Password manager aziendale: credenziali condivise, ruoli e recupero degli accessi

Un password manager aziendale raccoglie le credenziali in un ambiente da gestire con responsabilità precise. Occorre definire chi può accedere alle singole voci, chi le mantiene aggiornate, come si recupera l’accesso e quali operazioni eseguire quando cambia il personale.

Definite queste regole prima di caricare le credenziali nel vault, coinvolgendo chi gestisce i servizi aziendali.

Identità nominali e credenziali condivise: cosa distinguere

Il primo errore è mettere nello stesso contenitore tutto ciò che «serve a qualcuno per entrare». Conviene distinguere almeno cinque casi, perché ciascuno ha regole diverse.

• Account nominativo. Appartiene a una persona e dove possibile è la soluzione da preferire: ogni accesso è riconducibile a chi lo ha fatto e si può togliere a una persona senza toccare gli altri. Vale la raccomandazione dell'Ufficio federale della cibersicurezza (UFCS): una password diversa per ogni servizio e, quando possibile, l'autenticazione a due fattori.
• Risorsa condivisa dal provider. Una casella «info@», «assistenza@» o di reception non richiede una password che circola tra i colleghi. In Microsoft 365 una casella condivisa si usa assegnando permessi ai singoli utenti, che possono inviare «come» o «per conto di» quella casella. L'account associato ha una password generata dal sistema, non destinata all'uso, e Microsoft indica di non usarlo per accedere e di tenerne bloccato l'accesso.
• Account di servizio o di automazione. Serve a un'applicazione o a uno script, non a una persona. Nella documentazione Microsoft Entra, per gli account di servizio si raccomanda di documentare proprietario, scopo, permessi e scadenza, di evitare account multiuso e di applicare il minimo privilegio. Microsoft sconsiglia di usare account utente come account di servizio, perché meno sicuri, e preferisce identità gestite o service principal.
• Account di emergenza. Serve a rientrare nell'amministrazione quando i normali accessi non funzionano. Lo trattiamo nella sezione dedicata al recupero.
• Credenziale condivisa per necessità. Esistono servizi, per esempio il portale di un fornitore o il profilo aziendale di una piattaforma, che non prevedono utenti multipli. Qui il vault condiviso ha senso, ma come eccezione documentata: va verificato quanto consentono il servizio e le sue condizioni d'uso, e la voce deve avere un responsabile e una data di revisione.

La regola pratica: se il provider permette identità individuali o deleghe, usatele. Il vault condiviso serve per ciò che resta, non per aggirare la gestione degli utenti.

Organizzare vault e gruppi di accesso

Un vault ben organizzato rispecchia le responsabilità dell'azienda, non la comodità del momento.

Raggruppate per funzione, non per persona. Cartelle o raccolte come «amministrazione», «marketing», «fornitori IT» e gruppi di utenti corrispondenti. Quando qualcuno cambia ruolo, si cambia l'appartenenza al gruppo; non si rifanno le condivisioni voce per voce.

Assegnate un responsabile a ogni raccolta. Ogni voce condivisa deve avere una persona che risponde del suo contenuto, dello scopo e della revisione periodica. Registrate anche chi può utilizzare la voce.

Applicate il minimo privilegio. Microsoft, nelle buone pratiche per i ruoli Entra, raccomanda di concedere i permessi necessari al compito. Per il vault occorre definire separatamente amministratori, possibilità di lettura e gestione delle raccolte. Verificate nel prodotto che sceglierete quali permessi sono davvero configurabili (lettura, modifica, condivisione, esportazione).

Proteggete l'accesso al vault. L'UFCS avverte che un password manager offre una protezione efficace solo se la password principale è sufficientemente sicura: se finisse in mani sbagliate, tutti gli accessi memorizzati potrebbero essere compromessi. Per questo conviene usare un prodotto che supporti l'autenticazione a due fattori, come suggerito dall'UFCS, e attivarla per tutti gli utenti, amministratori compresi.

Separate l'uso personale da quello aziendale. Decidete in una policy scritta se i collaboratori possono salvare nel vault aziendale anche credenziali private e cosa succede a quei dati quando il rapporto di lavoro termina.

Non fate circolare segreti fuori dal vault. Password inviate per messaggio o scritte in un foglio di calcolo vanificano il lavoro di organizzazione. Se una credenziale è già finita lì, trattatela come da sostituire.

Questi principi si integrano con le configurazioni di identità descritte nella guida a configurazione e sicurezza di Microsoft 365 per le PMI e, se state cambiando piattaforma, con la fase «identità, accessi e licenze» della checklist di migrazione a Microsoft 365.

Preparare recupero ed emergenze

Il recupero va deciso prima, quando nessuno ha fretta.

La password principale del vault. Verificate nella documentazione del prodotto se e come è possibile ripristinare l'accesso, chi può avviare il ripristino e quali dati restano leggibili dopo. Le funzioni di recupero cambiano da un prodotto all'altro: non date per scontato che il fornitore possa riaprire un vault. Scrivete la procedura e fate in modo che non dipenda da una sola persona.

L'account email. L'UFCS segnala che l'account di posta è particolarmente a rischio, perché spesso permette di reimpostare le password di altri servizi. Le caselle usate per il recupero vanno quindi protette almeno quanto il vault.

L’accesso di emergenza amministrativo. Per Microsoft Entra, la guida prevede due o più account di emergenza solo cloud, protetti con autenticazione resistente al phishing, custoditi e verificati secondo una procedura dedicata. Sono accessi privilegiati da riservare alle emergenze: la configurazione va affidata a chi conosce il tenant e le dipendenze dei criteri di accesso.

Definite custodi, condizioni d’uso, registrazione degli interventi e prove periodiche. Prevedete un percorso che resti disponibile anche quando il vault ordinario non si apre; conservare tutto nella stessa raccolta può introdurre una dipendenza da verificare. Per altri provider, controllate le loro procedure di recupero senza trasferire automaticamente le regole Microsoft.

Revocare gli accessi e ruotare le credenziali interessate

Quando una persona lascia l'azienda, o un account viene compromesso, la revoca è un insieme di passaggi, non un clic.

La documentazione Microsoft Entra distingue disabilitazione dell’utente, revoca dei token e gestione dei dispositivi. La procedura va adattata al caso: un’uscita programmata e un dispositivo compromesso possono richiedere azioni differenti. Prima di disabilitare una macchina registrata, verificate proprietà, utilizzo e conseguenze su eventuali altri utenti. Non applicate la stessa azione indiscriminatamente a dispositivi condivisi o destinati a una riassegnazione autorizzata.

La revoca va avviata al momento concordato e verificata sui servizi interessati. Token e sessioni delle applicazioni hanno comportamenti diversi: la documentazione Microsoft segnala che l’effetto può richiedere un intervallo. Il completamento di un comando non garantisce la chiusura immediata di ogni sessione, né permette di promettere che tutti gli accessi terminino entro un’ora.

Per le credenziali, tenete questa sequenza:

1. Account principale e sessioni: eseguite disabilitazione e revoche previste dalla procedura. Valutate separatamente le azioni sui dispositivi, secondo proprietà, stato e rischio.
2. Appartenenza ai gruppi del vault: rimozione dell'utente da tutti i gruppi e dalle raccolte condivise; chiusura dei suoi eventuali link o condivisioni esterne.
3. Credenziali condivise note alla persona: chi ha potuto leggere una password condivisa la conosce. Cambiatele, con priorità per quelle di accessi critici (posta, banca, amministrazione, DNS e registrar). L'UFCS indica di cambiare subito una password se si sospetta che sia nota a terzi.
4. Account di servizio di cui era responsabile: assegnate un nuovo proprietario e verificate che l'account abbia ancora scopo, permessi e scadenza adeguati.
5. Registro: annotate cosa è stato fatto, da chi e quando.

Un esempio ipotetico

Immaginiamo, senza riferimento a un caso reale, uno studio di consulenza di dieci persone. Le credenziali sono nel gestionale, in una vecchia cartella condivisa e in alcuni messaggi. Il titolare decide di procedere così:

• ogni collaboratore ha un account nominativo con autenticazione a due fattori e una voce personale nel vault;
• la casella «segreteria» diventa una casella condivisa del provider, con permessi assegnati a due persone;
• le credenziali del portale di un fornitore che non ammette più utenti vanno in una raccolta «fornitori», con un responsabile e una data di revisione;
• due persone, il titolare e un responsabile tecnico, amministrano il vault; gli altri hanno solo l'accesso alle raccolte di cui hanno bisogno;
• viene scritta una procedura di recupero e di emergenza; se lo studio usa Microsoft Entra, predispone e verifica gli account di emergenza secondo la relativa guida;
• all'uscita di un collaboratore, un elenco di controllo guida disabilitazione, rimozione dai gruppi e cambio delle credenziali condivise che conosceva.

Prova pilota e checklist

Prima di caricare tutto, scegliete un piccolo gruppo (per esempio amministrazione e IT), poche raccolte e due o tre scenari di prova: una password principale dimenticata, un'uscita simulata, l'apertura di un account di emergenza. Annotate cosa non ha funzionato e correggete le regole prima di estendere l'uso.

Checklist operativa:

• [ ] Ogni persona ha un account nominativo; sono elencati gli account condivisi, di servizio e di emergenza ammessi.
• [ ] Per ogni credenziale condivisa esistono responsabile, scopo, utenti e data di revisione.
• [ ] Le caselle condivise usano permessi individuali, non una password che circola.
• [ ] L'accesso al vault richiede l'autenticazione a due fattori ed è stata scelta una password principale robusta, secondo le indicazioni dell'UFCS.
• [ ] Gli amministratori del vault sono pochi e noti.
• [ ] La procedura di recupero della password principale è scritta e non dipende da una sola persona.
• [ ] I percorsi di recupero sono protetti e provati; per Microsoft Entra sono verificati i due o più account di emergenza raccomandati dalla sua documentazione. Per altri servizi si controllano requisiti e possibilità del provider.
• [ ] La checklist di uscita include disabilitazione dell’utente, verifica delle revoche, rimozione dai gruppi, gestione appropriata dei dispositivi e rotazione delle credenziali condivise note.
• [ ] La pilota è stata svolta e le regole sono state corrette prima dell'estensione.
• [ ] Le revisioni periodiche sono in calendario.

FAQ

Un password manager sostituisce l'autenticazione a più fattori?

No. L'UFCS raccomanda di usare una password diversa per ogni servizio e, quando possibile, di attivare l'autenticazione a due fattori; suggerisce inoltre un password manager che supporti questa funzione. Le due misure sono complementari.

Si può condividere una password tra colleghi?

Dove il servizio prevede utenti o deleghe individuali, è preferibile usarli. Se non è possibile, una credenziale condivisa conservata in una raccolta del vault, con un responsabile, accessi limitati e una procedura di rotazione, è meglio di un messaggio o di un foglio di calcolo. Controllate anche le condizioni d'uso del servizio.

Quando vanno cambiate le credenziali condivise?

Quando una persona che le conosceva lascia l'azienda o cambia ruolo, quando si sospetta una compromissione e secondo la scadenza stabilita per le voci critiche. Per la compromissione sospetta, l'UFCS indica di cambiare subito la password.

Come si sceglie il prodotto?

Partite dalle regole di questa guida e verificate nella documentazione del prodotto: gruppi e permessi, autenticazione a due fattori, recupero, registro delle attività, esportazione e gestione dell'uscita degli utenti. Evitate di basarvi su promesse generiche e non date per scontato che una funzione esista.

Rivedere accessi e recupero della tua PMI

Mappate account e credenziali, assegnate responsabili e definite recupero e revoca prima di migrare le password. Per confrontare il vostro ambiente con questa impostazione, rivolgetevi a ED Solution Tech Sagl tramite il servizio di assistenza IT in Ticino, indicando sistemi utilizzati e modalità attuali di gestione degli accessi.

Fonti consultate

• UFCS: quando una password rischia di compromettere più account
• UFCS: protezione dei dispositivi, password e protezione degli accessi
• Microsoft Learn: gestire gli account di emergenza in Microsoft Entra ID
• Microsoft Learn: governare gli account di servizio Microsoft Entra
• Microsoft Learn: caselle condivise in Microsoft 365
• Microsoft Learn: buone pratiche per i ruoli Microsoft Entra
• Microsoft Learn: revocare l'accesso di un utente in Microsoft Entra ID

Le fonti Microsoft sono documentazione in inglese: verificate che la configurazione del vostro tenant e la versione del servizio corrispondano prima di applicare i passaggi.