Un accesso remoto può permettere a un dipendente di lavorare da casa, a un tecnico esterno di intervenire su un impianto o a un fornitore di assistere il cliente per una determinata applicazione. Non sono però situazioni equivalenti. Cambiano le informazioni raggiungibili, il tipo di dispositivo usato, la durata dell’accesso e la conseguenza di un errore.
Per questo l’accesso remoto non va trattato come una semplice opzione da attivare. Nel quadro NIS2, la gestione del rischio richiede misure di sicurezza adeguate al contesto. Per l’azienda, il lavoro concreto consiste nel decidere chi può entrare da remoto, per fare che cosa, attraverso quali strumenti e con quali verifiche. L’obiettivo non è rendere ogni collegamento complicato: è evitare che un’autorizzazione utile diventi un ingresso permanente e non controllato.
Separare le situazioni prima di scegliere la misura
La stessa misura non è necessariamente adatta a tutti gli accessi. Un commerciale che consulta il CRM da un portatile aziendale, un dipendente che usa documenti condivisi dal proprio dispositivo e un manutentore che accede per due ore a un sistema di produzione presentano condizioni diverse.
Una prima classificazione può essere semplice: persona interna o esterna; servizio consultato; dispositivo usato; durata dell’esigenza; impatto se le credenziali vengono sottratte o se il collegamento resta attivo oltre il necessario. Non serve creare decine di categorie. Serve distinguere i casi che richiedono decisioni diverse.
Questa lettura evita due estremi: applicare lo stesso livello di controllo a qualunque applicazione oppure concedere eccezioni informali perché il lavoro è urgente. La direzione può fissare le priorità e le soglie di rischio; IT e responsabili di processo traducono quelle decisioni in configurazioni e verifiche operative.
Collegare ogni accesso a una persona e a uno scopo
Un account condiviso rende difficile sapere chi ha eseguito un’attività e chi deve essere contattato se emerge un’anomalia. Per gli accessi remoti, il punto di partenza è associare l’autorizzazione a una persona identificabile o, quando necessario, a un’attività di servizio tracciata.
Lo scopo deve essere altrettanto chiaro. “Accesso al sistema” è una descrizione troppo ampia. È più utile indicare, per esempio, assistenza al gestionale, consultazione di dati commerciali, manutenzione di un componente o gestione di una richiesta urgente. Questa informazione consente di definire a quali risorse l’utente può arrivare e di verificare se l’accesso è ancora necessario.
Quando cambia ruolo, progetto o fornitore, la verifica non dovrebbe limitarsi alla casella email aziendale. Occorre controllare anche VPN, strumenti cloud, portali di assistenza, account amministrativi e eventuali canali predisposti dal fornitore. È qui che un processo di autorizzazione evita accessi rimasti attivi per inerzia.
Usare autenticazione e dispositivi in modo coerente con il rischio
Chiedere una seconda prova di identità oltre alla password riduce il rischio che una credenziale sottratta sia sufficiente per entrare. Ma l’autenticazione non esaurisce la decisione. Conta anche da quale dispositivo avviene il collegamento, se il dispositivo è aggiornato, come sono protette le informazioni visualizzate e se la sessione dà accesso a dati o funzioni delicate.
Un criterio pratico è aumentare le cautele quando aumentano privilegi e impatto. L’accesso a un servizio essenziale, a funzioni amministrative o a informazioni riservate può richiedere dispositivi gestiti, canali protetti, autorizzazioni più ristrette e controlli più frequenti rispetto alla consultazione di materiale pubblico.
Questo non significa imporre un modello identico a ogni realtà. Significa documentare perché una misura è proporzionata. Se un’eccezione è necessaria, chi la autorizza dovrebbe sapere quale rischio rimane, per quanto tempo vale e quale misura compensativa riduce l’esposizione.
Gestire i fornitori senza trasformare l’urgenza in una porta aperta
L’assistenza remota di un fornitore è spesso necessaria per garantire continuità. Proprio per questo va progettata prima dell’incidente. L’azienda deve sapere quali fornitori possono collegarsi, a quali sistemi, con quale canale, chi approva l’intervento e come viene chiuso l’accesso al termine dell’attività.
Un accesso permanente “nel caso serva” può sembrare veloce, ma rende più difficile ricostruire autorizzazioni, sessioni e responsabilità. Un’alternativa concreta è prevedere accessi nominativi, limitati al servizio interessato e attivati per il tempo necessario, con un canale di richiesta ed escalation già definito.
Anche il contratto e le istruzioni operative devono essere coerenti con il metodo scelto. Non basta dichiarare che il fornitore è responsabile della sicurezza: occorre chiarire chi conserva le evidenze dell’intervento, chi riceve gli avvisi e chi verifica periodicamente che gli accessi ancora attivi corrispondano a un’esigenza reale.
Rendere le verifiche leggibili anche per chi decide
I log tecnici possono essere numerosi, ma la direzione non deve leggere ogni evento. Ha bisogno di informazioni che permettano decisioni: quanti accessi esterni esistono, quali riguardano servizi critici, quante eccezioni sono aperte, quali account privilegiati non sono stati riesaminati e quali anomalie richiedono risorse o una scelta di rischio.
Una verifica periodica può quindi unire dati tecnici e responsabilità di processo. Il responsabile del servizio conferma l’utilità dell’accesso; IT verifica configurazione e protezioni; il referente aziendale del fornitore controlla che l’attività prevista sia conclusa. Se emerge una differenza, deve esserci un’azione assegnata, non solo una nota in un report.
Questo approccio aiuta a mantenere la proporzionalità. Un piccolo numero di accessi ad alto impatto merita controlli più ravvicinati; accessi a servizi meno esposti possono seguire un riesame ordinario. La frequenza nasce dal rischio e dall’uso effettivo, non da una scadenza scelta senza contesto.
Una traccia essenziale per partire
Per iniziare è sufficiente una tabella condivisa per gli accessi remoti più rilevanti. Per ciascuno si possono registrare servizio raggiunto, persona o fornitore autorizzato, scopo, canale usato, approvatore, data di riesame, eccezioni aperte e azione successiva. Non sostituisce le configurazioni tecniche, ma rende visibile il collegamento tra decisione e controllo.
La tabella va aggiornata ogni volta che cambia qualcosa che può modificare il livello di rischio: quando una persona viene assunta, cambia ruolo oppure lascia l’azienda; quando viene coinvolto un nuovo fornitore; quando cambia un servizio; quando serve un intervento urgente; quando si verifica un incidente; oppure in occasione di una verifica periodica. In questo modo l’azienda non ricostruisce tutto dopo un problema: può verificare in anticipo se le autorizzazioni riflettono ancora il lavoro reale.
Conclusione. Scegliere misure proporzionate per gli accessi remoti significa associare ogni accesso a una persona o a un fornitore, a uno scopo, a un servizio e a una verifica. L’azienda non deve trasformare il management in un reparto IT. Deve però rendere esplicite le decisioni su priorità, eccezioni e responsabilità, così che IT e fornitori possano applicare controlli coerenti e dimostrare come vengono riesaminati nel tempo.