Tecnici informatici, consulenti, software house, manutentori e fornitori di servizi possono avere bisogno di collegarsi ai sistemi aziendali per svolgere il proprio lavoro.
Questi accessi sono spesso necessari. Il problema nasce quando rimangono attivi anche dopo la fine dell’intervento, quando il rapporto con il fornitore è terminato oppure quando nessuno ricorda più chi può ancora collegarsi alla rete.
Un accesso esterno dimenticato può diventare un punto debole per la sicurezza informatica aziendale.
Quali accessi possono avere i fornitori esterni?
Un fornitore può collegarsi ai sistemi aziendali attraverso diversi strumenti:
- account personali o tecnici;
- VPN;
- programmi di assistenza remota;
- credenziali amministrative;
- applicazioni cloud;
- gestionali;
- server e dispositivi di rete;
- cartelle e documenti condivisi.
In alcuni casi l’accesso viene creato per un singolo intervento, ma resta attivo per mesi o anni.
Il tecnico può aver terminato il proprio lavoro. Il collegamento, invece, potrebbe essere ancora disponibile.
1. Creare un elenco di chi può accedere dall’esterno
Il primo passo consiste nel sapere quali soggetti esterni possono collegarsi alla rete o ai servizi aziendali.
L’elenco dovrebbe comprendere:
- nome del fornitore;
- persona autorizzata;
- sistemi ai quali può accedere;
- modalità di collegamento;
- motivo dell’autorizzazione;
- durata prevista dell’accesso.
Senza un elenco aggiornato diventa difficile capire chi può entrare, cosa può vedere e quali operazioni può eseguire.
2. Concedere soltanto gli accessi necessari
Un fornitore dovrebbe poter raggiungere esclusivamente i sistemi indispensabili per svolgere il proprio lavoro.
Chi effettua la manutenzione di un programma, per esempio, non dovrebbe avere automaticamente accesso all’intera rete aziendale, alle cartelle condivise o ad altri servizi non collegati al proprio intervento.
Limitare le autorizzazioni riduce i possibili effetti di:
- credenziali rubate;
- errori;
- utilizzi impropri;
- accessi non più giustificati;
- compromissione dei sistemi del fornitore.
Ogni accesso dovrebbe avere uno scopo preciso.
3. Evitare gli accessi permanenti
Quando possibile, gli accessi esterni dovrebbero essere attivati soltanto per il tempo necessario.
Al termine dell’intervento è importante:
- disattivare l’account;
- chiudere il collegamento remoto;
- revocare le autorizzazioni;
- modificare eventuali password condivise;
- verificare che non siano rimasti accessi automatici.
Lasciare aperto un collegamento “nel caso servisse ancora” può trasformare una soluzione temporanea in un rischio permanente.
4. Controllare periodicamente gli accessi attivi
Non basta verificare gli accessi una sola volta.
Fornitori, tecnici e servizi cambiano nel tempo. Alcune collaborazioni terminano, altre vengono affidate a persone diverse e alcuni strumenti non sono più utilizzati.
È quindi utile effettuare controlli periodici per verificare:
- quali account esterni sono ancora attivi;
- chi utilizza le credenziali;
- quali sistemi sono raggiungibili;
- se l’autorizzazione è ancora necessaria;
- quando è avvenuto l’ultimo accesso;
- se esistono collegamenti remoti dimenticati.
Gli account non più necessari devono essere disattivati.
Evitare password condivise tra azienda e fornitori
Le credenziali condivise rendono più difficile ricostruire chi ha effettuato un accesso e quando.
Ogni tecnico o fornitore dovrebbe avere, quando possibile, un account personale e riconoscibile.
In questo modo è più semplice:
- attribuire le attività svolte;
- revocare un singolo accesso;
- controllare le autorizzazioni;
- evitare che una password continui a circolare;
- mantenere una traccia delle operazioni.
Quando una password è conosciuta da più persone, dovrebbe essere cambiata ogni volta che cambia uno dei soggetti autorizzati.
Documentare le autorizzazioni concesse
La gestione degli accessi esterni dovrebbe essere documentata.
Per ogni autorizzazione è utile registrare:
- chi ha richiesto l’accesso;
- chi lo ha approvato;
- a quali sistemi è stato concesso;
- quando è stato attivato;
- quando deve essere revocato;
- quali verifiche sono state effettuate.
Questa documentazione aiuta l’azienda a mantenere il controllo e può offrire un supporto concreto nel contesto della sicurezza informatica, del GDPR e della NIS2.
Creare una procedura per gli accessi dei fornitori
La gestione degli accessi non dovrebbe dipendere dall’attenzione del singolo tecnico o dalla memoria dell’imprenditore.
Una procedura aziendale può prevedere quattro momenti:
- richiesta e approvazione dell’accesso;
- definizione dei sistemi raggiungibili;
- controllo durante la collaborazione;
- revoca al termine dell’attività.
La stessa procedura dovrebbe essere applicata a consulenti, manutentori, software house e altri soggetti che possono accedere ai sistemi aziendali.
Perché gli accessi esterni rappresentano un rischio
Il fornitore non è necessariamente il problema.
Il rischio nasce quando l’azienda non sa più:
- chi può collegarsi;
- con quali credenziali;
- a quali sistemi;
- con quali autorizzazioni;
- per quanto tempo.
Anche i sistemi informatici del fornitore potrebbero subire un attacco. In questo caso, un accesso legittimo potrebbe essere utilizzato da un soggetto non autorizzato per avvicinarsi alla rete aziendale.
Per questo ogni collegamento esterno deve essere conosciuto, limitato e controllato.
Il fornitore ha finito il lavoro. Il suo accesso è stato chiuso?
Un accesso remoto dimenticato non fa rumore.
Può restare attivo a lungo senza che nessuno se ne accorga, fino a quando viene utilizzato dalla persona sbagliata o diventa un possibile punto di ingresso.
Non basta sapere quali fornitori collaborano oggi con l’azienda.
Serve controllare chi può ancora entrare nella rete.
AmicoHacker effettua test continui sulla rete aziendale, individua possibili vulnerabilità, servizi attivi ed elementi esposti e li comunica via email in modo chiaro.
Perché il problema non è soltanto concedere un accesso.
È sapere se è ancora aperto.
