Politica di gestione degli account utente e dei privilegi - PMI

La Politica di gestione degli account utente e dei privilegi (P11S) è un’offerta completa, focalizzata sulle PMI, progettata per governare la creazione, l’uso, il monitoraggio e la rimozione di account utente e privilegi all’interno di un’organizzazione. In quanto politica adattata da standard globali e obblighi normativi, stabilisce un quadro per garantire che solo utenti autorizzati dispongano di accesso appropriato, un controllo critico per prevenire l’accesso non autorizzato e ridurre le minacce interne. In particolare, P11S è scritta specificamente per le piccole e medie imprese (PMI), come indicato dalla responsabilità dell’Amministratore delegato (GM) e dall’assenza di strutture complesse di governance IT come SOC dedicati o un Responsabile della sicurezza delle informazioni (CISO). Questo approccio rende il controllo degli accessi ad alta affidabilità realizzabile e gestibile per le organizzazioni prive di grandi team di sicurezza, mantenendo l’allineamento con ISO/IEC 27001:2022 e framework correlati. La politica si applica a tutti i dipendenti, contraenti, tirocinanti e terze parti con accesso ai sistemi informativi dell’organizzazione. Copre account utente tradizionali, account amministratore e account di servizio, nonché credenziali temporanee o per ospiti. Le regole coprono l’intero ciclo di vita dell’account, dall’onboarding iniziale e dal provisioning degli accessi, al riesame periodico degli accessi e alla revoca degli accessi durante la procedura di uscita. A ogni utente viene assegnata un’identità univoca e tracciabile per garantire autorità e responsabilità, con credenziali condivise esplicitamente vietate salvo eccezioni documentate e controllate. I privilegi elevati devono essere soggetti a un ulteriore livello di giustificazione e autorizzazione, sempre con documentazione e riesame periodico degli accessi. Ruoli e responsabilità sono semplificati e chiari: l’Amministratore delegato fornisce la supervisione complessiva, garantendo la conformità alle politiche e affrontando eventuali incidenti di sicurezza delle informazioni relativi agli account utente. Le attività di implementazione e applicazione tecnica ricadono sugli Amministratori IT (o su un fornitore IT esterno), che gestiscono il provisioning degli accessi, la disabilitazione, il monitoraggio e la registrazione di audit, il tutto rigorosamente basato su workflow di approvazione documentati. I Responsabili di linea svolgono un ruolo cruciale nel richiedere, riesaminare e validare l’accesso quando i ruoli dei membri del team cambiano, mentre ogni utente è responsabile della protezione delle proprie credenziali e della segnalazione degli incidenti in caso di attività sospette. La politica è strettamente governata, richiedendo che tutte le modifiche agli account, creazioni, disattivazioni ed elevazioni dei privilegi siano registrate e associate a persone nominate. I riesami periodici degli accessi sono obbligatori almeno ogni sei mesi. Complessità della password, autenticazione a più fattori (MFA) ove possibile, blocco dell’account dopo tentativi falliti e riesame sistematico degli account di servizio e degli account di terze parti sono integrati nelle regole. Le procedure di uscita garantiscono la rimozione tempestiva degli accessi e il recupero di tutti i token di accesso o dispositivi, riducendo i rischi di accesso residuo. La gestione delle eccezioni è mantenuta a uno standard elevato: qualsiasi deviazione dalla politica di base (come il raro uso di account condivisi o di test) deve essere giustificata per iscritto, compensata con controlli compensativi, riesaminata trimestralmente e soggetta a eventuale revoca degli accessi. Gli account di emergenza “break glass” sono consentiti solo in condizioni definite e documentate e devono essere reimpostati dopo l’uso. La politica prevede audit regolari, riesami degli incidenti di sicurezza e aggiornamenti annuali per mantenere l’allineamento con l’evoluzione dei requisiti normativi e aziendali. Infine, collega esplicitamente politiche complementari che coprono rispettivamente governance, controllo degli accessi, politica di onboarding e cessazione del personale, formazione e sensibilizzazione alla sicurezza delle informazioni e risposta agli incidenti, garantendo un approccio olistico alla gestione degli accessi e alla conformità.