Lo diceva Giovenale e anche Platone nel Repubblica trattava questo problema: Nempe ridiculum esset, custode indigere custodem.
Gli eventi di cronaca degli ultimi giorni hanno mostrato quali siano i pericoli di avere una sola persona al comando senza che questa debba rispondere delle proprie azioni, se non ex post (ok, adesso la pianto con il latinorum) nel caso in cui queste azioni abbiano conseguenze nefaste.
Anche nel mondo IT ci sono dei SysAdmin che, per necessità dell’organizzazione per cui lavorano o per prassi consolidate, si trovano ad avere pieni poteri sui sistemi che amministrano senza un auditing terzo.
Non sto, certo, dicendo che ogni personale IT con accessi privilegiati debba essere sottoposto ad una procedura di presunzione di colpevolezza, ma le organizzazioni che impiegano i SysAdmin dovrebbero avere delle procedure che limitano i danni in casi di crisi.
Alcuni comportamenti o procedure che evitano i problemi sono questi.
- Lavorare in gruppo. Se il personale IT è maggiore di uno, tutto il personale deve avere tutte le credenziali di accesso. Non ci sono persone di serie B nell’IT: se una persona non è affidabile non la si utilizza nell’IT.
- La frase “se altri hanno la password io non rispondo della gestione dei sistemi” è una scusa vecchia del XX secolo. Adesso si lavora in gruppo e, al limite, si predispongono sistemi di auditing e logging perché la tecnologia lo permette.
- Se c’è una sola persona dell’IT o la gestione è delegata ad un consulente esterno, bisogna richiedere e ottenere tutte le credenziali di accesso privilegiato e verificarle periodicamente con la persona incaricata.
- Nel caso di cui al punto precedente, la persona con cui condividere le credenziali è il titolare, legale rappresentante o amministratore dell’organizzazione.
- Se c’è una sola persona dell’IT che si avvale anche di consulenti esterni, la persona interna deve avere tutte le credenziali in possesso dei consulenti esterni.
- Se la gestione di tutto o parte dell’IT è delegato ad una società esterna (non un singolo consulente), la società deve avere al proprio interno un sistema di condivisione delle credenziali di accesso dei clienti; ciò per evitare che un solo dipendente della società di consulenza sia l’unico ad avere le credenziali di accesso di un cliente.
La regola generale è, in sostanza: lavorare in gruppo e condividere le credenziali non per scaricare le colpe, ma per ridurre i problemi in caso di emergenza.
Lascia un commento