Molte aziende affidano la gestione del proprio software gestionale (ERP, contabilit\u00e0, magazzino, CRM) a societ\u00e0 esterne specializzate in quel prodotto specifico. \u00c8 una scelta comprensibile: queste aziende conoscono il software nel dettaglio e offrono supporto tecnico dedicato.<\/p>\n\n\n\n
Il problema nasce quando, per comodit\u00e0 o per mancanza di un presidio IT interno, si delega a questi stessi fornitori anche la gestione della rete, dei server, delle cartelle condivise e delle policy di sicurezza. Questa commistione di ruoli \u00e8 una delle fonti di rischio pi\u00f9 sottovalutate nelle piccole e medie imprese.<\/p>\n\n\n\n
Un tecnico del gestionale ha come obiettivo principale far funzionare il programma. Il suo metro di giudizio \u00e8: “L’applicazione parte? L’utente ci accede?”<\/em> Se la risposta \u00e8 s\u00ec, per lui il lavoro \u00e8 finito.<\/p>\n\n\n\n Un responsabile IT con formazione in sicurezza informatica si pone domande diverse: “Chi pu\u00f2 accedere a cosa? Con quali privilegi? Cosa succede se un account viene compromesso?”<\/em> Sono due mentalit\u00e0 strutturalmente diverse, e spesso inconciliabili in una sola figura.<\/p>\n\n\n\n Quando la gestione della rete viene lasciata a chi si occupa del gestionale, ci si imbatte regolarmente in configurazioni pericolose che violano le pi\u00f9 elementari norme di sicurezza:<\/p>\n\n\n\n Quello che accade<\/p>\n\n\n\n Come dovrebbe essere<\/p>\n\n\n\n Le conseguenze di queste configurazioni non sono teoriche. In caso di attacco informatico, ransomware o anche solo di un dipendente malintenzionato, una rete mal configurata diventa un percorso aperto verso tutti i dati aziendali:<\/p>\n\n\n\n Ransomware<\/strong> : Si propaga a tutta la rete se i permessi sono aperti<\/p>\n\n\n\n Insider threat<\/strong> : Un ex dipendente pu\u00f2 accedere ai dati anche dopo aver lasciato<\/p>\n\n\n\n Non conformit\u00e0 GDPR<\/strong> : Accessi non tracciati violano i principi di accountability<\/p>\n\n\n\n Data exfiltration<\/strong> : Dati commerciali e clienti esfiltrati senza lasciare tracce<\/p>\n\n\n\n Il principio fondamentale su cui si basa ogni corretta configurazione di rete \u00e8 il principio del privilegio minimo<\/strong> (Least Privilege<\/em>): ogni utente, ogni programma, ogni servizio deve avere accesso solo a ci\u00f2 di cui ha strettamente bisogno per fare il proprio lavoro. Niente di pi\u00f9.<\/p>\n\n\n\n Questo principio \u00e8 incompatibile con la filosofia del “facciamo prima a dare tutti i permessi cos\u00ec non ci sono problemi”. Quella filosofia risolve il problema del momento, ma crea vulnerabilit\u00e0 strutturali che possono avere conseguenze molto gravi.<\/p>\n\n\n\n Il fornitore del gestionale \u00e8 un partner applicativo: conosce le esigenze del software, i requisiti di database, le porte di rete necessarie. Il reparto IT (o il consulente IT aziendale) \u00e8 il custode dell’infrastruttura: decide come e dove quei requisiti vengono soddisfatti, sempre nel rispetto delle policy di sicurezza.<\/p>\n\n\n\n Un buon fornitore di gestionale fornisce la documentazione tecnica necessaria e collabora con l’IT per una configurazione sicura. Se un fornitore insiste nel voler avere accesso amministrativo all’intera rete, oppure rifiuta di adeguarsi a configurazioni di sicurezza standard, questo \u00e8 un segnale di allarme che non va ignorato.<\/p>\n\n\n\n \u2713 Da ricordare<\/p>\n\n\n\n <\/p>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" Molte aziende affidano la gestione del proprio software gestionale (ERP, contabilit\u00e0, magazzino, CRM) a societ\u00e0 esterne specializzate in quel prodotto specifico. \u00c8 una scelta comprensibile: queste aziende conoscono il software …<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[180,190,17,246,1,11,10,251],"tags":[281,18,278,279,277,280,46,205],"class_list":["post-1084","post","type-post","status-publish","format-standard","hentry","category-account-hacking","category-difesa-perimentrale","category-informazioni-varie","category-salvataggio-dati","category-senza-categoria","category-sistemistica","category-virustrojanecc","category-windows","tag-accesso-controllato","tag-firewall","tag-gestionale","tag-gestione-rete","tag-networking","tag-ramsomware","tag-sicurezza-informatica","tag-virus"],"_links":{"self":[{"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/posts\/1084","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/comments?post=1084"}],"version-history":[{"count":1,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/posts\/1084\/revisions"}],"predecessor-version":[{"id":1085,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/posts\/1084\/revisions\/1085"}],"wp:attachment":[{"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/media?parent=1084"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/categories?post=1084"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.docsnet.it\/index.php\/wp-json\/wp\/v2\/tags?post=1084"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Gli errori pi\u00f9 comuni che vediamo in questi scenari<\/h2>\n\n\n\n
\n
\n
Perch\u00e9 questo mette a rischio l’azienda<\/h2>\n\n\n\n
La regola del privilegio minimo<\/h2>\n\n\n\n
Come deve funzionare la collaborazione corretta<\/h2>\n\n\n\n
\n
\n\n\n\n