Password del fornitore: un accesso letto da tre lati

Secondo quanto rivendica un attaccante, è bastata una password "123456", su un'utenza legata a un fornitore di servizi IT, per arrivare al registro anagrafico nazionale danese e a circa 8,8 milioni di record.

La rivendicazione va presa con cautela, finché le autorità danesi non avranno chiarito i fatti. Il meccanismo descritto, invece, lo incontro spesso, e conviene leggerlo da più lati, perché ciascuno porta una domanda diversa.

Dal lato della sicurezza delle informazioni, la ISO/IEC 27001:2022 tratta il tema in due controlli dell'Allegato A: A.5.17, sulle informazioni di autenticazione, e A.8.5, sull'autenticazione sicura. Una password di sei cifre consecutive su un accesso a dati di quella scala fa pensare a due ipotesi: i controlli non erano applicati a quell'utenza, oppure quell'utenza era rimasta fuori dal loro perimetro.

Dal lato del sistema di gestione, la regola sulle password compare quasi sempre nella policy. Quello che manca, in audit, è la prova che il sistema la imponga davvero, in particolare sulle utenze tecniche e su quelle dei fornitori. Spesso sono state create prima della policy, e nessuno le ha più riaperte. Una regola che il sistema non fa rispettare resta un'intenzione scritta.

Dal lato legale, in Italia un fornitore che tratta dati per conto di un'amministrazione è responsabile del trattamento ai sensi dell'articolo 28 del GDPR, e l'articolo 32 chiede misure adeguate al rischio sia al titolare sia al responsabile. Quindi, anche quando l'accesso compromesso appartiene al fornitore, la domanda su chi dovesse verificarlo arriva comunque al titolare.

Le tre letture convergono su un punto. La password debole è il sintomo; la causa, con buona probabilità, è un'utenza che non è mai entrata nel riesame periodico degli accessi, perché apparteneva a qualcuno che non era in organico.

Nelle vostre organizzazioni le utenze dei fornitori compaiono nello stesso riesame degli accessi dei dipendenti, o vivono in un elenco a parte?