei dati è un processo in cui caratteri e numeri sono nascosti da caratteri proxy. Non è una soluzione perfetta ma funziona contro alcune violazioni accidentali o non dannose.

Resilienza dei dati

Mentre la crittografia, il mascheramento e la cancellazione hanno lo scopo di proteggere da perdite e hack, la resilienza dei dati è la protezione contro la perdita di dati . Se ci sono dati di cui tu o i tuoi utenti avete bisogno costantemente, dovete avere un backup di tali dati. In questo modo, se dovesse succedere qualcosa ai tuoi server principali, i dati possono essere ripristinati dal backup.

Noi di Mind Studios ci siamo salvati mantenendo questa pratica quando i server OVH che abbiamo utilizzato sono stati tra quelli che hanno preso fuoco nel marzo 2021 e alcuni dati sono stati danneggiati. Ma avevamo i backup, quindi è andato tutto bene.

Piano di risposta agli incidenti

Nel caso in cui si verifichi una violazione o una fuga di notizie, la tua azienda deve disporre in anticipo di un piano di azioni. Diverse autorità di regolamentazione hanno i propri requisiti su ciò che un tale piano deve includere.

Di solito, la prima cosa da fare dopo aver scoperto la perdita è notificare agli utenti interessati che i loro dati potrebbero essere compromessi, soprattutto se i dati trapelati possono essere utilizzati per scopi dannosi come furto di identità o frode.

Sfide per la sicurezza dei dati delle app mobili

La privacy e la sicurezza dei dati stanno diventando sempre più difficili da mantenere con la crescita dei Big Data . Le persone condividono sempre più la loro vita online: in messenger, social network, app bancarie, piattaforme di e-commerce e assistenza sanitaria, ecc.

Inoltre, i proprietari delle app conservano altri dati sui propri utenti, come il comportamento in-app e i registri delle attività utilizzati per migliorare i servizi e fornire pubblicità mirata. L'enorme quantità di tali dati è una sfida da mantenere al sicuro e organizzata. Per questo motivo, non è una sorpresa che un piccolo errore nei processi possa causare una perdita .

Un altro punto debole è che alcuni dei dati raccolti dalle app potrebbero essere archiviati su risorse di terze parti. Tali risorse non fanno parte dell'organizzazione del proprietario dell'app e pertanto la sicurezza della risorsa non è sotto il controllo del proprietario dell'app.

Quindi cosa puoi fare per assicurarti che la tua app e i suoi utenti siano al sicuro?

Come aumentare la sicurezza dei dati delle app mobili

Come puoi vedere dagli esempi precedenti, non tutte le fughe di dati sono opera di hacker o si verificano a causa di intenti dannosi. In effetti, la stragrande maggioranza delle violazioni dei dati (circa il 95%) si verifica a causa di un errore umano.

Ciò significa che non è necessario investire necessariamente miliardi di dollari in alcune misure esagerate. Ciò di cui hai bisogno è una strategia di sicurezza dei dati delle app mobili basata su pratiche solide e da specialisti della sicurezza dei dati affidabili e responsabili.

Quali misure possono essere adottate per garantire la sicurezza dei dati degli utenti della tua app mobile?

Utilizza i certificati SSL/TLS per la sicurezza delle app

I certificati SSL/TLS (Secure Sockets Layer/Transport Layer Security) sono essenziali per la comunicazione sicura dei dati tra i server dell'app e i dispositivi degli utenti. I certificati SSL funzionano rimescolando i dati in modo che la loro decifrazione diventi quasi impossibile.

Blocco SSL

Sebbene i certificati SSL/TLS siano tra i modi più affidabili per proteggere i dati degli utenti nelle tue app, a volte possono essere vulnerabili agli attacchi MITM (man-in-the-middle). Se la tua app mobile tratta informazioni molto ricercate dai criminali (ad esempio, è un'app bancaria), ti invitiamo a utilizzare il pinning SSL.

Il pinning SSL è una tecnica che può bloccare documenti provenienti da server sconosciuti sulla tua app e impedire l'installazione di certificati falsi emessi da MITM. Questo viene fatto bloccando un host certificato SSL nella tua app durante lo sviluppo. I certificati dell'host bloccato saranno considerati gli unici affidabili.

Testa regolarmente la tua app per le vulnerabilità

Esistono modi per testare ed eliminare le vulnerabilità. La cosa importante qui è farlo regolarmente poiché:

• i metodi di hacking si evolvono abbastanza velocemente
• se c'è una vulnerabilità causata da un errore umano, gli sviluppatori potrebbero perderla quando controllano una volta, ma ripetuti test da parte di diversi specialisti assicureranno che venga trovata

Test di penetrazione

Il test di penetrazione è quando i tuoi sviluppatori o specialisti del QA eseguono un attacco informatico simulato sulle vulnerabilità della tua app, con l'obiettivo di trovare tutti i possibili collegamenti deboli nel codice. Questo tipo di test può essere eseguito per server/backend, front-end, API, ecc. Trovare le vulnerabilità è pertinente per eliminarle.

Prestare attenzione durante l'utilizzo di librerie di terze parti

La grande violazione dei dati Android che abbiamo menzionato sopra è avvenuta a causa di un'errata configurazione dei servizi cloud di terze parti. A volte, gli sviluppatori potrebbero essere tentati di fidarsi del fornitore della libreria, specialmente se è famoso, e trascurare una configurazione errata o un errore nel codice.

Quando si utilizzano librerie di terze parti, è essenziale controllare tutto vigorosamente poiché non è la stessa cosa che scrivere codice da zero ed è più facile perdere un errore.

Come i Mind Studios possono aiutarti

Gli ingegneri del software ucraini si sono piazzati al primo posto nelle sfide di sicurezza e all'undicesimo posto assoluto durante le Olimpiadi di programmazione HackerRank 2016. Da allora, le società di sviluppo software ucraine hanno continuato a evolversi e ad istruire se stesse e i loro specialisti.

Nel 2021, il Coursera Global Skills Report ha posizionato l'Ucraina all'ottavo posto nella tecnologia. Il rapporto 2022 Skill Value di Pentalog ha gli sviluppatori ucraini al quarto posto a livello globale.

Noi di Mind Studios siamo orgogliosi dell'attenzione del nostro paese allo sviluppo tecnologico e mettiamo la sicurezza dei dati in cima alla nostra lista di priorità anche per i progetti che intraprendiamo. Abbiamo lavorato su più prodotti che si occupavano di informazioni personali e abbiamo implementato la sicurezza di massimo livello per proteggere i dati degli utenti lì.

Tra i nostri ultimi progetti con un'elevata richiesta di sicurezza dei dati ci sono un servizio di consegna di cibo per la Danimarca e un'app di messaggistica sicura per il Medio Oriente. Dai un'occhiata ai nostri case study per saperne di più.

Pensieri finali

Man mano che il mondo si sposta negli spazi digitali, la necessità di misure di protezione dei dati non farà che aumentare e le legislazioni sulla sicurezza dei dati diventeranno solo più severe. La fiducia delle persone in Facebook è a brandelli dopo numerosi scandali di violazione dei dati. Simili scandali che coinvolgono aziende grandi e piccole si sentono forte e chiaro, non più insabbiati.

Che tu sia il titolare di una start-up o un esperto uomo d'affari con un'app mobile esistente, è essenziale stare al passo con le ultime tecnologie di protezione dei dati . Revisionare la sicurezza del tuo prodotto contro di loro e aggiornare di conseguenza le misure di protezione dei dati sta diventando una priorità assoluta.

In Mind Studios, siamo esperti nella sicurezza delle app mobili e possiamo affrontare qualsiasi sfida ci si presenti in questa sede. Se hai domande sull'argomento, i nostri rappresentanti possono offrirti una consulenza gratuita di 45 minuti se compili il modulo.

1