Disattivare un account nella directory (Entra ID / Active Directory) blocca l'accesso, ma non necessariamente le deleghe, le regole di inoltro, le applicazioni OAuth o l'appartenenza ai canali Teams che quel dipendente aveva accumulato. Offboarding Express verifica con precisione ciò che resta attivo, oltre la directory.
Un account disattivato non è la stessa cosa di un dipendente completamente scollegato dai vostri sistemi
Bloccare l'accesso nella directory ferma l'accesso diretto, ma le deleghe che deteneva su cassette postali condivise o le regole di inoltro che aveva configurato possono restare attive indipendentemente dall'account.
Un dipendente può aver autorizzato applicazioni di terze parti (calendario, CRM, estensioni del browser) che mantengono un accesso ai dati aziendali indipendentemente dal suo account utente.
L'appartenenza a team, canali e ai file condivisi associati persiste spesso a lungo dopo l'ultimo giorno di lavoro, senza che nessun avviso lo segnali.
Senza un controllo sistematico a ogni uscita, questi accessi residui si accumulano negli anni e diventano punti di ingresso dimenticati, invisibili dalla directory.
Un motore di verifica multicanale, lo stesso dell'audit M365 SYAGA, applicato all'uscita di un collaboratore
Nome del dipendente uscito (o in uscita) e data prevista di cessazione degli accessi. Non è richiesta alcuna installazione lato cliente.
Il nostro motore interroga i canali Microsoft Graph, Exchange Online, Teams e Purview per individuare deleghe su cassette postali condivise, regole di inoltro automatico, consensi OAuth e appartenenze a canali Teams.
Gli identificatori sensibili vengono pseudonimizzati prima di ogni analisi. Nessun dato grezzo viene copiato o conservato sui nostri server: viene trasmessa solo la misura.
Ricevete un rapporto che elenca ogni area verificata con il relativo stato (chiuso / attivo / da verificare), insieme alle raccomandazioni per chiudere definitivamente ciò che resta aperto.
Un rapporto concreto sullo stato reale degli accessi di un account, oltre lo stato mostrato nella directory
Stato dettagliato (chiuso / attivo / da verificare) per ciascuna delle aree controllate sull'account interessato.
Traccia tecnica della verifica effettuata, utile in caso di controllo interno o di incidente legato a un vecchio account.
Elenco ordinato per priorità delle azioni da svolgere lato cliente per chiudere definitivamente gli accessi identificati come attivi.
La gestione degli accessi all'uscita di un collaboratore rientra nei consueti riferimenti di sicurezza
Misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali. La revoca effettiva degli accessi di un dipendente uscito contribuisce direttamente a questo obbligo di sicurezza.
Le guide all'igiene informatica dell'ANSSI raccomandano una gestione rigorosa degli account e dei diritti di accesso, compreso il loro ritiro completo in occasione dell'uscita dei collaboratori.
La gestione dei diritti di accesso lungo tutto il ciclo di vita di un collaboratore, compreso il loro ritiro alla fine del contratto, fa parte dei controlli organizzativi previsti dalla norma.
Una revisione sistematica degli accessi residui all'uscita di un collaboratore si inserisce in un approccio generale di gestione dei rischi informatici, senza costituire di per sé un obbligo normativo specifico.
Preventivo personalizzato in ogni caso - nessun prezzo qui riportato è fissato in anticipo
Un'uscita isolata, su richiesta
Uscite frequenti, integrate nel vostro processo risorse umane/IT
Più tenant, società controllate, grandi volumi
Due autorità francesi disciplinano questo tema: l'ANSSI per la sicurezza informatica, la CNIL per la protezione dei dati. Ecco che cosa dicono davvero, senza esagerazioni.
Non esiste una legge che fissi un termine quantificato (non c'è alcun obbligo del tipo «48 ore per chiudere gli accessi»). Si tratta di un obbligo di risultato, sancito da due riferimenti ufficiali: l'uscita o il cambio di mansione di un collaboratore deve comportare la revoca dei suoi accessi, senza ritardi ingiustificati. Una sfumatura importante da tenere a mente per non confondere la buona pratica raccomandata con l'obbligo di legge.
La guida all'igiene informatica dell'ANSSI (Agenzia nazionale per la sicurezza dei sistemi informativi) dedica un'intera misura a questo tema, senza distinzione di dimensione aziendale:
Esiste addirittura un sistema di accompagnamento gratuito («Aidant cyber») pensato apposta per le strutture prive di un servizio informatico dedicato, cioè la maggior parte delle microimprese e delle PMI.
La CNIL (Commissione nazionale per l'informatica e le libertà) riconduce lo stesso tema alla protezione dei dati, nella scheda dedicata alla gestione delle abilitazioni:
Questa scheda si rivolge a qualsiasi organismo che tratti dati personali: in pratica, ogni impresa che abbia dipendenti, clienti o potenziali clienti nei propri strumenti informatici.
La misura n. 6 della guida elenca ciò che una procedura di uscita deve coprire, come minimo (testo esatto):
L'ANSSI raccomanda un inventario aggiornato degli account che dispongono di diritti estesi (amministratore, accesso alle cartelle altrui), perché sono i bersagli preferiti degli aggressori:
In concreto: l'account amministratore del sito web, della posta elettronica aziendale o del software di contabilità online merita una verifica sistematica a ogni uscita, anche in una piccola struttura.
Né l'ANSSI né la CNIL fissano un termine quantificato (nessun termine legale di «48 ore» o «7 giorni»). Entrambi i testi prevedono un obbligo di risultato: i diritti devono essere revocati «al momento dell'uscita» (ANSSI) oppure «non appena» la persona non è più abilitata, e «al termine del contratto» al più tardi (CNIL). Si tratta di una raccomandazione di sicurezza e di protezione dei dati espressa da due autorità ufficiali, non di un articolo di legge con una cifra precisa da rispettare. La CNIL ricorda inoltre, come errore da evitare: «dimenticare di eliminare gli account utente delle persone che hanno lasciato l'organizzazione o che hanno cambiato funzione.»
Oltre al principio generale, ecco le azioni precise richieste, chi le convalida e con quale cadenza, come descritto dai testi ufficiali.
L'ANSSI raccomanda di definire una procedura di uscita formale, in collegamento con le risorse umane, che copra come minimo:
La CNIL riconduce la revoca degli accessi alla propria scheda dedicata alla gestione delle abilitazioni, che precisa come ogni assegnazione di diritti debba essere stata convalidata da un responsabile:
In una piccola struttura priva di un servizio informatico dedicato, questo ruolo spetta in pratica al dirigente o alla persona che gestisce gli accessi agli strumenti digitali dell'impresa.
È l'unica cadenza quantificata rinvenuta nei testi ufficiali consultati: la CNIL raccomanda una revisione periodica delle abilitazioni, con una frequenza minima precisa:
Questa revisione consente in particolare di individuare gli accessi dimenticati dopo l'uscita di un collaboratore, quelli sfuggiti alle maglie della rete durante la procedura di uscita.
Il GDPR impone al titolare del trattamento di adottare «tutte le precauzioni utili» per preservare la sicurezza dei dati (articolo 32). È un obbligo legale reale, ma formulato in termini di misure adeguate: di per sé non indica la procedura da seguire all'uscita di un dipendente. Sono le raccomandazioni dell'ANSSI e della CNIL sopra riportate a fornirne le istruzioni concrete.
Nessun testo impone un termine in ore per chiudere gli accessi di un dipendente uscito: né «48 ore» né «24 ore» di legge. Esistono invece due requisiti precisi e documentati: revocare gli accessi «al momento dell'uscita», senza attendere (ANSSI), e riesaminare tutte le abilitazioni almeno una volta all'anno (CNIL) per recuperare ciò che fosse stato dimenticato. È questo doppio controllo, immediato dopo ogni uscita e verificabile nel tempo, che propone Offboarding Express.
Risposte semplici, ciascuna supportata da una fonte ufficiale verificabile (ANSSI, CNIL)
Su questo tema non esiste un unico articolo di legge che elenchi tutto. Sono due autorità francesi, l'ANSSI per la sicurezza informatica e la CNIL per la protezione dei dati, a pubblicare raccomandazioni ufficiali. Ecco che cosa dicono davvero, senza esagerazioni.
Contattateci per ricevere un preventivo personalizzato.