Gestione degli accessi: chi vede cosa, e chi dovrebbe vederlo

In quasi ogni organizzazione, se si chiede "chi può accedere all'archivio dei contratti?" o "chi può modificare i dati di pagamento dei fornitori?", la risposta onesta è: non lo sappiamo con certezza. I permessi si sono accumulati negli anni, un'eccezione alla volta. Il collega che ha cambiato ufficio ha mantenuto i vecchi accessi, il consulente di due anni fa ha ancora un account, la cartella condivisa "temporanea" è aperta a tutti.

Per chi guida un'organizzazione, la gestione degli accessi non è un dettaglio tecnico. È ciò che decide quanto danno può fare un account rubato, un errore o un dipendente infedele.

Il principio del minimo privilegio

La regola di fondo è semplice: ogni persona deve poter accedere solo a ciò che le serve per svolgere il proprio lavoro, e solo per il tempo in cui le serve.

Non è una questione di fiducia. Se un account viene violato con un'email di phishing, l'attaccante eredita tutti i suoi permessi. Un impiegato che può vedere solo le pratiche del proprio ufficio limita il danno a quelle pratiche; uno che può vedere tutto lo estende a tutto.

Ruoli, non persone

Concedere permessi persona per persona, su richiesta, porta inevitabilmente al disordine. Un approccio più solido è definire profili per ruolo: cosa serve a chi lavora in amministrazione, all'ufficio tecnico, allo sportello, alla direzione. Ogni nuova persona riceve il profilo del ruolo; le eccezioni vanno motivate, autorizzate e registrate.

Il beneficio è doppio: si sa sempre chi può fare cosa, e quando cambia un ruolo basta cambiare il profilo.

Gli account con più poteri

Particolare attenzione meritano gli account amministrativi, quelli che possono installare software, creare utenti, modificare configurazioni o accedere a tutti i dati. Alcune regole di buon senso:

• siano pochi, assegnati a persone individuate per nome;
• siano separati dall'account di uso quotidiano: chi amministra usa un account normale per posta e navigazione, e quello privilegiato solo quando serve;
• siano protetti sempre dall'autenticazione a più fattori;
• vengano monitorati: un accesso amministrativo insolito deve essere notato.

Lo stesso vale per gli accessi dei fornitori esterni che gestiscono sistemi o assistenza da remoto: vanno concessi per quanto serve, possibilmente attivati solo durante gli interventi.

I momenti critici

La maggior parte dei problemi nasce in tre momenti.

Ingresso. Un nuovo arrivato riceve spesso "gli stessi accessi del collega", che magari ne aveva accumulati troppi. Meglio partire dal profilo del ruolo.

Cambio di ruolo. Chi passa a un altro ufficio dovrebbe perdere i vecchi permessi, non sommarli ai nuovi.

Uscita. Gli account di chi lascia l'organizzazione, dipendenti, consulenti o stagisti, vanno disattivati il giorno stesso. Serve un collegamento chiaro tra chi gestisce il personale o i contratti e chi gestisce i sistemi.

La revisione periodica

Anche con buone regole, i permessi tendono a crescere. Una revisione periodica, ad esempio ogni sei o dodici mesi, in cui ogni responsabile conferma chi del proprio ufficio deve accedere a cosa, fa emergere account dimenticati e accessi superflui. Non serve uno strumento sofisticato per iniziare: un elenco degli account e dei sistemi principali è già un buon punto di partenza.

Perché conta anche per le norme

La gestione degli accessi è uno dei pilastri richiesti dal GDPR, che impone misure adeguate a proteggere i dati personali, e dalla NIS2, che include esplicitamente il controllo degli accessi e l'autenticazione a più fattori tra le misure di base. In caso di verifica, poter mostrare chi ha accesso a cosa, e perché, è una prova concreta di buona gestione.

La domanda da fare oggi

Chiedi a chi gestisce i sistemi: quanti account attivi appartengono a persone che non lavorano più con noi? Se la risposta non arriva in fretta, hai trovato il punto da cui partire.