Ora dispongo di tutte le informazioni necessarie per scrivere questo articolo completo. Iniziamo.
La settimana scorsa avete assunto un nuovo venditore. Quella mattina ha ricevuto le credenziali di accesso e, fin dal primo giorno, può visualizzare le buste paga dei colleghi, modificare le impostazioni di fatturazione e scaricare l'intero database clienti. Nessuno lo voleva. Nessuno lo ha deciso. È successo semplicemente perché nessuno si è posto la domanda: chi dovrebbe vedere cosa?
La gestione degli accessi e delle autorizzazioni è una di quelle problematiche che i manager delle micro e microimprese spesso rimandano, per mancanza di tempo o perché la considerano troppo complessa dal punto di vista tecnico. Eppure, una parte significativa degli incidenti di sicurezza aziendale deriva da accessi gestiti in modo inadeguato: un ex dipendente il cui account è rimasto attivo, uno stagista che poteva visualizzare l'intero database clienti, una password condivisa via e-mail. Questa guida vi fornisce gli strumenti per riprendere il controllo, senza tecnicismi o competenze informatiche avanzate.
Perché non tutti devono vedere tutto?
Il primo errore che molte piccole organizzazioni commettono è pensare che la fiducia sia sufficiente. Si fidano dei loro team, danno loro accesso a tutto ciò di cui hanno bisogno per lavorare senza intoppi e poi passano oltre. È nella natura umana. Ma è anche rischioso.
Gli incidenti di sicurezza non provengono sempre dall'esterno. Un dipendente scontento che se ne va portando con sé il database dei clienti, uno stagista che cancella accidentalmente un file contabile perché ne aveva i permessi, un fornitore di servizi le cui credenziali vengono compromesse e che apre l'accesso all'intero sistema informativo: questi scenari sono documentati, comuni e spesso evitabili.
Ma i rischi interni non sono l'unica preoccupazione. Quando un dipendente ha un accesso troppo ampio, ogni strumento che utilizza diventa un potenziale punto di ingresso. Basta un clic su un link dannoso in un'e-mail e l'attaccante eredita tutti i privilegi di quel dipendente. Se questi privilegi includono l'accesso alla contabilità, ai dati delle risorse umane e l'accesso amministrativo, l'intero sistema informativo risulta compromesso.
Esiste anche una dimensione organizzativa che viene spesso trascurata: un accesso troppo ampio crea confusione. Un dipendente che visualizza dati che non lo riguardano potrebbe prendere decisioni sbagliate, accedere inavvertitamente a informazioni riservate o semplicemente perdere tempo navigando in aree che non lo riguardano.
Infine, c'è la questione della responsabilità. Quando tutti possono fare qualsiasi cosa, nessuno è veramente responsabile di nulla. Rintracciare un'azione, capire chi ha modificato cosa, rispondere a un audit: tutto ciò diventa impossibile se l'accesso non è individualizzato e delimitato.
Limitare l'accesso non è segno di sfiducia nei confronti dei propri team. È una misura di buon senso che tutela l'azienda, protegge i dipendenti stessi e chiarisce le responsabilità di ciascuno.
I principali modelli di autorizzazione: per ruolo, per team, per ambito
Esistono diversi modi per organizzare il diritti di accesso all'interno di un'azienda. Nessuno è universalmente migliore degli altri: tutto dipende dalle dimensioni della struttura, dalla natura degli strumenti utilizzati e da come sono organizzati i team.
Il modello basato sui ruoli Questo è l'approccio più diffuso e consigliato per le micro e piccole imprese. L'idea è semplice: vengono definiti profili standard (venditore, contabile, responsabile delle risorse umane, dirigente, fornitore di servizi esterni) e a ciascun profilo viene associato un insieme specifico di diritti. Quando un nuovo dipendente viene assunto, gli viene assegnato il profilo corrispondente alla sua posizione e ottiene automaticamente l'accesso necessario, né più né meno. Questo modello è spesso indicato con l'acronimo RBAC (Role-Based Access Control). Il vantaggio principale è la facilità di gestione: se i diritti di un profilo cambiano, è sufficiente una singola modifica per tutti i dipendenti con quel profilo.
Il modello di squadra Organizzate l'accesso in base ai servizi o ai reparti. Il team vendite accede agli strumenti di gestione delle relazioni con i clienti e ai dati dei potenziali clienti. Il team finanziario accede agli strumenti di fatturazione e ai dati contabili. Il team delle risorse umane accede ai fascicoli dei dipendenti. Questo modello è intuitivo e spesso rispecchia la realtà operativa di una PMI. Il suo svantaggio: può creare compartimenti stagni eccessivamente rigidi nelle strutture in cui le responsabilità si sovrappongono.
Il modello perimetrale L'accesso viene definito in base alla sensibilità dei dati o delle aree del sistema informativo. Alcuni dati (dati personali dei clienti, dati relativi alle buste paga, dati medici) sono classificati come sensibili e accessibili solo a una cerchia ristretta di persone. Altri dati (catalogo prodotti, presentazioni di vendita) sono accessibili a tutti. Questo modello è particolarmente rilevante per le aziende che trattano grandi quantità di dati personali.
In pratica, le PMI combinano questi tre approcci. I ruoli sono definiti per reparto, vengono applicati livelli di riservatezza e vengono apportati aggiustamenti caso per caso per le situazioni specifiche (direzione generale, fornitori di servizi occasionali, progetti interfunzionali).
La chiave, a prescindere dall'approccio adottato, è la documentazione. Una tabella, anche semplice, che indichi per ogni profilo utente quali strumenti sono accessibili e con quale livello di accesso (sola lettura, modifica, amministrazione), vale molto più delle migliori intenzioni del mondo.
Il principio del minimo privilegio, applicato concretamente in una PMI
Il principio del minimo privilegio è la regola d'oro della gestione degli accessi. Afferma una cosa semplice: ogni utente dovrebbe avere solo i diritti strettamente necessari per svolgere le proprie mansioni. Nient'altro.
Questo principio è raccomandato da ANSSI nella sua guida all'igiene IT, richiesta dalla CNIL nell'ambito del quadro di RGPDe citata esplicitamente nell'articolo 32 del regolamento europeo come una delle misure tecniche appropriate per garantire la sicurezza dei dati personali.
In termini pratici, in una piccola azienda di 20 persone, ecco cosa significa:
La tua assistente amministrativa gestisce gli orari, la corrispondenza e gli ordini di materiale. Non ha bisogno di accedere ai dati relativi alle buste paga, ai contratti con i clienti o alle impostazioni amministrative del tuo sistema. Deve poter svolgere il suo lavoro, nient'altro.
Il tuo responsabile vendite senior conosce bene l'azienda e ti fidi del suo giudizio. Tuttavia, questo non giustifica il fatto che abbia accesso ai dati delle risorse umane dei suoi colleghi o alle impostazioni di configurazione del tuo sistema di fatturazione.
Il tuo fornitore di servizi IT interviene solo quando necessario per la manutenzione. Ha bisogno di un accesso tecnico temporaneo, non di un accesso permanente a tutti i dati dei tuoi clienti.
Il principio del minimo privilegio, se applicato correttamente, non rallenta il lavoro, bensì lo struttura. Tutti sanno a cosa hanno accesso e perché. Le richieste di accesso aggiuntivo vengono gestite caso per caso, documentate e revocate quando non sono più necessarie.
Un errore comune nelle piccole organizzazioni è quello di concedere i diritti di amministratore a troppe persone per evitare violazioni della sicurezza. Un singolo account amministratore compromesso può essere sufficiente a esporre l'intero sistema informativo. L'Agenzia nazionale francese per la sicurezza informatica (ANSSI) raccomanda di limitare i diritti di amministratore a un numero molto ristretto di persone e di utilizzarli solo per attività che li richiedano realmente, mai per la navigazione quotidiana o il controllo della posta elettronica.
Crea la tua matrice dei diritti in 5 passaggi
La matrice dei diritti di accesso, detta anche matrice delle autorizzazioni, è il documento centrale della vostra politica di gestione degli accessi. Si tratta di una tabella che mette in relazione strumenti e profili utente, indicando il livello di accesso concesso per ogni combinazione. Ecco come crearla, anche senza competenze tecniche.
Passaggio 1: Elenca i tuoi strumenti. Elenca tutti gli strumenti digitali utilizzati dalla tua azienda: email, strumenti di gestione delle relazioni con i clienti (CRM), software di contabilità e fatturazione, strumenti di gestione dei progetti, spazi di archiviazione condivisi, strumenti di videoconferenza, accesso al sito web, ecc. Non trascurare nessuno strumento, nemmeno quelli che sembrano insignificanti. Ogni strumento è una porta d'accesso.
Passaggio 2: Identifica i tuoi profili. Elenca le principali categorie di dipendenti della tua azienda: responsabile, responsabile vendite, venditore, responsabile amministrativo e finanziario, contabile, responsabile risorse umane, responsabile di progetto, collaboratore esterno, tirocinante. Questi profili devono rispecchiare la realtà della tua organizzazione, non un organigramma ideale.
Fase 3: Definire i livelli di accesso. Per ogni strumento, definisci i possibili livelli di accesso. In genere, quattro livelli sono sufficienti: nessun accesso, sola lettura (visualizzazione senza modifica), modifica (creazione e modifica dei dati) e amministrazione (configurazione dello strumento, gestione di altri utenti). Questi livelli spesso corrispondono ai ruoli offerti dagli strumenti stessi.
Passaggio 4: Compilare la matrice. Per ogni combinazione profilo/strumento, indicare il livello di accesso appropriato. Porsi sempre la stessa domanda: di cosa ha bisogno questo profilo per svolgere i suoi compiti? Non di ciò di cui potrebbe aver bisogno in futuro, né di ciò che sarebbe utile per lui avere. Di cosa ha bisogno adesso per svolgere il suo lavoro?
Passaggio 5: Convalida e aggiorna. La matrice deve essere convalidata dai responsabili dei dipartimenti competenti e rivista regolarmente. Non è un documento statico: si evolve con la vostra organizzazione. Un cambio di posizione, una nuova candidatura, un'uscita dall'azienda: ogni evento dovrebbe comportare un aggiornamento.
Questa matrice, anche nella forma di una semplice tabella, è ciò che la CNIL (Autorità francese per la protezione dei dati) potrebbe richiedervi di presentare durante un audit. È inoltre il vostro strumento migliore per la gestione quotidiana.
Momenti chiave: arrivo, cambio di posizione, partenza
La gestione degli accessi non è uno stato statico. Si tratta di un processo dinamico che deve adattarsi ai cambiamenti all'interno dei team. Tre momenti chiave rappresentano i rischi principali: l'arrivo di un nuovo dipendente, il suo cambio di ruolo e la sua uscita dall'azienda.
All'arrivoLa tentazione è quella di concedere rapidamente l'accesso a tutto, in modo che la persona possa essere operativa il prima possibile. Questo è comprensibile. Tuttavia, è anche una delle principali cause di un'eccessiva assegnazione di diritti. La prassi migliore è quella di preparare, prima del primo giorno, un elenco preciso dei diritti di accesso da creare, facendo riferimento alla matrice dei diritti. Ogni accesso deve essere assegnato a una persona specifica: un account per persona, mai un account condiviso. La CNIL (Autorità francese per la protezione dei dati) raccomanda esplicitamente l'utilizzo sistematico di account individuali e nominativi per garantire la tracciabilità delle azioni.
Al cambio di posizioneSi commettono due errori comuni. Il primo è quello di non concedere tempestivamente le nuove autorizzazioni, il che ostacola l'integrazione del dipendente nel suo nuovo ruolo. Il secondo errore, più grave, è quello di non revocare le vecchie autorizzazioni, con conseguente accumulo di privilegi non richiesti e non monitorati. Un dipendente che passa dal reparto vendite al reparto finanziario non ha più bisogno di accedere ai dati dei potenziali clienti. Queste autorizzazioni devono essere revocate il giorno stesso del cambio di ruolo.
All'inizioLa regola è categorica: tutti gli accessi devono essere revocati immediatamente, il giorno stesso dell'effettiva cessazione del rapporto di lavoro. Non la settimana successiva, non quando si ha tempo. Immediatamente. Un account attivo lasciato inattivo dopo le dimissioni rappresenta una porta aperta, a prescindere dalle intenzioni malevole dell'ex dipendente. Secondo le analisi sul campo, il periodo medio di revoca degli accessi nelle PMI è di diverse settimane. Si tratta di diverse settimane durante le quali chi non fa più parte dell'azienda può accedere ai vostri dati.
La checklist di uscita dovrebbe includere: disabilitare l'account di posta elettronica, revocare l'accesso a tutti gli strumenti aziendali, rimuovere l'accesso agli spazi di archiviazione condivisi, cambiare le password degli account condivisi a cui la persona aveva accesso (anche se è consigliabile evitare gli account condivisi) e ripristinare le apparecchiature.
Queste tre fasi devono essere disciplinate da procedure scritte, note a tutti i responsabili di reparto. Una procedura semplice, applicata in modo coerente, è infinitamente migliore di un processo complesso applicato in modo casuale.
GDPR: la gestione degli accessi è un obbligo, non un'opzione
Molti dirigenti di PMI percepiscono il GDPR come un onere amministrativo che riguarda principalmente le grandi aziende. Si tratta di un errore. Il Regolamento generale sulla protezione dei dati si applica a qualsiasi organizzazione che tratti dati personali, indipendentemente dalle sue dimensioni. E non appena si hanno clienti, dipendenti o potenziali clienti, si iniziano a trattare dati personali.
L'articolo 32 del GDPR impone ai titolari del trattamento dei dati di attuare misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporzionato al rischio. Tra le misure esplicitamente menzionate figurano la riservatezza, l'integrità e la disponibilità dei dati. La gestione degli accessi è fondamentale per il rispetto di questi tre requisiti.
L'articolo 5 del GDPR, che definisce i principi fondamentali del regolamento, stabilisce i principi di minimizzazione, integrità e riservatezza dei dati. Tali principi implicano direttamente che l'accesso ai dati personali debba essere limitato a coloro che ne hanno bisogno per svolgere le proprie mansioni.
La CNIL (Autorità francese per la protezione dei dati) ha chiarito questi requisiti nelle sue raccomandazioni. Si aspetta che le organizzazioni siano in grado di dimostrare che l'accesso ai dati personali sia limitato, tracciabile e facilmente revocabile. In caso di audit, è necessario essere in grado di presentare la propria politica di accesso, la matrice dei diritti e le procedure di revoca in caso di cessazione del rapporto.
Le sanzioni per la mancata conformità sono reali. La CNIL (Autorità francese per la protezione dei dati) può imporre multe fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale dei due importi sia maggiore. Per una PMI, anche una sanzione ben al di sotto di questi limiti può avere conseguenze significative, per non parlare del danno reputazionale.
La buona notizia è che una gestione rigorosa degli accessi, come descritta in questo articolo, vi permette di essere conformi ai requisiti dell'articolo 32 del GDPR. Non si tratta di un lavoro aggiuntivo: è lo stesso lavoro, semplicemente documentato.
Tracciabilità: registrazione degli accessi e possibilità di sapere chi ha fatto cosa
Gestire gli accessi è importante. Sapere cosa ha fatto ciascun utente con tali accessi è ancora meglio. La tracciabilità, o registrazione, consiste nel conservare una registrazione con data e ora di tutte le azioni eseguite nei sistemi: chi ha effettuato l'accesso, quando, da quale dispositivo e a quali dati ha avuto accesso o che ha modificato.
Questi registri di accesso svolgono diverse funzioni essenziali. Permettono di rilevare comportamenti anomali: una connessione alle 3 del mattino, un download massiccio di dati dei clienti o un accesso da un paese insolito. Consentono di condurre indagini in caso di incidente: se i dati sono stati modificati o cancellati, i registri permettono di risalire a chi ha fatto cosa e quando. Infine, costituiscono prova della dovuta diligenza in caso di ispezione da parte della CNIL (Autorità francese per la protezione dei dati) o di un audit di sicurezza.
La CNIL raccomanda esplicitamente di implementare un'architettura di logging per garantire la tracciabilità degli accessi e delle azioni dei vari utenti autorizzati. L'ANSSI, nella sua guida all'igiene informatica, dedica un'intera sezione al logging e raccomanda di abilitare i log per i componenti critici e di analizzarli regolarmente.
Per una PMI, la registrazione dei log non richiede necessariamente strumenti sofisticati. Le moderne applicazioni aziendali includono funzionalità di logging native: cronologia delle connessioni, registro delle modifiche ed elenchi di azioni per utente. L'importante è assicurarsi che queste funzionalità siano abilitate, che i log vengano conservati per un periodo di tempo adeguato (la CNIL raccomanda di conservare i log delle connessioni per un periodo compreso tra 6 mesi e 1 anno) e che questi log siano protetti da modifiche.
Un punto importante da ricordare: i log sono inutili se nessuno li legge. Pianifica revisioni regolari, anche rapide, degli accessi ai dati più sensibili. Un'anomalia rilevata tempestivamente può prevenire un incidente grave.
Account condivisi, password e autenticazione a due fattori
Solo tre pratiche rappresentano una parte consistente dei rischi associati alla gestione degli accessi nelle PMI: account condivisi, password deboli o riutilizzate e l'assenza di...autenticazione doppio fattore.
Conto condiviso Queste sono le principali fonti di problemi. Un account "segreteria" utilizzato da tre persone, un account "amministratore" la cui password circola tra il team tecnico, un login generico creato per un progetto e mai eliminato: ognuno di questi account rappresenta una vulnerabilità. Quando più persone utilizzano lo stesso account, diventa impossibile sapere chi ha fatto cosa. La tracciabilità scompare e, con essa, qualsiasi possibilità di indagine in caso di incidente. La regola è semplice: un account per persona, senza eccezioni. Se un account condiviso è davvero inevitabile, documentate con precisione chi ha accesso e perché, e cambiate la password non appena una delle persone coinvolte lascia l'azienda o cambia ruolo.
Le password Le password rimangono un argomento delicato. La pratica di cambiare password ogni tre mesi, a lungo raccomandata, è ora considerata controproducente dall'Agenzia nazionale francese per la sicurezza informatica (ANSSI) e da molti esperti. Costretti a cambiare regolarmente le proprie password, i dipendenti sviluppano soluzioni prevedibili (aggiungendo un numero alla fine, alternando due password) che indeboliscono la sicurezza. La migliore prassi attuale prevede password lunghe, univoche per ogni servizio, gestite tramite un gestore di password. Una password complessa che non cambia mai è infinitamente più sicura di una password debole cambiata ogni tre mesi.
Autenticazione a due fattori (2FA o MFA) Questo aggiunge un livello di sicurezza cruciale. Anche se una password viene compromessa, l'attaccante non può accedere all'account senza il secondo fattore (un codice inviato tramite SMS, un'app di autenticazione o una chiave fisica). La CNIL (Autorità francese per la protezione dei dati) raccomanda esplicitamente l'implementazione dell'autenticazione a più fattori, in particolare per l'accesso remoto, la posta elettronica professionale e gli strumenti contenenti dati personali. L'ANSSI (Agenzia nazionale francese per la sicurezza informatica) l'ha inserita tra le sue principali raccomandazioni. Abilitare l'autenticazione a due fattori sui vostri strumenti più sensibili è probabilmente la misura di sicurezza con il miglior rapporto sforzo-protezione disponibile oggi.
Verifica degli accessi una volta all'anno: il metodo
La gestione degli accessi non è un progetto una tantum, bensì un processo continuo. Diritti derivati, account dimenticati e accessi obsoleti si accumulano naturalmente nel tempo. Un audit annuale contribuisce a ristabilire l'ordine prima che la situazione sfugga di mano.
Primo passo: esportare l'elenco di tutti gli account attivi in ciascuno dei tuoi strumenti. Queste applicazioni ti consentono di esportare questo elenco dall'interfaccia di amministrazione. Ciò ti fornisce un'istantanea di chi ha accesso a cosa in un dato momento.
Secondo passaggio: confronta i dati con l'elenco dei tuoi collaboratori attivi. Confronta l'elenco degli account con l'elenco dei tuoi dipendenti attuali. Individua gli account corrispondenti a persone che hanno lasciato l'azienda, cambiato ruolo o il cui status è cambiato (fine dell'incarico per un collaboratore esterno, fine del tirocinio). Questi account devono essere disattivati immediatamente.
Terzo passo: verificare la coerenza dei diritti. Per ogni account attivo, confronta i diritti assegnati con quelli definiti nella matrice dei diritti di accesso. Identifica eventuali discrepanze: diritti eccessivamente ampi, accesso a strumenti non destinati a quel profilo utente o diritti amministrativi concessi senza giustificazione. Ogni discrepanza deve essere corretta o documentata con una giustificazione esplicita.
Quarto passo: intervistare i responsabili di dipartimento. Invia a ciascun responsabile un elenco degli account del proprio team con le relative autorizzazioni e chiedi loro di approvarli o di segnalare eventuali discrepanze. Questo passaggio è fondamentale: i responsabili di reparto conoscono le reali esigenze dei propri dipendenti meglio di chiunque altro.
Quinto passo: documentare e conservare le prove. Registrare la data dell'audit, le eventuali anomalie riscontrate e le azioni correttive intraprese. Questo documento serve come prova della dovuta diligenza in caso di audit. La CNIL (Autorità francese per la protezione dei dati) raccomanda di formalizzare tale verifica in una procedura documentata.
Questo audit, se condotto in modo approfondito, richiede mezza giornata per un'organizzazione di 20 persone. Si tratta di un investimento modesto, considerando i rischi che contribuisce a evitare.
FAQ: Le vostre domande sulla gestione degli accessi
La gestione degli accessi è davvero una preoccupazione per le piccolissime imprese?
Sì, senza eccezioni. Il GDPR si applica a qualsiasi organizzazione che tratti dati personali, indipendentemente dalle sue dimensioni. E le piccole imprese sono spesso più vulnerabili delle grandi aziende, proprio perché dispongono di meno risorse per gestire gli incidenti. Le dimensioni non sono una garanzia di protezione.
Cosa fare se un dipendente necessita di un accesso eccezionale per un progetto una tantum?
Concedi questo accesso temporaneamente e previa documentazione. Registra chi ha richiesto l'accesso, il motivo e la durata. Imposta una data di scadenza. Al termine del progetto, revoca l'accesso. Non permettere mai che un accesso eccezionale diventi permanente per impostazione predefinita. È così che si accumulano le autorizzazioni, indebolendo i sistemi informativi.
Come gestire l'accesso per fornitori di servizi e subappaltatori?
Il GDPR impone di regolamentare l'accesso di terzi ai propri dati. Qualsiasi fornitore di servizi che acceda ai sistemi o ai dati personali del fornitore deve essere vincolato da un contratto che specifichi i suoi obblighi in materia di sicurezza. L'accesso deve essere individuale, limitato a quanto strettamente necessario, tracciato e revocato al termine dell'incarico. Il fornitore è responsabile del livello di sicurezza garantito dal GDPR, in conformità con le normative della CNIL (Autorità francese per la protezione dei dati).
Da dove si comincia se si parte da zero?
Iniziate con tre azioni che abbiano un impatto immediato: disattivate gli account dei dipendenti che hanno lasciato l'azienda, abilitate l'autenticazione a due fattori per la posta elettronica aziendale e gli strumenti più sensibili e rimuovete gli account condivisi, sostituendoli con account utente individuali. Queste tre azioni non richiedono budget, poco tempo e riducono significativamente l'esposizione al rischio. Successivamente, create la matrice dei diritti di accesso e le procedure di onboarding e offboarding.
Djaboo è uno strumento CRM progettato per le piccole e medie imprese che centralizza la gestione di clienti, progetti e team. Integra nativamente funzionalità di gestione dei diritti di accesso degli utenti, consentendo a ciascun responsabile di definire con precisione chi ha accesso a cosa, senza richiedere alcuna competenza tecnica.
