Quando tutti entrano con lo stesso account, il servizio registra le azioni sotto un’identità unica. Se una persona lascia il gruppo, non puoi revocarle l’accesso senza cambiare la password per tutti. Inoltre, la credenziale può finire in chat, note o browser personali e risultare difficile da aggiornare ovunque.
Perché è importante
- Gli account individuali rendono più semplice attribuire attività e revocare l’accesso a una sola persona.
- Password uniche e MFA riducono il rischio che una credenziale riutilizzata comprometta altri servizi.
- Un password manager condiviso è una misura transitoria per servizi senza profili separati, da proteggere e riesaminare.
Perché una password comune complica il lavoro
La prima scelta è cercare account nominativi, ruoli o una funzione di delega. Questo consente di assegnare permessi distinti, attivare autenticazione multifattore per ogni persona e revocare un accesso senza interrompere il lavoro degli altri. Non creare nuovi account se il contratto o il servizio vieta l’uso previsto: verifica prima le condizioni del fornitore.
Migra con una procedura breve e verificabile
Fai l’inventario di servizio, titolare, scopo, persone abilitate, dati contenuti e metodo di recupero. Per ogni servizio assegna un responsabile e crea gli account individuali necessari. Usa password uniche generate dal gestore approvato e abilita MFA, preferendo metodi resistenti al phishing quando disponibili e adeguati al servizio.
Prova accesso, permessi e recupero con un account secondario prima di togliere quello condiviso. Verifica che il nuovo gruppo possa completare le attività e che nessun file o processo dipenda dall’identità precedente. Poi revoca sessioni e token non più necessari e ruota la vecchia password.
Cosa puoi farci concretamente
- Elenca i servizi condivisi e verifica se offrono account individuali, ruoli o deleghe.
- Crea accessi separati, abilita MFA e assegna solo i permessi necessari; prova poi la revoca di un utente.
- Per le eccezioni usa un vault condiviso con accesso nominativo, MFA e registro; cambia la credenziale quando cambia il gruppo autorizzato.
Gestisci i servizi che non supportano utenti separati
Se il servizio offre un solo login, consulta il responsabile e valuta alternative: piano multiutente, delega, integrazione o sostituzione. Se la condivisione è consentita e indispensabile, conserva la password in un vault condiviso con membri nominativi, MFA sul vault e accesso minimo. Non inviarla via email o chat e non lasciarla salvata su dispositivi condivisi senza protezioni.
Registra chi può recuperare il vault e come si gestisce l’uscita di un membro. Cambia la password quando una persona perde l’autorizzazione o quando sospetti una divulgazione. Se il servizio non offre log, annota l’uso secondo le policy interne, sapendo che un registro manuale non sostituisce l’audit del provider.
Rivedi gli accessi e conserva una via di recupero
Ogni trimestre controlla utenti attivi, ruoli, dispositivi autorizzati, metodi MFA e account di emergenza. Rimuovi persone che non lavorano più sul servizio, riduci permessi troppo ampi e verifica che almeno un responsabile possa recuperare l’account senza condividere la propria password personale.
NIST raccomanda password uniche e robuste e MFA, oltre all’uso di password manager per generarle e conservarle. Le indicazioni generali non sostituiscono la policy aziendale o i controlli del servizio: per sistemi critici coinvolgi chi gestisce sicurezza e conformità.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
