Accessi dei fornitori esterni: concedere solo il necessario

Poche organizzazioni gestiscono da sole tutti i propri sistemi. Il gestionale è assistito dalla software house, la rete da un tecnico esterno, i server da una società di servizi, il sito da un'agenzia. Per lavorare, questi fornitori hanno bisogno di accedere. E ogni accesso esterno è anche un possibile punto d'ingresso per un attaccante.

Molti attacchi gravi degli ultimi anni sono passati proprio da qui: credenziali di un fornitore rubate, strumenti di assistenza remota lasciati sempre attivi, account tecnici mai chiusi.

Il principio: accesso minimo, nominativo, temporaneo

Minimo. Il fornitore accede solo ai sistemi su cui deve intervenire, con i permessi necessari per quell'attività.

Nominativo. Ogni tecnico del fornitore ha credenziali proprie. Niente account generici come "assistenza" o "admin" usati da tutto il personale del fornitore, e soprattutto niente account dei dipendenti interni prestati per comodità.

Temporaneo. Quando possibile, l'accesso da remoto si attiva solo per la durata dell'intervento e si disattiva subito dopo.

Gli strumenti di accesso remoto

I programmi che permettono di controllare un computer a distanza sono indispensabili per l'assistenza, ma sono anche tra gli strumenti preferiti dagli attaccanti. Alcune regole:

• usare solo gli strumenti approvati dall'organizzazione, con autenticazione a più fattori;
• evitare installazioni permanenti con password fisse, specialmente sui server;
• prevedere che sia una persona interna ad avviare o autorizzare la sessione;
• conservare traccia di chi si è collegato, quando e per fare cosa.

Cosa mettere nel contratto

Un contratto con un fornitore che accede ai sistemi dovrebbe prevedere, in modo proporzionato all'importanza del servizio:

• le misure di sicurezza minime che il fornitore applica, compresa l'autenticazione a più fattori per i propri tecnici;
• l'obbligo di comunicare tempestivamente incidenti che possono riguardare l'organizzazione, con tempi compatibili con i propri obblighi di notifica;
• l'elenco aggiornato delle persone autorizzate ad accedere;
• il divieto di subappaltare l'accesso senza autorizzazione;
• la chiusura degli accessi e la restituzione o cancellazione dei dati alla fine del rapporto;
• quando il fornitore tratta dati personali, l'accordo previsto dal GDPR per i responsabili del trattamento.

Per i soggetti NIS2, la sicurezza della catena di fornitura è una delle misure di base richieste: questi elementi diventano parte della conformità.

Il controllo nel tempo

Gli accessi dei fornitori tendono ad accumularsi più di quelli interni, perché nessuno li vede ogni giorno. Conviene:

• mantenere un elenco dei fornitori con accesso ai sistemi e dei relativi account;
• rivederlo almeno una volta l'anno insieme ai responsabili dei contratti;
• chiudere subito gli accessi dei fornitori cessati e dei tecnici che non lavorano più per loro;
• cambiare le credenziali condivise durante gli interventi.

Le domande da fare oggi

Quanti fornitori possono entrare nei nostri sistemi in questo momento? Con quali account? Sappiamo chi si è collegato l'ultima volta e perché? Se le risposte richiedono giorni di ricerca, è il punto da cui partire.