Il Gruppo Direct Line è di proprietà del Gruppo Royal

Case Study Direct Line
Il Gruppo Direct Line è di proprietà del Gruppo Royal Bank of Scotland, il secondo gruppo
bancario in Europa e il quinto al mondo. Oggi il Gruppo Direct Line, presente in Inghilterra,
Italia, Germania e Spagna, conta più di 5 milioni di clienti auto, più di 10 milioni di polizze
nel Regno Unito e in Giappone e oltre 10.000 dipendenti. Nota per il famoso marchio con il
telefono rosso, Direct Line è stata il pioniere nella vendita diretta di polizze assicurative nel
Regno Unito. Direct Line è operativa in Italia dal gennaio 2002.
La Problematica
L’esigenza iniziale di Direct Line era di garantire l’accesso remoto da parte dei dipendenti ai
dati aziendali, in maniera sicura e scalabile nel tempo. In particolare bisognava consentire ai
manager di Direct Line di accedere in qualunque momento e in qualsiasi parte del mondo
alle informazioni contenute nella rete aziendale e alla posta interna, e ai sistemisti di
connettersi alle applicazioni remote. Al momento gli utenti che hanno la necessità di
utilizzare il servizio sono circa 15.
Un servizio analogo esisteva in precedenza, con la vecchia proprietà di Allstate, la
compagnia americana di assicurazioni - ramo auto che nel 1998 aprì le operazioni in Italia e
nel 2001 decise di vendere la filiale italiana a Direct Line. L’azienda cambiò quindi tutta una
serie di standard e procedure per uniformarle a quelle del nuovo Gruppo. Tra queste anche
la soluzione di tipo extranet per l’accesso da remoto alle applicazioni aziendali.
I prerequisiti fondamentali per la realizzazione del progetto erano:
Adeguarsi agli standard della casa madre, seguendone le linee guida. In particolare
bisognava sviluppare un sistema di autenticazione forte basato su password one-time.
• Garantire l’accesso alla rete aziendale attraverso un modem server per controllare al
meglio tutti gli accessi
• Usare per la connessione un Numero Verde dedicato
•
L’avvio del progetto risale all’inizio del 2003 e attualmente è in produzione.
La Soluzione
SecureGate – azienda specializzata nella consulenza e nella fornitura di servizi e soluzioni
per la sicurezza informatica – ha realizzato per Direct Line un sistema di Strong
Authentication che consente ai dipendenti di collegarsi in modo sicuro alla rete interna
aziendale, attraverso un’unica password costituita da un PIN e da un codice di accesso onetime generato da un token.
Grazie a questa soluzione, Direct Line può fornire in qualsiasi momento ai dipendenti
accesso al servizio. Basta infatti dotarli del token (una piccola chiave hardware), e nel giro di
due ore il servizio è attivato. Inoltre, il progetto ha apportato dei benefici in termini di
riduzione di tempi e costi, in quanto i dipendenti possono collegarsi in ogni momento della
giornata, anche dall’estero; grazie al Numero Verde la chiamata è gratuita. Tutto ciò
rappresenta per Direct Line un vantaggio competitivo.
“Insieme a SecureGate abbiamo raggiunto il nostro obiettivo in un tempo definito e senza
ritardi. L’implementazione del progetto ha richiesto non più di tre giorni. La parte più
complessa è stata l’analisi e la progettazione, in quanto dovevamo attenerci alle indicazioni
base della casa madre e scegliere le tecnologie che meglio potevano rispondere alle nostre
esigenze”, racconta Vincenzo Valente, Technical Infrastructure Administrator di Direct Line.
“SecureGate ha avuto un ruolo attivo e propositivo anche in questa fase, permettendoci di
reaizzare una soluzione su misura per Direct Line”.
L’utilizzo di una password dinamica one-time generata dal token rende sicuro e facilmente
fruibile l’accesso ai dati aziendali.
“La procedura di accesso dell’utente è basata su qualcosa che conosce (il PIN) e qualcosa che
possiede, il token, appunto, che genera la password utilizzabile un’unica volta”, continua
Valente. “Ogni utente ha la sua login a cui è associata una chiavetta hardware, sul cui display
compare una sequenza di numeri che cambia dopo alcuni secondi”.
L’utente compone il Numero Verde dedicato e sul suo Pc appare una schermata di login dove
deve inserire la User ID aziendale e la password (PIN predefinito + codice token). Il modem
server inoltra la richiesta all’Authentication Server, che la valida e verifica l’associazione tra
PIN ed utente. A questo punto viene inviata la risposta al modem server che a sua volta
consentirà l’accesso del client nella rete interna. Una volta ricevuta l’autorizzazione alla
autenticazione viene dato accesso ai servizi di rete.
La tecnologia implementata
Per realizzare la soluzione è stato scelto il token Digipass Go 1 di Vasco. Il modem server
con la funzione di accettare le chiamate dall’esterno è un Network Access Server (NAS) di
Cisco Systems equipaggiato con una batteria di modem (16) che, utilizzando il protocollo
Radius, inoltra le richieste di autenticazione ai due Authentication Server di Vasco (Vacman
Radius Server), sincronizzati con il token, che hanno il compito di validare gli accessi del
generatore di password one-time. L’impiego di due server Vasco, che si replicano
continuamente, garantisce la sicurezza anche dal punto di vista della continuità del servizio.
Un firewall NG di Check Point su piattaforma Linux filtra gli accessi di chi si autentica,
differenziando i privilegi di accesso alle applicazioni. Al momento Direct Line ha deciso di
fare accedere gli utenti alla posta, a Internet e ai file server che si trovano nella rete interna
aziendale. Per quanto riguarda la connessione, le linee sono al momento analogiche, ma
l’azienda sta passando alle linee digitali.
Il sistema è stato realizzato da SecureGate in modo da consentire ulteriori sviluppi in futuro.
Il NAS Cisco è un modem server scalabile che consente di aumentare in numero di utenti che
si collegano contemporaneamente senza nessun impatto sulla soluzione. Un possibile
sviluppo potrebbe anche essere di utilizzare lo strumento di Strong Authentication anche per
l’accesso alle applicazioni residenti sulla rete aziendale interna.