Diritti e gestione minima

Modulo 7: Accesso, fornitori e cloud · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di organizzare i diritti di accesso secondo il principio del "minimo indispensabile": ogni persona con un proprio account, i diritti di amministrazione tenuti separati, le parti esterne con accesso temporaneo e limitato, e un approccio fisso per quando qualcuno inizia, cambia ruolo o lascia l'azienda.
Concetti chiave: least privilege, account personale, account condiviso, account amministratore, separazione dei compiti, ingresso, cambio ruolo e uscita, quadro degli accessi

Il principio: il minimo indispensabile

Least privilege (in italiano: privilegio minimo) significa che a ogni persona viene assegnato esattamente l'accesso necessario per il proprio lavoro, e non di più. Il NIST lo descrive come un principio secondo cui agli utenti vengono concessi solo i diritti minimi necessari per svolgere i propri compiti.

Perché è importante? Perché ogni account, prima o poi, può essere compromesso: tramite phishing (modulo 3), una password trapelata (lezione 1.4) o un laptop infetto. Ciò che un aggressore può fare dipende interamente dai diritti di quell'account. L'account di uno stagista che si occupa solo dei social media offre poco. L'account di chi è amministratore di tutto "per comodità" offre accesso a tutto: posta, pagamenti, sito web, backup.

I diritti minimi non riducono quindi la probabilità di un'intrusione, ma ne limitano il danno. È lo stesso ragionamento delle chiavi di un edificio: l'addetto alle pulizie ha la chiave della porta principale, non quella della cassaforte.

Ogni persona con un proprio account

Un account condiviso è un account su cui più persone accedono con la stessa password: "usiamo tutti info@example.com per accedere al programma di contabilità". Sembra pratico, ma presenta quattro grandi svantaggi:

1. Non sa chi ha fatto cosa. Nel registro compare solo "info". Se un pagamento viene modificato, non può risalire a chi lo ha fatto.
2. Non può disattivare l'accesso a una sola persona. Se qualcuno lascia l'azienda, deve cambiare la password per tutti, e nella pratica questo spesso non accade.
3. L'autenticazione a due fattori (2FA) funziona male. Il codice arriva su un solo telefono, quindi la 2FA viene disattivata oppure il codice viene inoltrato a tutti.
4. La password circola via WhatsApp, foglietti e e-mail, e quindi non è più segreta.

Un account personale risolve tutto questo: accesso proprio, 2FA propria, registro proprio, disattivabile singolarmente. Quasi tutti i servizi professionali supportano più utenti con diritti propri. Un indirizzo condiviso come info@ può benissimo continuare a esistere come indirizzo; le persone che lo leggono dovrebbero però accedervi tramite il proprio account, se il Suo sistema di posta lo consente.

I diritti di amministrazione separati

Un account amministratore può creare utenti, modificare diritti, cambiare impostazioni e spesso anche eliminare dati. Proprio per questo va usato il meno possibile.

• Lavori quotidianamente con un account normale e acceda come amministratore solo quando deve effettivamente gestire qualcosa. Questo vale anche per il Suo laptop (lezione 5.2).
• Assicuri almeno due persone con diritti di amministrazione sui servizi principali, oppure un account di emergenza ben custodito. Se l'unico amministratore è malato o assente, Lei resta bloccato.
• Ma anche non più del necessario. Cinque amministratori in un'azienda di otto persone sono quattro di troppo.
• Attivi l'autenticazione a due fattori su ogni account amministratore, preferibilmente resistente al phishing (lezione 2.4).

La separazione dei compiti va ancora oltre: una sola persona non deve poter svolgere da sola, dall'inizio alla fine, un'operazione delicata. L'esempio più noto lo ha visto nella lezione 1.2: chi inserisce un nuovo IBAN di un fornitore non approva anche il pagamento. In una piccola azienda può essere semplice: una persona prepara il pagamento, un'altra lo approva nell'app bancaria.

Parti esterne: accesso temporaneo e limitato

Sviluppatori web, commercialisti, aziende informatiche e liberi professionisti hanno spesso bisogno di accesso. L'errore classico è dare loro la propria password personale. In quel caso possono fare tutto ciò che può fare Lei, e dopo non sa più chi può ancora entrare.

Meglio:

• Fornisca un account proprio con solo i diritti necessari. Un commercialista ha bisogno delle fatture; uno sviluppatore web dei file di un solo sito.
• Fornisca l'accesso con una data di scadenza se si tratta di un incarico temporaneo. Molti sistemi possono far scadere automaticamente un account o una chiave.
• Limiti, dove possibile, da quale rete qualcuno può accedere.
• Tenga traccia di chi ha quale accesso esterno, e perché.

Ingresso, cambio ruolo e uscita

I diritti crescono spontaneamente. Qualcuno inizia nelle vendite, per qualche mese aiuta con l'amministrazione e poi passa alla produzione. Se nessuno presta attenzione, dopo due anni quella persona ha i diritti di tutte e tre le funzioni. Per questo i diritti vanno gestiti in tre momenti:

In caso di uscita, l'ordine è importante. Prima trasferire, poi disattivare, solo più tardi eliminare. Se elimina subito un account, in molti servizi spariscono anche i file, i calendari e la posta di quella persona. In alcuni servizi cloud questo diventa definitivo dopo un breve termine: Microsoft 365, secondo la propria documentazione, conserva per impostazione predefinita il OneDrive di un utente eliminato per 30 giorni. Disattivare conserva i dati e chiude l'accesso.

Al momento dell'uscita non dimentichi inoltre: le regole di inoltro che la persona aveva impostato (lezione 2.5), le password per le app, l'accesso all'app bancaria, ai social media e al registrar del Suo dominio, e le chiavi o i badge dell'edificio.

Il quadro degli accessi

Un quadro degli accessi è una semplice tabella: per ogni servizio, chi ha accesso, con quali diritti, e se si tratta di un account proprio o esterno. Riveda questo elenco almeno due volte all'anno, e sempre dopo un'uscita. Per ogni riga si ponga una domanda: questa persona ne ha ancora bisogno oggi?

Nella pratica: ecco come funziona

Nell'ambiente di esempio Mio WebOké invita un collega, un commercialista o uno sviluppatore web come utente. Questi accede con le proprie credenziali, e Lei seleziona, per ogni autorizzazione, cosa può fare, ad esempio solo Fatture per il commercialista. Solo il titolare dell'account può invitare utenti e modificare i diritti, e con un clic può revocare nuovamente l'accesso. In DirectAdmin può assegnare a uno sviluppatore web un proprio account FTP per una sola cartella, oppure una chiave di accesso con data di scadenza, comandi limitati e consentita solo da determinati indirizzi IP.

In Nextcloud, per un collega che se ne va, scelga prima Disabilita: non può più accedere, ma i file restano conservati. Il manuale è chiaro: elimini l'utente solo quando tutto è stato trasferito, perché un utente eliminato scompare definitivamente insieme a tutti i suoi file. In altri sistemi il funzionamento è simile, ma i nomi e i termini variano; lo verifichi prima che qualcuno lasci l'azienda.

Riepilogo

• I diritti minimi limitano il danno quando un account viene compromesso.
• Ogni persona con un proprio account: così sa chi ha fatto cosa e può disattivare l'accesso a una sola persona.
• I diritti di amministrazione si usano solo quando necessario, per poche persone, con una 2FA solida.
• Alle parti esterne si assegna un account proprio, limitato e, dove possibile, temporaneo, mai la propria password.
• Gestisca i diritti all'ingresso, al cambio ruolo e all'uscita; in caso di uscita: trasferire, disattivare, eliminare solo più tardi.

Quiz

Esercizio

Esercizio A7.1: Chi riceve quale accesso? Le vengono presentate una serie di situazioni di una piccola azienda (un nuovo commercialista, uno sviluppatore web per un incarico, un collega che se ne va, uno stagista). Scelga per ogni situazione il modo migliore per concedere o revocare l'accesso. Il programma verifica la Sua scelta e ne spiega il motivo.

Esercizio D7.1: Il Suo quadro degli accessi. Crei un quadro degli accessi dei Suoi cinque servizi principali: chi ha accesso, con quali diritti, account proprio o condiviso, interno o esterno. Rimuova almeno un diritto superfluo o un account condiviso e scriva il Suo elenco di uscita per la prossima volta che qualcuno lascerà l'azienda.

Per saperne di più

I passaggi descritti negli articoli WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida WebOké 11.3: Invitare utenti e assegnare autorizzazioni
• Guida a Nextcloud 14.2: Creare, modificare, disabilitare ed eliminare utenti
• Guida a Nextcloud 14.7: Permessi: chi gestisce cosa nel Suo Nextcloud?
• Guida a Nextcloud 16.7: Un collega lascia l'azienda: come trasferire in sicurezza file, agenda e cartelle condivise
• Guida DirectAdmin 3.5: Chiavi di accesso: accedere per script e programmi
• Guida DirectAdmin 11.6: Creare e gestire account FTP
• NIST, Glossary: least privilege (in inglese): https://csrc.nist.gov/glossary/term/least_privilege
• Microsoft, OneDrive retention and deletion (in inglese): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion