Gli accessi seguono le persone, ma quasi mai alla stessa velocità
Spesso arrivano in ritardo, o non se ne vanno più. Il nuovo commerciale passa i primi giorni senza PC e senza account, e un collega gli presta il proprio. L'impiegata che dall'amministrazione passa agli acquisti conserva le cartelle della contabilità e riceve quelle dei fornitori. Il tecnico che si è dimesso a marzo, a giugno ha ancora la VPN attiva: è un account orfano, attivo senza più nessuno che ne risponda.
Nessuno di questi casi nasce da cattiva volontà: nasce dal fatto che nessuno ha il compito di accorgersene. In inglese il ciclo si chiama joiner, mover, leaver (chi entra, chi cambia ruolo, chi esce), e il punto debole è quasi sempre lo stesso: l'entrata si nota perché qualcuno protesta, il cambio di ruolo e l'uscita no.
Le tre fasi, e cosa va fatto in ognuna
| Entrata | Cambio di ruolo | Uscita | |
|---|---|---|---|
| Rischio tipico | Giorni persi, credenziali prestate da un collega | I permessi vecchi restano, quelli nuovi si aggiungono | Account attivi per settimane dopo l'ultimo giorno |
| Cosa fare | Account, email, PC, telefono, VPN, gruppi del ruolo | Togliere i gruppi del ruolo precedente, aggiungere quelli nuovi | Disattivare, revocare, recuperare dispositivi e dati |
| Quando | Prima del primo giorno | Il giorno del cambio, non mesi dopo | Il giorno stesso dell'uscita |
Il cambio di ruolo è la fase più trascurata. Chi in qualche anno cambia due o tre incarichi si porta dietro i permessi di ciascuno: è l'accumulo di privilegi, e trasforma un account qualunque nel più prezioso da rubare.
Permessi per ruolo, non persona per persona
Il principio da cui partire è il minimo privilegio: ognuno ha gli accessi che servono al suo lavoro, non di più. È uno dei pilastri dello Zero Trust. Applicato persona per persona, però, non regge.
Funziona meglio ragionare per gruppi: amministrazione, magazzino, commerciale estero. I permessi si danno al gruppo e la persona entra nel gruppo del suo ruolo: quando cambia ruolo cambia gruppo, e i vecchi accessi se ne vanno da soli. Se poi le applicazioni principali usano il Single Sign-On, cioè l'accesso con l'account aziendale invece di credenziali separate, disattivare quell'account chiude tutte le porte insieme: un unico punto di revoca.
Il giorno dell'uscita, passo per passo
- Disattiva gli account, non cancellarli: il giorno stesso, all'ora concordata. La cancellazione viene dopo, quando posta e file sono al sicuro: in molti servizi cloud, eliminare l'utente avvia un conto alla rovescia oltre il quale i suoi dati non si recuperano più.
- Revoca MFA e dispositivi registrati: le app di autenticazione, i telefoni associati all'account, le sessioni ancora aperte. Una sessione già avviata può restare valida anche dopo il cambio della password.
- Cambia le credenziali condivise che la persona conosceva: la casella info@, il Wi-Fi degli ospiti, il pannello del centralino, l'amministrazione del sito. Con un password manager aziendale sai subito quali sono.
- Recupera i beni aziendali: PC, telefono, badge, chiavette. Se alla consegna è stato firmato un elenco, il giorno dell'uscita basta spuntarlo.
- Trasferisci file e cartelle a chi prosegue il lavoro, compresa la proprietà dei documenti condivisi.
- Chiudi i servizi esterni che non passano dall'account aziendale: i profili social dell'azienda, i portali dei fornitori, la banca online. Sono gli accessi che nessuno ricorda, perché nessuno li ha mai elencati.
La soluzione più pulita è una risposta automatica, per un periodo definito, che indica a clienti e fornitori a chi scrivere, per esempio una casella condivisa di reparto. Tenere attiva la casella per leggerla, o inoltrarla in automatico a un collega, tocca la riservatezza della corrispondenza, un tema su cui il Garante per la protezione dei dati personali è intervenuto più volte. La regola va decisa prima, con chi segue la privacy, e scritta nella policy aziendale.
Le uscite difficili
Con un licenziamento o un'uscita conflittuale i tempi contano più del solito. La disattivazione va coordinata con HR sull'ora del colloquio: farla prima crea un caso, farla dopo lascia una finestra in cui la persona può scaricare o cancellare dati. Per gli account con privilegi elevati conviene preparare l'elenco degli accessi nei giorni precedenti.
Chi fa cosa, e la revisione periodica
Lo schema che regge è semplice: HR avvisa con le date, l'IT esegue secondo una procedura scritta, il responsabile conferma quali accessi servono e, in uscita, che non ne manca nessuno. Se un passaggio dipende dalla memoria di qualcuno, prima o poi salta: per questo la procedura va scritta, come spiega la guida su l'IT che vive nella testa di una persona.
Qualcosa sfugge comunque. Per questo, a cadenza fissa, ogni responsabile riceve l'elenco degli accessi del suo reparto e conferma o toglie. È la revisione dei diritti di accesso prevista anche dalla norma ISO/IEC 27001, e in una PMI non richiede un progetto: richiede un calendario.
Gli errori più frequenti
- Copiare i permessi di un collega. Chiedere i permessi «come Mario» significa ereditare anche le eccezioni che Mario ha accumulato negli anni.
- Gestire il cambio di ruolo come un'entrata. Si aggiunge senza togliere.
- Account usati da più persone. Quando una esce nessuno cambia la password, perché bisognerebbe avvisare tutti gli altri.
In sintesi
Gli accessi vanno dati prima del primo giorno, cambiati il giorno del cambio di ruolo e tolti il giorno dell'uscita. Permessi per gruppo e un unico punto di revoca rendono il lavoro sostenibile; una procedura tra HR, IT e responsabili lo rende affidabile; una revisione periodica recupera quello che sfugge.