Perché il riutilizzo delle password è il cuore del problema
Quando un servizio online viene violato, le password dei suoi utenti finiscono, prima o poi, in enormi elenchi pubblici che chiunque può scaricare. Chi attacca non prova a indovinare la vostra password: prende gli elenchi e prova le combinazioni già note di email e password sui vostri sistemi. Funziona perché le persone riutilizzano la stessa password ovunque: quella del vostro gestionale è spesso la stessa di un forum iscritto dieci anni fa e violato l'anno scorso. Non è la vostra password a essere debole, è che è già altrove.
L'account fantasma
Il secondo pezzo del problema è ancora più semplice: gli account che restano attivi dopo che la persona se n'è andata. Il collaboratore che ha cambiato lavoro, il fornitore con cui non lavorate più, lo stagista dell'estate scorsa. Ognuno di loro ha ancora, spesso, credenziali funzionanti. Nessuno le usa, quindi nessuno le nota — ed è esattamente questo a renderle pericolose: una porta aperta che non compare in nessun controllo perché nessuno la guarda.
Le domande che rivelano gli account fantasma
- Quando qualcuno lascia l'azienda, c'è una procedura che chiude tutti i suoi accessi, o si chiude solo l'email?
- Sapete elencare, oggi, tutti gli account amministratore dei vostri sistemi e a chi appartengono?
- Ci sono account condivisi da più persone, di cui nessuno è davvero responsabile?
- Un ex fornitore ha ancora accessi tecnici che gli avevate dato per un lavoro finito?
Le tre difese che valgono la spesa
- 01
Verifica in due passaggi sugli accessi importanti
È la difesa con il miglior rapporto fra effetto e costo: una password rubata da sola non basta più a entrare. Prioritaria su tutti gli accessi amministrativi.
- 02
Una procedura di uscita
Quando una persona lascia, una lista di cosa chiudere, seguita ogni volta. Non serve un software: serve che qualcuno la esegua sempre, non «quando ci si ricorda».
- 03
Una revisione due volte l'anno
Mezza giornata, due volte l'anno, a guardare l'elenco degli utenti e togliere chi non lavora più con voi. È noiosa, ed è proprio per questo che va messa in calendario invece che lasciata alla buona volontà.