Quando un dipendente lascia l’azienda, non basta ritirare il badge, recuperare il computer e chiudere il rapporto di lavoro.
È necessario verificare anche tutti gli accessi informatici utilizzati durante la collaborazione.
Email, gestionali, servizi cloud, VPN, cartelle condivise e applicazioni aziendali potrebbero infatti restare attivi anche dopo l’uscita della persona. Un account dimenticato può diventare un punto debole per la sicurezza informatica aziendale.
Per questo è importante adottare una procedura chiara per la revoca degli accessi.
1. Controllare tutti gli account utilizzati dal dipendente
Il primo passo consiste nel creare un elenco completo degli strumenti a cui il dipendente o collaboratore aveva accesso.
Tra questi possono esserci:
- casella email aziendale;
- gestionale;
- servizi cloud;
- VPN;
- applicazioni interne;
- piattaforme esterne;
- cartelle condivise;
- strumenti di assistenza remota.
Affidarsi solo alla memoria può non essere sufficiente. Alcuni account potrebbero essere stati creati molto tempo prima e successivamente dimenticati.
2. Disattivare gli account aziendali
Gli account personali devono essere disabilitati appena termina la collaborazione.
Lasciare un account attivo, anche se non viene più utilizzato, significa mantenere aperto un possibile punto di accesso ai sistemi aziendali.
La disattivazione deve riguardare non solo la posta elettronica, ma anche gestionali, software, servizi cloud e applicazioni collegate.
3. Cambiare le password condivise
In molte aziende esistono credenziali conosciute da più persone.
Quando un dipendente lascia l’organizzazione, è importante modificare le password degli account condivisi, tecnici o amministrativi che potrebbe ancora conoscere.
Questo passaggio viene spesso trascurato perché l’account non appartiene direttamente alla persona. Il rischio, però, resta.
4. Verificare VPN e accessi remoti
La revoca degli accessi deve comprendere anche tutti gli strumenti utilizzati per collegarsi alla rete aziendale dall’esterno.
È necessario controllare:
- VPN;
- software di desktop remoto;
- programmi di assistenza tecnica;
- accessi da dispositivi personali;
- collegamenti salvati sui dispositivi.
Un accesso remoto dimenticato può continuare a funzionare anche dopo la disattivazione dell’email aziendale.
5. Controllare computer, smartphone e dispositivi aziendali
Computer, smartphone, tablet, chiavette USB e altri dispositivi devono essere restituiti e verificati.
Il controllo dovrebbe accertare che non siano ancora presenti:
- dati aziendali;
- password memorizzate;
- copie di documenti;
- accessi automatici;
- collegamenti ai servizi cloud.
La semplice riconsegna del dispositivo non garantisce che tutti gli accessi siano stati rimossi.
6. Revocare le autorizzazioni su file e cartelle
Un dipendente può avere accesso non solo a software e applicazioni, ma anche a singoli documenti, cartelle condivise, archivi cloud o progetti specifici.
Queste autorizzazioni devono essere controllate e rimosse quando non sono più necessarie.
Particolare attenzione va riservata ai link di condivisione e agli accessi concessi tramite account personali.
7. Documentare le operazioni effettuate
È utile conservare una traccia delle attività svolte.
La registrazione dovrebbe indicare:
- account disattivati;
- password modificate;
- dispositivi restituiti;
- autorizzazioni revocate;
- data del controllo;
- persona che ha eseguito la verifica.
Questa documentazione aiuta l’azienda a dimostrare di aver gestito correttamente gli accessi e può offrire un supporto concreto nel contesto GDPR e NIS2.
8. Creare una procedura per l’uscita dei dipendenti
La gestione degli accessi non dovrebbe dipendere dall’attenzione del momento.
Una checklist da utilizzare ogni volta che termina un rapporto di lavoro permette di ridurre il rischio di dimenticare account, dispositivi o autorizzazioni.
La procedura dovrebbe coinvolgere le funzioni interessate, come amministrazione, risorse umane e referente IT.
Perché controllare gli accessi degli ex dipendenti
Una persona può lasciare l’azienda, ma il suo accesso può restare attivo.
Il rischio non dipende necessariamente da un comportamento intenzionale. Può essere sufficiente un account dimenticato, una password condivisa mai modificata o una VPN rimasta abilitata.
Per questo non basta pensare che tutti gli accessi siano stati chiusi.
Serve controllarlo.
AmicoHacker effettua test continui sulla rete aziendale, individua possibili vulnerabilità e le comunica in modo chiaro, aiutando l’azienda a sapere se esistono ancora punti esposti che nessuno sta controllando.
