Le utenze che restano accese dopo l'uscita
La domanda che in audit crea più silenzio non riguarda le policy. È questa: "mi mostra l'elenco delle utenze attive e l'elenco delle persone in forza oggi?"
Nella maggior parte dei casi i due elenchi esistono. In posti diversi, tenuti da persone diverse, aggiornati in momenti diversi. Nessuno li ha mai messi uno accanto all'altro.
Quello che si vede quando lo si fa: caselle di posta di chi è uscito da un paio d'anni ancora abilitate, perché "arrivano ancora ordini". Accessi al gestionale di fornitori che hanno chiuso il contratto. Un account amministratore condiviso che nessuno sa più chi usa davvero. Un'utenza di servizio creata per una migrazione finita da tempo.
Non è negligenza. È che la procedura di uscita vive nelle risorse umane, l'utenza vive sui sistemi, e fra i due il passaggio è una telefonata.
La ISO/IEC 27001:2022 lo dice all'Allegato A, controllo 5.18: i diritti di accesso vanno assegnati, riesaminati, modificati e revocati secondo la politica dell'organizzazione. Revocati. È la parte che salta. Il GDPR ci arriva dall'articolo 32, paragrafo 1, lettera b), sulla riservatezza dei sistemi di trattamento, e il D.Lgs. 138/2024 mette il controllo degli accessi fra le misure minime per i soggetti essenziali e importanti.
Il punto non è la revoca in sé. È che un'utenza orfana è un accesso senza un responsabile: se qualcosa succede da lì, non c'è una persona a cui riferire l'azione. Quando poi serve ricostruire un incidente, quello è il momento in cui l'analisi si ferma.
Il riesame periodico degli accessi viene spesso trattato come un adempimento formale. È l'unica occasione in cui qualcuno guarda le due liste insieme, con una data e una firma.
Quando è stata fatta l'ultima volta nella vostra organizzazione, e chi l'ha firmata?