Controllo degli accessi ISO 27001: cos’è e come implementarlo

Un collaboratore lascia l’azienda e, tre mesi dopo, il suo account è ancora attivo, con accesso al CRM e ai documenti finanziari. È proprio questo tipo di situazione che la norma ISO 27001 punta a evitare attraverso il controllo degli accessi, ed è anche uno dei rilievi più frequenti negli audit di certificazione. Perché gestire gli accessi significa decidere chi entra in ciascun sistema, cosa può farci dentro e per quanto tempo conserva quell’autorizzazione. La norma dedica diversi controlli a mettere ordine in tutto questo processo.

In questo articolo vediamo cos’è il controllo degli accessi secondo la ISO 27001, cosa richiede la versione del 2022, su quali principi si fonda, quali tipi esistono, cosa deve contenere la politica e come implementarlo nella pratica.

Cos'è il controllo degli accessi nella ISO 27001?

Il controllo degli accessi è l’insieme di regole e meccanismi che stabiliscono chi può accedere alle informazioni e ai sistemi di un’organizzazione, e cosa può farne. L’obiettivo è garantire che solo le persone autorizzate accedano alle informazioni necessarie per il proprio lavoro, prevenendo qualsiasi accesso non autorizzato.

La norma abbraccia due piani che devono seguire gli stessi principi:

• Accesso logico: autorizzazioni su applicazioni, database, reti, file e servizi cloud.
• Accesso fisico: ingresso a locali, sale server e supporti in cui le informazioni vengono archiviate o elaborate.

Alla base c’è il principio del need-to-know. In altre parole, ogni persona accede unicamente alle informazioni indispensabili per svolgere le proprie mansioni, né più né meno. Un controllo degli accessi ben impostato non è una barriera occasionale, ma un processo continuo che si definisce, si applica, si monitora e si rivede.

Cosa dice la ISO 27001 sul controllo degli accessi?

Il controllo degli accessi è una delle sezioni con più peso dell’Allegato A della ISO 27001, e anche una di quelle che sono cambiate di più tra la versione del 2013 e quella del 2022. Comprendere questo cambiamento evita buona parte della confusione più comune.

Nella ISO 27001:2013, tutto il controllo degli accessi era racchiuso nel dominio A.9, con quattordici controlli suddivisi in quattro blocchi: requisiti di business, gestione degli accessi degli utenti, responsabilità dell’utente e controllo degli accessi a sistemi e applicazioni.

La ISO 27001:2022 ha riorganizzato l’Allegato A e ha ridistribuito questi requisiti tra diversi nuovi controlli. Il controllo degli accessi in senso stretto è ora il 5.15, ma il dettaglio operativo si distribuisce su altri.

Come si distribuisce il controllo degli accessi nella versione 2022?

Ecco i controlli della ISO 27001:2022 che, nel loro insieme, coprono ciò che prima era l’A.9:

• 5.15 Controllo degli accessi: definisce le regole di accesso fisico e logico in base ai requisiti di business e di sicurezza (ex 9.1.1 e 9.1.2).
• 5.16 Gestione delle identità: ciclo di vita delle identità, dalla creazione fino alla disattivazione dell’account utente.
• 5.17 Informazioni di autenticazione: gestione delle password e delle altre credenziali di accesso.
• 5.18 Diritti di accesso: concessione, revisione e revoca delle autorizzazioni.
• 8.2 Diritti di accesso privilegiati: controllo rafforzato degli account amministrativi.
• 8.3 Restrizione dell’accesso alle informazioni: cosa può leggere, scrivere o eliminare ciascun utente.
• 8.5 Autenticazione sicura: procedure di login, inclusa l’autenticazione a più fattori.

Se la tua documentazione parla ancora dell’A.9, non è un problema grave, ma è opportuno aggiornare i riferimenti alla versione 2022 prima di un audit di certificazione o di transizione.

I principi del controllo degli accessi

Al di là dei singoli controlli, la norma si fonda su alcuni principi che dovrebbero guidare qualsiasi decisione sulle autorizzazioni. Sono la base su cui si costruisce la politica.

1. Privilegio minimo e need-to-know

Ecco i principi che dovrebbero orientare ogni decisione su chi riceve l’accesso e fino a che punto:

• Privilegio minimo: ogni utente riceve esattamente le autorizzazioni necessarie per il proprio lavoro, e solo per il tempo in cui gli servono.
• Need-to-know: l’accesso viene concesso in base alle informazioni che la persona deve conoscere, non al suo ruolo o alla sua anzianità.
• Need-to-use: lo stesso criterio applicato all’infrastruttura e agli strumenti, non solo ai dati.
• Negazione predefinita: tutto è vietato tranne ciò che viene espressamente consentito, e non il contrario.
• Segregazione dei compiti: separare le attività incompatibili affinché nessuna persona controlli un processo critico dall’inizio alla fine.

2. Identificazione, autenticazione e autorizzazione

Ogni accesso solido si basa su tre passaggi consecutivi che è bene non confondere:

• Identificazione: l’utente dichiara chi è tramite un identificatore univoco (un ID o un account nominale).
• Autenticazione: il sistema verifica che sia davvero chi dice di essere, a partire da qualcosa che sa (password), qualcosa che possiede (token, tessera) o qualcosa che è (impronta, volto). Combinare due di questi fattori è la base dell’autenticazione a più fattori.
• Autorizzazione: una volta verificata l’identità, si stabilisce quali azioni può compiere su ciascuna risorsa.

Tipi di controllo degli accessi: DAC, MAC, RBAC e ABAC

La ISO 27001 non impone un modello specifico, ma si aspetta che l’organizzazione ne scelga uno coerente con il proprio livello di rischio. Ecco i quattro più comuni:

• DAC (controllo degli accessi discrezionale): il proprietario di ciascuna risorsa decide chi può accedervi. Flessibile, ma difficile da controllare e da mantenere coerente su larga scala.
• MAC (controllo degli accessi obbligatorio): un’autorità centrale definisce l’accesso a partire da etichette e livelli di classificazione. È il più rigido e si usa in ambienti ad alta sicurezza.
• RBAC (controllo degli accessi basato sui ruoli): le autorizzazioni vengono assegnate ai ruoli, e le persone ereditano le autorizzazioni del proprio ruolo. È il modello più diffuso in azienda perché semplifica la gestione e le revisioni.
• ABAC (controllo degli accessi basato sugli attributi): l’accesso dipende da attributi come la posizione, il dispositivo, l’orario o il tipo di dato. Consente regole molto precise, al prezzo di una maggiore complessità.

Nella maggior parte delle organizzazioni un modello RBAC ben progettato copre gran parte delle esigenze e si integra in modo naturale con l’assegnazione delle autorizzazioni per mansione.

Cosa deve contenere la politica di controllo degli accessi?

La politica di controllo degli accessi è un documento obbligatorio. La norma impone di stabilirla, documentarla e revisionarla periodicamente. Funziona come la dichiarazione di ciò che l’organizzazione consente e di ciò che vieta, più che come un manuale tecnico su come fare le cose. A definirla sono i proprietari degli asset, in linea con la politica di sicurezza e l’analisi dei rischi.

Una politica completa di solito comprende i seguenti elementi.

• Ambito e responsabilità: a quali sistemi e informazioni si applica e chi approva, concede e revisiona gli accessi.
• Regole di concessione: criteri per attivare, modificare e revocare le autorizzazioni, basati sul privilegio minimo.
• Gestione delle identità: uso di account nominali, divieto di account condivisi e ciclo di vita dell’identificatore.
• Accessi privilegiati: condizioni rafforzate per gli account amministrativi e loro supervisione.
• Autenticazione: requisiti delle password, uso della MFA e protezione delle credenziali.
• Accesso alle reti e lavoro da remoto: connessioni consentite, VPN e accesso dall’esterno dell’organizzazione.
• Revisione e tracciabilità: frequenza delle revisioni delle autorizzazioni e registrazione di accessi e modifiche.

Come implementare il controllo degli accessi passo dopo passo?

Una volta definiti i principi e la politica, l’implementazione può essere affrontata per fasi ordinate, ciascuna basata sulla precedente.

Fase 1: classifica le informazioni

Il punto di partenza è sapere quali informazioni gestisci e quanto espone la loro perdita o divulgazione. Distinguere tra dati critici, sensibili e pubblici permette di calibrare ogni autorizzazione al suo reale livello di rischio, anziché proteggere tutto allo stesso modo.

Fase 2: definisci ruoli e regole di accesso

Una volta classificate le informazioni, il passo successivo è tradurre le mansioni in ruoli con autorizzazioni concrete. È qui che entra in gioco il privilegio minimo: ogni ruolo riceve solo ciò che serve alla sua funzione e le persone ereditano le autorizzazioni del proprio ruolo.

Fase 3: gestisci ingressi, uscite e accessi privilegiati

È nel ciclo di vita dell’accesso che emergono più criticità in fase di audit. Ecco i punti nevralgici da avere sotto controllo:

• Ingressi con identificazione individuale: ogni persona con il proprio account e le proprie autorizzazioni approvate formalmente.
• Uscite immediate: quando un collaboratore lascia l’azienda, i suoi accessi vanno revocati subito, senza dipendere dal fatto che qualcuno se ne ricordi.
• Accessi orfani: gli account di persone che non ci sono più o di progetti chiusi che restano attivi sono una porta d’ingresso frequente.
• Account privilegiati: limitati a chi ne ha bisogno, con autenticazione rafforzata e registrazione del loro utilizzo.

Fase 4: rafforza l’autenticazione

Definire chi accede non serve a nulla se l’identità non viene verificata bene. È opportuno richiedere password robuste e attivare l’autenticazione a più fattori (MFA) sugli accessi sensibili e, soprattutto, sugli account privilegiati.

Fase 5: rivedi e monitora gli accessi

Un controllo degli accessi non si implementa una volta sola e poi ci si dimentica. La norma prevede revisioni periodiche che confermino che ogni autorizzazione sia ancora giustificata, soprattutto dopo cambi di mansione, promozioni o uscite. Una revisione trimestrale, con i responsabili che validano gli accessi del proprio team, mantiene il sistema allineato alla realtà ed evita rilievi in sede di audit. A questo si aggiunge il monitoraggio continuo, che tiene traccia di chi accede a cosa e aiuta a individuare comportamenti anomali.

Come Factorial IT aiuta con il controllo degli accessi?

Gestire gli accessi manualmente diventa insostenibile quando ci sono turnover, dispositivi da remoto e decine di applicazioni SaaS. Factorial IT centralizza questa gestione e la collega alle Risorse Umane, così le autorizzazioni seguono il ciclo di vita del collaboratore.

• Provisioning e deprovisioning automatici: gli accessi agli strumenti SaaS vengono concessi durante l’onboarding e ritirati durante l’offboarding, senza passaggi manuali.
• Revoca immediata all’uscita: quando un collaboratore lascia l’azienda, i suoi accessi vengono revocati subito e resta traccia dell’operazione, chiudendo il problema degli account orfani.
• Visibilità in tempo reale: una mappa aggiornata di chi ha accesso a cosa, disponibile quando ti serve.
• Politiche di dispositivo e password: crittografia, blocco da remoto e politiche di sicurezza per profilo su computer Mac, Windows e Linux.
• Evidenze per l’audit: registri e report esportabili che documentano ingressi, uscite e modifiche delle autorizzazioni.