Un lunedì mattina, Daniel A. si imbatte in una cartella condivisa che giace nel Microsoft 365 della sua officina: i disegni di un pezzo consegnato a un cliente orologiero, aperti «a tutta l'azienda». Nello stesso momento pensa allo stagista partito in primavera — il suo account funziona ancora? Nessuno ha mai davvero fatto ordine, e quella mattina nessuna di queste domande ha una risposta chiara.
È una situazione del tutto ordinaria, ed è proprio questo a renderla inquietante. In una PMI industriale che vive sui suoi disegni e sul suo portafoglio ordini, gli accessi digitali si sono accumulati tra assunzioni, partenze e interventi rapidi, senza che nessuno ne abbia mai guardato l'insieme.
Perché rivedere gli accessi Microsoft 365, e non solo le password
Microsoft 365 è la posta elettronica, i file condivisi, Teams, l'agenda: il sistema nervoso amministrativo dell'azienda. Ogni persona vi possiede un account, e ogni account apre la porta a un certo numero di cose. Il problema è che questi accessi non fanno che sommarsi. Se ne aprono per risolvere un imprevisto, per un progetto, per una sostituzione — e non li si richiude quasi mai.
Tre derive ritornano sistematicamente nelle PMI.
Innanzitutto l'account dormiente: l'account di una persona che ha lasciato l'azienda, o che non lo usa più, ma che resta attivo. Finché esiste, può essere usato — dalla persona partita, o da un aggressore che vi abbia messo le mani. È una porta lasciata aperta in un edificio che nessuno sorveglia più.
Poi la condivisione troppo ampia: una cartella di file aperta un giorno «a tutti» per fare in fretta, e mai più richiusa. In un'officina di subfornitura, questo può significare che i disegni tecnici di un committente — la sua proprietà intellettuale, ciò che vi affida di più sensibile — sono visibili a persone che non hanno alcun motivo di vederli.
Infine l'accumulo di autorizzazioni, talvolta chiamato «privilege creep». Una persona cambia mansione, assume nuove responsabilità… e conserva tutti i vecchi accessi oltre a quelli nuovi. Dopo qualche anno, nessuno sa più davvero chi può fare cosa. Aggiungete l'ospite esterno — un fornitore, un fiduciario, un cliente a cui si è condivisa una cartella per la durata di un progetto — e ottenete un elenco di accessi che nessuno ha mai letto per intero.
Nessuna di queste derive nasce da una colpa. Nascono dal ritmo del quotidiano: si apre un accesso perché bisogna consegnare, non lo si chiude perché più nulla lo ricorda. È proprio per questo che un accesso non si gestisce «una volta per tutte» ma si rivede regolarmente, come si rifà l'inventario di un magazzino.
Per orientarsi, un principio semplice fa da bussola: il privilegio minimo. In parole chiare, ognuno dovrebbe avere accesso solo a ciò di cui ha bisogno per il proprio lavoro — non di più, e non per sempre. È una buona pratica riconosciuta, al cuore di norme come la ISO 27001:2022, proprio quella che i vostri clienti orologieri guardano quando vi inviano un questionario di sicurezza fornitore prima di rinnovare un contratto.
Cosa ricordare
Bastano tre idee per capire la posta in gioco.
Gli accessi si accumulano in silenzio. Nessuno decide una mattina di spalancare i propri dati; accade gesto dopo gesto, senza cattiva intenzione. È proprio per questo che serve, di tanto in tanto, prendere la distanza che il quotidiano non permette mai.
Un account senza motivo di esistere è un rischio, non un dettaglio. L'account dello stagista partito, la casella generica che tre persone si dividono, l'accesso concesso «solo per questa volta»: ciascuno è un possibile punto d'ingresso. Rimuoverli non costa nulla e toglie altrettante porte da sorvegliare.
Sapere chi accede a cosa è anche un'attesa della nLPD. La nuova legge svizzera sulla protezione dei dati (nLPD), in vigore da settembre 2023, chiede alle aziende una sicurezza «adeguata» sui dati che detengono. Padroneggiare gli accessi ne fa parte: è difficile proteggere un dato se non si sa chi può consultarlo. Se lavorate anche con clienti nell'Unione europea, il GDPR si aspetta lo stesso.
I gesti da installare questa settimana
Non serve né un audit completo né un fornitore esterno per cominciare. Tre gesti, realizzabili da voi o dal vostro referente informatico, bastano a riprendere il controllo.
1. Stilare l'elenco degli account e individuare i dormienti
Chiedete l'elenco di tutte le persone che hanno un account Microsoft 365. Scorretelo con una domanda semplice per ogni riga: questa persona lavora ancora qui, e usa davvero questo account? Gli account di persone partite si disattivano per primi. Le caselle generiche condivise da più persone si annotano: sono casi da trattare, perché quando tutti hanno accesso, nessuno ne è davvero responsabile.
2. Guardare chi accede davvero alle vostre cartelle sensibili
Scegliete le vostre due o tre cartelle più critiche — per un'officina sono spesso i disegni dei clienti e i programmi di lavorazione. Aprite l'elenco delle persone che vi accedono e leggetelo lentamente. Ogni nome dovrebbe sembrarvi ovvio. Una condivisione aperta «a tutti» o un accesso esterno che non riconoscete è un segnale da correggere subito. L'obiettivo della settimana non è passare tutto al setaccio, solo verificare le vostre casseforti.
3. Adottare il riflesso «privilegio minimo» a ogni movimento
La vera svolta non è una grande pulizia occasionale, è un'abitudine. A ogni partenza, ogni arrivo, ogni cambio di mansione, ponete la domanda sugli accessi nel momento in cui accade, non sei mesi dopo. Una partenza chiude gli accessi lo stesso giorno. Un cambio di ruolo toglie i vecchi diritti mentre ne apre di nuovi. Questo riflesso, da solo, impedisce alla maggior parte delle derive di insediarsi — e non costa nulla più di una domanda posta al momento giusto.
In una PMI come quella di Daniel A., questa disciplina spesso poggia su una sola persona sovraccarica, un referente informatico a metà tempo che «spegne gli incendi». Ragione in più per farne una routine leggera e condivisa, anziché un cantiere che dipende dalla memoria di uno solo.
A che punto siete davvero?
Questi tre gesti vi danno una fotografia, non ancora un sistema. Rivedere gli accessi Microsoft 365 una volta va bene; sapere con quale frequenza rifarlo, come tracciare i cambiamenti, chi ne è responsabile e come dimostrarlo a un committente, è un altro lavoro — quello di una vera gestione degli accessi nel tempo.
È qui che entra in gioco l'autovalutazione Cyber Passport. Non certifica nulla e non vi dichiara «in regola»: vi mostra, domanda dopo domanda, dove la vostra organizzazione è solida e dove poggia ancora sulla memoria delle persone. Ne uscite con un'immagine chiara della vostra maturità e un punto di partenza onesto per strutturare il seguito. L'Ufficio federale della cibersicurezza (UFCS, ex NCSC) colloca del resto il controllo degli accessi tra le misure di base raccomandate alle PMI.
Per andare oltre e mettere in atto un ciclo di vita degli accessi completo — account nominativi, revisione periodica, procedura di uscita — il nostro blueprint «Gestione degli accessi» sviluppa il metodo passo dopo passo.
