Account dimenticati di ex collaboratori, nuovi arrivati con accessi eccessivi, dispositivi mai restituiti. Una procedura semplice per i momenti in cui la sicurezza degli accessi si gioca davvero.
In molte organizzazioni, l'elenco degli account attivi racconta una storia diversa da quella dell'organigramma. Ci sono caselle di posta di persone andate via da anni, consulenti che possono ancora entrare nel gestionale, stagisti con permessi da amministratore. Non per cattiva volontà: semplicemente, nessuno ha avvisato chi gestisce i sistemi.
Per chi guida un'azienda o un ente, la gestione del ciclo di vita degli account è una delle misure di sicurezza più efficaci e meno costose. Richiede soprattutto coordinamento.
Chi gestisce il personale sa quando una persona entra o esce. Chi gestisce i contratti sa quando finisce una consulenza. Chi gestisce i sistemi crea e chiude gli account. Se queste tre informazioni non si incontrano, gli account restano aperti.
La soluzione non è tecnica: è stabilire chi avvisa chi, quando e con quali informazioni.
Quando arriva una nuova persona, interna o esterna:
Per collaboratori esterni e consulenti conviene sempre fissare una data di scadenza dell'account, da rinnovare solo se serve.
È il momento più trascurato. Chi passa a un altro ufficio dovrebbe ricevere i permessi del nuovo ruolo e perdere quelli del vecchio, salvo un breve periodo di passaggio di consegne definito in anticipo. Altrimenti, dopo qualche anno, le persone più esperte diventano quelle con più accessi del necessario.
Quando una persona lascia l'organizzazione:
Per i fornitori vale lo stesso: alla fine di un contratto, gli accessi tecnici vanno chiusi e le credenziali usate durante l'assistenza cambiate.
Lo strumento più utile è una checklist semplice, condivisa tra chi gestisce il personale, i responsabili degli uffici e chi gestisce i sistemi, con una voce per ogni sistema e servizio rilevante. Va compilata a ogni ingresso e uscita e conservata. In caso di verifica, ad esempio per il GDPR o la NIS2, è la prova che gli accessi sono governati.
Anche con una buona procedura qualcosa sfugge. Una volta all'anno conviene confrontare l'elenco degli account attivi con l'elenco del personale e dei collaboratori in servizio. Ogni account senza un titolare attuale va chiuso o giustificato.
Gli account dimenticati sono porte aperte che nessuno sorveglia. Una procedura chiara per ingressi, cambi di ruolo e uscite le chiude a costo quasi nullo.
Negli anni i permessi si accumulano: cartelle aperte a tutti, account di ex collaboratori ancora attivi, amministratori senza motivo. Come rimettere ordine con il principio del minimo privilegio.
La casella dell'ufficio protocollo, il gestionale con un solo utente per tutti, la password scritta sul quaderno comune. Gli account condivisi sono comodi, ma rendono impossibile proteggere e ricostruire.
Una password robusta non basta più da sola. Come sceglierla, dove conservarla e perché il secondo fattore ferma gran parte dei furti di account.