Password, accessi, utenti: cosa verificare dopo l’estate

Alla fine dell’estate i colleghi rientrano, i progetti ripartono, le riunioni si infittiscono. Nel mezzo di tutto questo, c’è qualcosa che poche aziende controllano con la dovuta attenzione: lo stato di password, accessi e utenti sui propri sistemi.

Eppure è proprio in questo momento, dopo settimane di assenze, avvicendamenti e connessioni da reti non protette, che le vulnerabilità si moltiplicano. Collaboratori che hanno lavorato da casa o in viaggio. Fornitori a cui era stato aperto un accesso temporaneo. Stagisti che hanno concluso il periodo in azienda ad agosto.

Secondo i dati pubblicati dall’ANSA, la ricerca annuale di NordPass conferma che “admin” resta saldamente in cima alla classifica delle password più usate in Italia, seguita da “password” e “123456”. Un problema che riguarda tutti i contesti, senza distinzione di ruolo o settore.

Il rientro è il momento giusto per fare ordine. 

Cosa verificare, punto per punto

Ogni area trascurata è una potenziale vulnerabilità: meglio affrontarle una alla volta.

1. Ricognizione completa: chi ha accesso a cosa

Il punto di partenza è un censimento degli utenti attivi su tutti i sistemi principali: gestionale, posta elettronica, VPN, strumenti Cloud, piattaforme SaaS.

Per ciascun utente vale la pena chiedersi: questo account è ancora necessario? La persona che lo usa ha ancora le stesse responsabilità di prima dell’estate?

Cosa fare:

• verificare che ogni account corrisponda a una persona ancora operativa in azienda
• identificare gli account inattivi da più di 30 giorni e disabilitarli

Un account abbandonato e mai chiuso è una porta aperta. Gli utenti non più attivi ma ancora presenti nei sistemi spesso non vengono monitorati, non ricevono aggiornamenti e possono essere usati per accedere ai sistemi senza destare sospetti.

2. Password, accessi, utenti: l’audit che si rimanda sempre

L’audit sul controllo degli accessi, sulla gestione delle password e sulla verifica degli utenti è una delle operazioni più trascurate nelle aziende di piccola e media dimensione

Cosa fare per garantire la sicurezza, anche senza strumenti sofisticati:

• verificare che le password degli account aziendali rispettino criteri minimi di complessità: almeno 12 caratteri, lettere maiuscole e minuscole, numeri e simboli
• controllare se esistono ancora credenziali predefinite su software, dispositivi di rete o pannelli di amministrazione
• censire le password condivise tra più utenti e sostituirle con accessi nominali

I profili aziendali utilizzati da più persone sono un problema specifico del contesto aziendale: quando un collaboratore lascia l’azienda, quella credenziale rimane valida per tutti gli altri che la conoscono.

3. Accessi privilegiati: massima priorità

Non tutti gli account hanno lo stesso peso.

Chi gestisce i sistemi IT, il CRM o l’ERP aziendale ha accesso a dati critici. Password robuste e accessi strettamente controllati sono la prima linea di difesa per questi profili: una compromissione qui ha conseguenze molto più gravi rispetto a un account standard.

Cosa fare:

• mappare gli utenti con privilegi elevati e verificare che siano ancora le persone giuste a detenerli
• verificare le connessioni esterne aperte durante l’estate: sessioni VPN, desktop remoti, pannelli Cloud
• verificare che l’autenticazione a più fattori (MFA) sia attiva su tutti gli account aziendali, con priorità assoluta per quelli con privilegi
• rivedere i permessi: chi aveva accesso temporaneo a una risorsa durante l’estate deve averlo ancora?

Il principio guida è semplice: ogni utente deve operare solo nell’area di competenza che gli è stata assegnata.

4. Account di ex collaboratori: chiuderli subito

È uno degli errori più comuni e con le conseguenze più serie.

Un collaboratore che ha lasciato l’azienda ad agosto può avere ancora, a settembre, accesso attivo alla posta, ai file condivisi, agli strumenti di project management.

Cosa fare:

• verificare che tutti gli account degli ex collaboratori siano stati disabilitati e non solo svuotati
• controllare che le credenziali di accesso a servizi terzi, come piattaforme SaaS, strumenti di marketing, gestionali Cloud, siano state aggiornate
• revocare i token di accesso e le sessioni attive ancora aperte

Disabilitare la casella di posta non è sufficiente se la stessa persona aveva accesso autonomo ad altre piattaforme aziendali con credenziali proprie.

5. Monitoraggio: strumenti e alert

Tra una revisione e l’altra, sono gli strumenti di monitoraggio e prevenzione a fare la guardia.

Un accesso anomalo può essere il primo segnale di una compromissione in corso. Senza di essi, quel segnale passa inosservato.

Cosa fare:

• impostare alert automatici per comportamenti fuori dalla norma: accessi in orari insoliti, connessioni da geografie non abituali, tentativi ripetuti falliti sullo stesso account
• verificare che i log di accesso siano attivi e conservati per un periodo adeguato
• valutare l’adozione di strumenti di Identity and Access Management (IAM) che centralizzano la gestione degli utenti e tracciano ogni modifica ai permessi

Queste misure consentono di intercettare i problemi quando sono ancora gestibili.

6. Aggiornare le policy e formare il team

Le verifiche tecniche servono a poco se le abitudini delle persone restano le stesse.

Cosa fare:

• condividere con il team una policy chiara sulla sicurezza degli accessi: niente credenziali personali sui sistemi aziendali, nessuna chiave d’accesso riciclata, nessun account condiviso
• valutare l’adozione di un password manager aziendale: centralizza la gestione, elimina le credenziali deboli e permette di revocare gli accessi in modo rapido
• pianificare almeno un momento di aggiornamento all’anno su questi temi — il rientro dall’estate è l’occasione ideale

La formazione riduce il rischio umano, che resta una delle principali cause di incidenti informatici nelle aziende.

Un’abitudine che vale più di uno strumento

Verificare lo stato degli accessi, la solidità delle password e la lista degli utenti attivi dopo l’estate richiede qualche ora di lavoro.

Il passo successivo è trasformare questo controllo in un appuntamento fisso: a cadenza semestrale, o ogni volta che cambia qualcosa nell’organico aziendale. La sicurezza degli accessi funziona quando entra nella routine, come il backup o l’aggiornamento dei sistemi.

Ignorarlo può costare molto di più di qualche ora.