Quis custodiet ipsos custodes?

Guardiano / GuardianLo diceva Giovenale e anche Platone nel Repubblica trattava questo problema: Nempe ridiculum esset, custode indigere custodem.

Gli eventi di cronaca degli ultimi giorni hanno mostrato quali siano i pericoli di avere una sola persona al comando senza che questa debba rispondere delle proprie azioni, se non ex post (ok, adesso la pianto con il latinorum) nel caso in cui queste azioni abbiano conseguenze nefaste.

Anche nel mondo IT ci sono dei SysAdmin che, per necessità dell’organizzazione per cui lavorano o per prassi consolidate, si trovano ad avere pieni poteri sui sistemi che amministrano senza un auditing terzo.

Non sto, certo, dicendo che ogni personale IT con accessi privilegiati debba essere sottoposto ad una procedura di presunzione di colpevolezza, ma le organizzazioni che impiegano i SysAdmin dovrebbero avere delle procedure che limitano i danni in casi di crisi.

Alcuni comportamenti o procedure che evitano i problemi sono questi.

  • Lavorare in gruppo. Se il personale IT è maggiore di uno, tutto il personale deve avere tutte le credenziali di accesso. Non ci sono persone di serie B nell’IT: se una persona non è affidabile non la si utilizza nell’IT.
  • La frase “se altri hanno la password io non rispondo della gestione dei sistemi” è una scusa vecchia del XX secolo. Adesso si lavora in gruppo e, al limite, si predispongono sistemi di auditing e logging perché la tecnologia lo permette.
  • Se c’è una sola persona dell’IT o la gestione è delegata ad un consulente esterno, bisogna richiedere e ottenere tutte le credenziali di accesso privilegiato e verificarle periodicamente con la persona incaricata.
  • Nel caso di cui al punto precedente, la persona con cui condividere le credenziali è il titolare, legale rappresentante o amministratore dell’organizzazione.
  • Se c’è una sola persona dell’IT che si avvale anche di consulenti esterni, la persona interna deve avere tutte le credenziali in possesso dei consulenti esterni.
  • Se la gestione di tutto o parte dell’IT è delegato ad una società esterna (non un singolo consulente), la società deve avere al proprio interno un sistema di condivisione delle credenziali di accesso dei clienti; ciò per evitare che un solo dipendente della società di consulenza sia l’unico ad avere le credenziali di accesso di un cliente.

La regola generale è, in sostanza: lavorare in gruppo e condividere le credenziali non per scaricare le colpe, ma per ridurre i problemi in caso di emergenza.

Autore: Luigi Rosa

Consulente IT, sviluppatore, SysAdmin, cazzaro, e, ovviamente, geek.

6 pensieri riguardo “Quis custodiet ipsos custodes?”

  1. commento i tuoi punti:
    1. (lavoro di gruppo) Sante parole! E dovrebbe essere così in ogni settore, soprattutto in quelli critici, tra cui l’iT!!!!
    2. (non rispondo della gestione): vero, cacchio. Esistono i log apposta.
    3. (unico sysadmin): e anche qui spariamo sul logico!
    4. (titolare) …e la cosa buffa sono i sysadmin che si sentono offesi se il titolare vuole le credenziali 🙂
    5. ditto
    6. ho sempre avuto solo grane con le esternalizzazioni di sistemi critici (e l’IT è un sistema critico per molte realtà).

    Regola generale: perché se ho un sistema di backup/failover del server non devo avere un sistema di backup/failover della persona che lo gestisce!?

    brév 😉

    1. Io detesto essere la persona critica per ogni cosa e preferisco avere un backup di me stesso. Se solo trovassi un disco sufficiente per ospitare uan digitalizzazione di lRosa 🙂

  2. Il tutto se non devi seguire standard per le certificazioni (v. PCI) che ti impongono di eliminare gli account di gruppo e ogni azione dev’essere riconducibile al singolo individuo… e qui il file di sudoers diventa una matrice di persone/permessi kilometrico….

    1. Gli account di gruppo dovrebbero essere eliminati anche dal pc del fruttivendolo sotto casa secondo me.

  3. Questo e` un discorso spinoso. In generale e` logico e ovvio che il titolare di una azienda disponga delle password, l’importante pero` e` che non gli salti intesta di usarle “perche` tanto sono capace anche io”. Normalmente i miei clienti mi dicono “fai tu, io non voglio sapere niente”, e sono io che dico loro “vi lascio le password, metti che esco di qui e mi cade un meteorite in testa, voi dopo che fate?”. In altri casi pero` mi sento piu` sicuro ad avere le password solo io, per evitare che il figlio/nipote/cuggino del titolare abbia la malsana idea di mettere le mani nella roba, fare casino, e poi dire “io non ho fatto niente”.

    Per quanto riguarda il lavoro in gruppo, ben venga, ma richiede prima di tutto che ci sia davvero fiducia fra le persone dell’ IT, e poi che l’azienda possa permettersi di avere un gruppo di sysadmin (una persona costa meno di N persone).

Spazio per un commento