Gli account aziendali permettono di leggere dati, modificare contenuti e svolgere attività. Se vengono condivisi senza criteri, diventa difficile ricostruire chi abbia fatto cosa e intervenire quando cambiano le responsabilità. La gestione degli accessi appartiene all’organizzazione del lavoro.
Propongo un inventario dei servizi essenziali con referente, modalità di recupero e persone autorizzate. La disponibilità di un’applicazione non implica che tutti debbano avere gli stessi poteri. L’accesso va collegato al compito e rivisto quando quel compito cambia.
L’autenticazione a più fattori aggiunge verifiche oltre alla password, come illustrato nei materiali CISA. Non elimina ogni rischio e richiede un percorso di recupero adeguato. Anche la scelta del metodo deve considerare caratteristiche del servizio e minacce pertinenti.
Un esempio ipotetico è un collaboratore che termina il proprio incarico mantenendo accesso a una cartella. La procedura di uscita dovrebbe includere revoca e trasferimento delle informazioni necessarie, senza dipendere dalla memoria di una sola persona. Il controllo periodico permette di individuare accessi non più pertinenti. L’obiettivo è rendere il lavoro possibile alle persone autorizzate e mantenere comprensibili le responsabilità sui servizi digitali.