Chi può accedere dove: il nocciolo del controllo degli accessi
Il controllo degli accessi risponde a una domanda: chi ha accesso a quale sistema, e perché proprio quella persona e non un'altra. Nell'ambito degli obblighi di diligenza della NIS2, questa è una delle misure che un'organizzazione deve dimostrare di adottare, e nella pratica è anche la misura su cui i questionari di sicurezza pongono più frequentemente e più incisivamente le loro domande. Ciò non è casuale: un attaccante una volta entrato nel sistema cerca account con troppi privilegi, e il controllo degli accessi è proprio la misura che limita questo rischio.
Per un fornitore di servizi ICT, ciò si manifesta in tre forme: gestione remota dei sistemi propri e dei clienti, accesso diretto ai sistemi del cliente, e il ruolo dei subappaltatori che talvolta hanno a loro volta bisogno di accesso. Ogni forma pone una domanda leggermente diversa, e un cliente che invia il questionario vuole una risposta su tutti e tre gli aspetti.
Gestione remota: il primo aspetto su cui un questionario insiste
Nella gestione remota non si tratta solo della domanda se sia necessaria una password, ma di chi esattamente può effettuare l'accesso, con quale account, e se ciò possa essere ricondotto a una sola persona. Un account di gestione condiviso usato dall'intero team è difficile da valutare per un'autorità di controllo o per un cliente: se qualcosa va male, non è possibile stabilire chi era collegato in quel momento. L'autenticazione a più fattori sull'accesso amministrativo è ormai il minimo richiesto, e molti questionari vogliono anche sapere se le sessioni vengono registrate e se l'accesso scade automaticamente dopo un periodo di inattività.
Il ragionamento sottostante è noto nella normativa come il principio del privilegio minimo: una persona riceve diritti solo per ciò che è necessario per il suo compito, non di più. Per un'azienda di installazione o un responsabile IT ciò può sembrare astratto, ma nella pratica si riduce a un semplice controllo: un tecnico che manutiene solo stampanti può accedere anche all'amministrazione finanziaria? Se no, allora è già un'indicazione che il controllo degli accessi è in ordine.
Accesso ai sistemi dei clienti: perché questa domanda viene posta separatamente
Quando un fornitore di servizi ICT si collega direttamente ai sistemi di un cliente, nasce un livello aggiuntivo di rischio. Il cliente vuole allora sapere non solo come il fornitore protegge il proprio accesso, ma anche come si previene che un account del fornitore diventi una porta d'ingresso verso il resto della rete del cliente. I questionari chiedono quindi spesso separatamente informazioni sulla segmentazione: l'accesso è limitato al sistema per il quale è destinato, oppure un tecnico può accedere da quello stesso account anche ad altre parti della rete?
Questo è il motivo per cui i clienti affrontano questo tema con priorità rispetto a domande più generali. Un'organizzazione soggetta agli obblighi di diligenza deve valutare i suoi fornitori, e l'accesso ai suoi sistemi è il rischio più concreto che può indicare. Un fornitore che qui ha già una risposta chiara — chi può accedere, con quale diritto, e come viene rivisto periodicamente — risparmia a se stesso un certo numero di domande di follow-up. per argomento chiarito che cosa una misura comporta esattamente fornisce un punto di partenza.
Subappaltatori: la stessa domanda, un anello più avanti nella catena
Non appena un subappaltatore partecipa a un incarico, la questione non scompare ma si sposta un anello più avanti nella catena. Un cliente che valuta il controllo degli accessi del fornitore vuole anche sapere se il fornitore a sua volta ha controllo sull'accesso dei propri subappaltatori. Viene creato un account per un subappaltatore e revocato non appena l'incarico è terminato, oppure l'accesso rimane silenziosamente attivo? Quest'ultimo è una delle scoperte più frequenti quando il controllo degli accessi viene esaminato a fondo: account che una volta erano necessari, ma non sono mai stati eliminati.
Un accordo pratico è quindi che l'accesso sia collegato alla durata dell'incarico e che ci sia un proprietario fisso responsabile della revoca. Chi riesce a indicarlo — un nome, non una funzione in senso generale — fornisce a un questionario una risposta più concreta rispetto a una descrizione della sola politica.
Cosa significa questo per il vostro dossier personale
La gestione degli accessi non è una misura che si configura una volta e poi si abbandona; è un registro che deve essere mantenuto ogni volta che cambiano ruoli, clienti o subappaltatori. Per chi deve ancora stabilire se questo è rilevante come obbligo settoriale o della catena di fornitura, il controllo in poche domande fornisce una prima indicazione di dove si trova un'organizzazione. Chi sa già che i questionari continueranno ad arrivare, può con le domande più frequenti su cosa viene esattamente richiesto approfondire ulteriormente la propria situazione.
Il nocciolo rimane semplice da ricordare, anche senza esperienza legale: potete dire in qualsiasi momento chi ha accesso a quale sistema, perché e da quando? Chi ha già questa risposta è già a buon punto per la maggior parte dei questionari. Chi deve ancora scoprirlo, può utilizzare la scansione rapida gratuita su secria.eu per ottenere un primo quadro di dove iniziare.