Proteggi gli account del team con regole chiare
Un account di team è difficile da proteggere quando non si sa chi ne risponde, chi ha ancora accesso o come recuperarlo. Rendi visibili queste responsabilità. Buone abitudini richiedono misure tecniche e un processo che le persone sappiano seguire.
Crea un breve inventario degli accessi
Elenca posta aziendale, archiviazione, sistemi clienti, amministrazione del sito e servizi di pagamento. Registra responsabile, amministratore e metodo di recupero. Conserva l’inventario in uno spazio approvato senza trasformarlo in un documento di password e codici di emergenza.
Cerca login condivisi, account di ex collaboratori e strumenti registrati con email personali. Dai priorità agli account che possono ripristinare altri accessi o controllare dati aziendali riservati.
Usa identità separate e un gestore di password
Assegna account personali quando il servizio lo permette. Concedi i diritti necessari e verifica separatamente i privilegi amministrativi. Se una credenziale condivisa è inevitabile, usa un gestore aziendale approvato con condivisione controllata anziché inviarla in un messaggio.
Scegli password robuste e uniche e un gestore approvato. Credenziali diverse per ogni servizio aiutano a evitare che una sola password esposta apra automaticamente altri account.
Aggiungi l’autenticazione a più fattori
La MFA richiede un fattore aggiuntivo oltre alla password. Preferisci metodi resistenti al phishing quando disponibili. Chiedi all’amministratore IT quale opzione supportata sia adatta ai servizi e ai dispositivi.
Non approvare richieste di accesso inattese: segnalale tramite il canale concordato. Conserva il materiale di recupero in modo sicuro e separato dal login quotidiano, accessibile solo a persone autorizzate. Un telefono perso non deve rendere l’impresa dipendente dalla memoria di una sola persona.
Rendi prevedibili i cambiamenti
All’ingresso definisci sistemi necessari e approvazioni. Quando cambia il ruolo, rimuovi accessi inutili oltre ad aggiungerne. All’uscita usa una lista per revoche, modifiche delle credenziali condivise necessarie e trasferimento dei documenti aziendali.
Assegna responsabilità e scadenze interne. Una procedura senza qualcuno incaricato di completarla lascia le stesse lacune dell’assenza di processo.
Verifica il recupero in sicurezza
Scegli un account non critico e consulta le opzioni documentate. Conferma indirizzi di recupero e contatti amministrativi aggiornati. Non disattivare protezioni di un servizio importante solo per vedere cosa succede.
Al prossimo controllo chiedi: conosciamo il responsabile, possiamo revocare rapidamente gli accessi e una persona autorizzata può recuperare l’account? Risolvi le incertezze prima di aggiungere strumenti.
Fonti: CISA: Secure Our World — Passwords tip sheet; CISA: Require Multifactor Authentication.