Checklist per inventariare e dare priorità agli account di accesso in una PMI

Gestire gli accessi non significa soltanto scegliere password sicure: implica sapere chi dispone di un account, come dimostra la propria identità, che cosa può fare e come revocare il suo accesso quando cambia il suo rapporto con l’azienda. Per una PMI, partire da queste domande permette di organizzare i controlli senza confonderli con un inventario generale delle applicazioni o con una valutazione dei fornitori.

L’obiettivo è trasformare la gestione delle identità e degli accessi — nota come IAM — in un processo che copra l’intero ciclo di vita di ogni account: creazione, modifica dei permessi, revisioni e disattivazione. Questa checklist è una guida operativa; non sostituisce una valutazione dei rischi né determina da sola la conformità normativa.

1. Identificare gli account e assegnare i responsabili

Prima di decidere chi ha bisogno di accedere, raccogli in un inventario le identità e gli account già esistenti. Non limitarti a quelli dei dipendenti: includi anche collaboratori esterni, fornitori e altre persone esterne che hanno accesso ai sistemi aziendali.

Per ogni account, registra almeno:

• Persona o identità associata e il suo rapporto con l’azienda.
• Sistema o servizio a cui accede.
• Funzione dell’account e livello di autorizzazioni.
• Responsabile interno che autorizza o verifica quell’accesso.
• Stato: attivo, temporaneo o in attesa di disattivazione.

Associare gli account a una persona o a un’identità aiuta a individuare gli account orfani — privi di un responsabile chiaro — e a evitare che gli accessi rimangano attivi dopo un cambio di ruolo o la fine di un contratto. Se esistono account condivisi, annota chi li utilizza e chi ne è responsabile; quando possibile, dai la priorità agli account individuali per migliorare la tracciabilità.

2. Dare priorità agli account che possono aprire più porte

Non tutti gli account richiedono la stessa priorità di revisione. Inizia da quelli che controllano altri accessi o consentono di raggiungere informazioni e sistemi sensibili:

• Amministrazione di sistemi, dispositivi, reti o piattaforme cloud.
• Posta elettronica, che può essere usata per reimpostare le password e accedere ai documenti.
• Finanza, per l’accesso alle operazioni e alle informazioni finanziarie.
• Accesso remoto e archiviazione cloud.
• Account con accesso a dati sensibili o a strumenti di sicurezza e backup.

La priorità serve a organizzare il lavoro, non garantisce che gli altri account siano privi di rischi. Includi anche le identità di fornitori e collaboratori esterni e verifica che il loro accesso sia ancora necessario e chi, all’interno dell’azienda, ne sia responsabile.

3. Verificare come viene autenticata ogni identità

L’autenticazione verifica che chi accede sia chi dichiara di essere. Per gli account con il maggiore impatto, attiva l’autenticazione a più fattori (MFA) ogni volta che il servizio lo consente. Le fonti segnalano in particolare la posta elettronica, gli account amministrativi, l’accesso remoto, la finanza e le risorse cloud o contenenti dati sensibili.

L’inventario dovrebbe indicare quale metodo di autenticazione protegge ciascun account e segnalare gli account critici che non dispongono ancora di MFA. In questo modo, l’azienda può individuare lacune specifiche e dare priorità alla loro correzione. MFA rafforza la verifica, ma non sostituisce la revisione dei permessi né il processo di disattivazione.

4. Verificare che cosa può fare ogni account

L’autorizzazione definisce quali azioni una persona può eseguire una volta effettuato l’accesso. Verifica che i permessi siano adeguati alle sue mansioni attuali ed elimina quelli che non sono più necessari. Applicare il principio del privilegio minimo significa concedere soltanto l’accesso necessario per svolgere il lavoro, invece di mantenere permessi ampi per comodità.

Quando i ruoli e le responsabilità lo consentono, il controllo degli accessi basato sui ruoli (RBAC) aiuta ad assegnare i permessi in base a funzioni definite. Verifica che i ruoli rispecchino le responsabilità effettive e controlla le eccezioni: un cambio di ruolo, un incarico temporaneo o un progetto possono giustificare una modifica, ma non necessariamente un permesso permanente.

Presta particolare attenzione agli account privilegiati. Registra chi può usarli, per quali sistemi e con quale motivazione; evita che tali diritti rimangano associati a persone che non svolgono più la funzione corrispondente. Se un’attività richiede privilegi elevati soltanto per un periodo limitato, valuta la possibilità di rendere temporaneo l’accesso, quando i sistemi e i processi aziendali lo consentono.

5. Definire un processo di creazione, modifica e disattivazione

Un controllo degli accessi eseguito una sola volta perde efficacia se non viene aggiornato quando cambiano le persone o le loro mansioni. Definisci chi comunica e chi esegue ogni passaggio nelle seguenti situazioni:

1. Creazione: autorizzare l’account e i permessi necessari per il ruolo.
2. Modifica: verificare gli accessi quando una persona cambia ruolo, assume altre mansioni o lascia un progetto.
3. Disattivazione: disattivare o rimuovere gli account quando termina il rapporto di lavoro o contrattuale e revocare gli accessi non più necessari.

Quando pertinente, includi nel processo gli account di terze parti e le sessioni attive. Le responsabilità e le tempistiche specifiche dipendono dall’operatività di ciascuna azienda; le fonti disponibili non stabiliscono una tempistica universale per la disattivazione degli account.

6. Pianificare revisioni e mantenere la tracciabilità

Assegna a una persona la responsabilità di verificare periodicamente l’inventario e confermare che gli account, i permessi e i rispettivi proprietari siano ancora corretti. La frequenza può essere definita in base alla criticità degli accessi e alla capacità dell’azienda, ma occorre stabilire quando viene effettuata la revisione e chi risolve le discrepanze.

Conserva i registri delle creazioni, delle modifiche, delle approvazioni e delle disattivazioni, oltre ai dati sull’attività disponibili nei sistemi. Questa tracciabilità permette di ricostruire chi aveva accesso e quali modifiche sono state apportate. Può inoltre agevolare gli audit e supportare la gestione dei requisiti applicabili, anche se conservare registri o implementare IAM non dimostra, di per sé, la conformità a una norma.

Checklist operativa

• È disponibile un inventario degli account collegati a persone o identità.
• Ogni account è associato a un sistema e a un responsabile interno.
• Sono stati identificati gli account amministrativi, di posta elettronica, finanza, accesso remoto e dati sensibili.
• È noto quale metodo di autenticazione protegge ogni account critico.
• MFA è attiva per gli account prioritari, quando il servizio lo consente.
• I permessi corrispondono alle mansioni attuali e sono limitati a quanto necessario.
• Gli account privilegiati hanno un proprietario e un uso giustificato.
• È previsto un processo per la creazione, i cambi di ruolo o mansione e la disattivazione degli account di dipendenti e terze parti.
• Gli account, i permessi e gli accessi dei fornitori vengono verificati periodicamente.
• Sono conservati registri sufficienti per identificare le modifiche e i responsabili.

Un processo continuo, non una pulizia una tantum

La gestione degli accessi funziona come una catena: identità, autenticazione, autorizzazione e revoca. Se una di queste parti viene trascurata, possono rimanere account senza proprietario, permessi eccessivi o accessi non più necessari. Per una PMI, un inventario con responsabili, priorità chiare e revisioni periodiche offre una base pratica per mantenere sotto controllo questo ciclo.

Norme e framework come NIS2 e ISO 27001 possono prevedere requisiti relativi alla sicurezza e alla gestione degli accessi. La loro applicazione concreta dipende dall’ambito, dall’entità e dai requisiti pertinenti; questa checklist non costituisce un’interpretazione giuridica né una dichiarazione di conformità.