Il tuo tecnico IT ha dato le dimissioni. Ecco cosa significa realmente per la tua attività.
C’è un momento che accade spesso negli uffici più piccoli – forse è successo anche a te – in cui la persona che “si occupa dei computer” invia un’e-mail di dimissioni, dà un preavviso di due settimane, magari forma brevemente qualcuno su alcune cose, e poi esce dalla porta.
Nella maggior parte dei casi, la transizione procede senza problemi. Il suo laptop viene recuperato. La sua e-mail viene inoltrata. Qualcun altro prende in carico i ticket del helpdesk. La vita continua.
Quello che non viene gestito – quasi ogni volta – sono tutte le informazioni che conosceva e che nessuno ha pensato di documentare, e tutti gli accessi che poteva ancora avere e che nessuno ha pensato di disattivare.
Il problema non è ciò che ha portato via. È ciò che ha lasciato dietro.
Quando un dipendente o un collaboratore chiave lascia l’azienda, la preoccupazione principale che hanno i manager è: hanno portato via qualcosa di importante? È un’intuizione ragionevole. Uno studio del 2019 di OneLogin ha rilevato che Il 50% dei dipendenti che avevano lasciato l’azienda, continuava ad avere accesso ai sistemi aziendali., e tra le aziende intervistate, il 20% aveva già subito una violazione dei dati causata da un ex dipendente. Uno studio separato condotto dal Ponemon Institute ha rilevato che il 59% dei dipendenti aveva portato con sé dati aziendali quando ha lasciato l’azienda.
Ma il rischio più subdolo e persistente è l’opposto: l’accesso che rimane attivo senza che nessuno se ne accorga.
Nel corso di mesi o anni, un tecnico IT acquisisce diversi punti di accesso che nessuno altro conosce. Ha creato l’account amministratore sul firewall. Ha configurato il servizio di backup nel cloud utilizzando il proprio indirizzo email. È lui che conosce la password principale per accedere al server nella stanza secondaria. Ha configurato le credenziali VPN per lo strumento di accesso remoto. Ha registrato il dominio tramite il proprio account GoDaddy perché era più veloce all’epoca. Ha salvato le credenziali per il sistema di videosorveglianza nel proprio browser.
Nessuno di questi comportamenti era malizioso. Era semplicemente il modo in cui le cose venivano fatte in un piccolo ufficio. Ma quando se ne vanno, ogni uno di questi punti di accesso rimane attivo. E a seconda di chi è la persona e come se ne va, queste porte aperte rappresentano un rischio che va dall’inconveniente alla gravità.
Tre scenari, nessuno dei quali teorico
La partenza amichevole che va comunque storta. Il tuo tecnico IT se ne va in buoni rapporti per una migliore opportunità. Senza rancori. Ma sei mesi dopo, il suo laptop personale — che conserva ancora le sue credenziali — viene compromesso a seguito di una violazione di un sito web non correlato, dove riutilizza la sua password. Gli attaccanti ora hanno la combinazione di username e password che funziona ancora con il tuo strumento di accesso remoto, perché nessuno ha effettuato un controllo per verificare quali credenziali dovevano essere aggiornate quando se ne è andato. La violazione ha origine da un account che non avrebbe dovuto esistere per mesi.
Il sistema non documentato che diventa una crisi. Il tuo tecnico IT gestiva un sistema di backup che funzionava silenziosamente in background. Quando se ne va, spiega le basi, ma nessuno chiede la documentazione di ripristino. Quattordici mesi dopo, un ransomware colpisce il tuo server di file. Viene richiesto il supporto IT. Il sistema di backup non funziona correttamente da otto mesi, a seguito di una modifica della configurazione che non è mai stata comunicata perché la persona che avrebbe dovuto notarla era già andata. I backup sono presenti, ma i dati no.
L’accesso al fornitore che nessuno ha controllato. Prima di andarsene, il tuo tecnico IT aveva configurato l’accesso remoto per un fornitore di software di terze parti — un account di servizio con le proprie credenziali, utilizzato per la manutenzione remota. La relazione con quel fornitore è terminata un anno fa, ma l’account di servizio è ancora attivo nel tuo sistema. Né tu né il tuo attuale supporto IT ne siete a conoscenza. Non compare nella tua lista standard di utenti perché è stato creato come account locale su un server specifico. Gli attaccanti che hanno compromesso quel fornitore in un incidente separato hanno utilizzato quelle credenziali per accedere al tuo ambiente mesi dopo che tutti se ne erano andati.
Cosa Copre Davvero un Buon Processo di Uscita
La maggior parte dei responsabili di ufficio considera l’uscita da un sistema IT come: recuperare il laptop, disabilitare l’e-mail, fatto. Questo copre forse il 20% della superficie effettiva.
Un corretto processo di uscita da un sistema IT include una revisione sistematica di tutti gli account a cui l’impiegato in uscita aveva accesso – non solo il proprio login personale, ma anche tutti gli account condivisi, le credenziali di amministratore, i portali dei fornitori, i servizi cloud e le console di gestione dell’hardware. Questa lista è più lunga di quanto ci si aspetterebbe anche in un piccolo ufficio.
Include la rotazione delle credenziali condivise per qualsiasi risorsa a cui avevano accesso, poiché Modificare la password per un singolo account non ha alcun effetto sui sei account condivisi che utilizzavano le stesse credenziali. Uno studio del 2024 della Cloud Security Alliance ha rilevato che il 52% delle organizzazioni aveva riscontrato un incidente di sicurezza direttamente correlato alla gestione impropria degli accessi – ovvero, credenziali che non erano mai state correttamente revocate o aggiornate dopo i cambiamenti del personale.
Include la revisione dei sistemi configurati sotto i loro account personali o indirizzi e-mail – registrar di dominio, autorità di certificazione SSL, account di hosting cloud, piattaforme di backup. Questi sono quelli che smettono improvvisamente di funzionare al momento della rinnovo quando nessuno ha accesso all’indirizzo e-mail che riceve le notifiche.
Include la documentazione di ciò che sapevano. Non come un gesto di saluto all’impiegato, ma perché un ambiente IT gestito in cui i sistemi critici sono conosciuti solo da una persona non è un ambiente gestito – è un singolo punto di errore con il nome del dipartimento IT.
Una Cosa che Puoi Controllare Subito
Se utilizzi Microsoft 365, puoi eseguire una rapida verifica dal portale di amministrazione senza alcuna competenza tecnica. Accedi al Microsoft 365 Admin Center, vai alla sezione “Utenti” e filtra per “Utenti eliminati di recente” e rivedi separatamente gli utenti attivi. Cerca eventuali account che appartengono a persone che non sono più nell’organizzazione.
Quando un account viene eliminato in Microsoft 365, rimane in uno stato di eliminazione temporanea per 30 giorni prima di essere rimosso definitivamente. Ma, soprattutto, gli account attivi per i dipendenti che se ne sono andati possono esistere indefinitamente se nessuno li ha disabilitati specificamente – e un numero sorprendente di piccoli uffici hanno account e-mail attivi, e quindi credenziali di accesso, per persone che se ne sono andate un anno o più fa.
Questa è la parte visibile. La parte meno visibile – le credenziali di amministrazione del firewall, l’accesso al sistema di backup, i portali dei fornitori, il registrar di dominio – richiede una revisione strutturata che va oltre ciò che mostra il portale di amministrazione.
La Parte che è Difficile da Fare da Sé
La sfida con l’uscita da un sistema IT non è che sia tecnicamente complessa – la maggior parte dei singoli passaggi è semplice. La sfida è che non si sa cosa non si sa.
Se la persona IT che sta per lasciare ha creato e gestito l’ambiente, è anche la persona più indicata per sapere cosa deve essere trasferito. Quando questo trasferimento non avviene correttamente – il che accade nella maggior parte dei casi, perché le dimissioni sono frettolose e la documentazione raramente è una priorità quando le persone sono concentrate sul loro prossimo lavoro – le lacune non diventano evidenti subito. Diventano evidenti sei mesi dopo, quando il backup fallisce, o il dominio scade, o un audit rivela un account attivo per qualcuno che non lavora lì da un anno.
La risposta corretta è un ambiente che non dipende dalla memoria di una sola persona – dove gli account sono gestiti centralmente, l’accesso è documentato, i sistemi sono inventariati e il passaggio al nuovo responsabile è una checklist piuttosto che uno scompiglio improvvisato. Questo non è una caratteristica di avere la persona IT giusta. È una caratteristica di avere la struttura IT giusta. E questa struttura è esattamente ciò che un partner IT gestito è progettato per fornire.
Se la vostra organizzazione ha subito una recente transizione IT – o se non siete sicuri di chi ha accesso a cosa – questa incertezza stessa vale la pena di essere discussa.
Anche la verifica tramite email è consigliabile dopo una transizione IT, soprattutto se in precedenza la gestione del dominio, del DNS o delle impostazioni di Microsoft 365 era affidata a una sola persona. Per una guida tecnica più approfondita, consultare la nostra guida all’implementazione, alla configurazione e al monitoraggio di DMARC, che include le politiche SPF, DKIM, DMARC e la segnalazione.
