Permessi aziendali e cybersecurity: checklist per un onboarding sicuro

L’onboarding di un nuovo dipendente viene spesso considerato un processo puramente amministrativo o legato alle Risorse Umane. Tuttavia, nel panorama digitale del 2025-2026, l’ingresso di una nuova figura in azienda rappresenta uno dei momenti più critici per la cybersecurity aziendale. Una gestione approssimativa dei permessi aziendali non solo espone le Piccole e Medie Imprese (PMI) a gravi rischi di violazione dei dati, ma può compromettere l’intera infrastruttura informatica. Implementare una strategia strutturata, basata sugli standard definiti dall’Agenzia per l’Italia Digitale (AgID) e dalla Direttiva NIS2, trasforma l’onboarding da potenziale vulnerabilità a pilastro della resilienza organizzativa.

Perché la gestione dei permessi aziendali è il cuore della cybersecurity moderna

Il fattore umano rimane uno dei principali vettori di attacco nelle infrastrutture IT. Ogni nuovo account creato senza una policy rigorosa amplia la superficie di attacco dell’azienda. Il cybersecurity onboarding ha l’obiettivo di minimizzare questo rischio attraverso processi documentati che impediscano l’assegnazione di privilegi eccessivi. I rischi di accesso non autorizzato durante l’onboarding derivano spesso dalla fretta di rendere operativo il nuovo assunto, portando alla condivisione di password o all’attivazione di profili “standard” che includono permessi non necessari alle mansioni specifiche. Ridurre la superficie di attacco significa garantire che ogni identità digitale sia monitorata e protetta fin dal primo istante.

Il quadro normativo italiano: NIS2, AgID e Garante Privacy (2025-2026)

Le imprese italiane operano oggi in un contesto normativo stringente che impone standard elevati di protezione dei dati.

Le Linee Guida ACN v2.0 (Dicembre 2025) stabiliscono che i soggetti rientranti nel perimetro NIS2 devono implementare misure di sicurezza “di base” entro 18 mesi dall’aprile 2025 1. Tra queste, la governance degli accessi è prioritaria.

Parallelamente, le Misure minime di sicurezza ICT di AgID (Circolare 1/2017) definiscono controlli specifici come il CSC 5 (Controllo degli account utente) e il CSC 16 (Monitoraggio e controllo degli accessi), che richiedono processi documentati per l’assegnazione dei permessi 2.

Infine, il Garante per la Protezione dei Dati Personali, con il Provvedimento n. 386 del 10 luglio 2025, ha ribadito l’obbligo di gestire correttamente il ciclo di vita degli account, sottolineando che una gestione inefficace dei permessi aziendali configura una violazione diretta del GDPR 3. Per approfondire gli obblighi normativi, è possibile consultare l’ Approfondimento sulla Direttiva NIS2 (ACN).

Checklist operativa: Configurazione accessi per i nuovi assunti

Per garantire la conformità e la sicurezza, le PMI devono adottare una checklist cybersecurity per nuovi assunti che integri i principi di governance richiesti dall’Appendice C delle linee guida ACN 1. Una corretta guida configurazione permessi onboarding deve includere:

1. Identificazione univoca dell’utente e verifica dell’identità.
2. Definizione del profilo di accesso basato sul ruolo (RBAC).
3. Attivazione di log di audit per ogni sessione di accesso.
4. Formazione iniziale obbligatoria sulla sicurezza delle informazioni.

Implementazione dell’autenticazione forte (2FA) e protocollo 802.1x

La semplice password è oggi considerata una protezione minima insufficiente per la tutela dei dati aziendali 2. È fondamentale implementare l’autenticazione a due fattori (2FA) per tutte le applicazioni critiche e gli accessi remoti. Per la sicurezza della rete interna, l’adozione del protocollo 802.1x permette di autenticare ogni dispositivo che tenta di connettersi all’infrastruttura, garantendo che solo i terminali autorizzati possano accedere alle risorse. Per una panoramica sulle tecnologie di protezione, si consigliano le Best practice ENISA per l’identità digitale e la protezione dei dati.

Applicazione del principio del Least Privilege

Il principio del “minimo privilegio” (Least Privilege) prevede che a un utente vengano concessi esclusivamente i permessi necessari per svolgere le proprie attività lavorative. Questo approccio riduce drasticamente l’impatto di un eventuale account compromesso, limitando la capacità di un attaccante di muoversi lateralmente nella rete. La gestione dei privilegi minimi deve essere supportata da revisioni periodiche degli accessi, come suggerito dalle Linee guida del Garante Privacy per l’uso degli strumenti ICT.

Automazione dell’inventario e monitoraggio degli asset software

Un errore comune è perdere traccia dei software e degli asset assegnati ai dipendenti. Il controllo AgID CSC 2 prescrive l’inventario dinamico del software autorizzato per preveniri l’esecuzione di applicazioni non monitorate che potrebbero contenere vulnerabilità 2. Soluzioni sicurezza per onboarding come Lansweeper o ManageEngine permettono di automatizzare l’inventario software aziendale, garantendo che ogni nuovo dispositivo sia configurato secondo gli standard di sicurezza aziendali e che non vengano installati programmi “ombra” (Shadow IT). Il monitoraggio degli asset aziendali deve essere una costante che parte dal giorno zero dell’onboarding.

Il ciclo di vita dell’identità: Sincronizzazione Onboarding e Offboarding

La sicurezza non riguarda solo l’ingresso, ma l’intero ciclo di vita del dipendente. Una gestione inefficace dei permessi si manifesta spesso quando un dipendente lascia l’azienda ma mantiene attivi i propri accessi. Il Garante Privacy ha evidenziato come la mancata revoca permessi aziendali tempestiva rappresenti una grave violazione del principio di limitazione della conservazione dei dati 3. L’offboarding dipendenti sicurezza deve essere sincronizzato con l’onboarding: ogni permesso concesso deve avere una procedura di revoca immediata già definita.

Revoca tempestiva degli accessi e disattivazione email

Secondo il Provvedimento n. 386 del 10 luglio 2025 del Garante Privacy, il datore di lavoro deve procedere alla disattivazione account email e alla revoca di ogni accesso ai sistemi aziendali in modo tempestivo al termine del rapporto di lavoro 3. Lasciare account attivi “per comodità” dopo la cessazione del rapporto espone l’azienda a rischi legali e informatici incalcolabili. La procedura deve prevedere la chiusura degli accessi VPN, la revoca delle credenziali cloud e il recupero immediato di tutti i dispositivi fisici.

In conclusione, un approccio strutturato alla gestione dei permessi aziendali non è solo un requisito per la conformità NIS2 e AgID, ma un investimento strategico nella resilienza della tua impresa. Proteggere l’onboarding significa proteggere il futuro del tuo business.

Scarica la nostra checklist completa per l’onboarding sicuro e adegua la tua PMI alle nuove linee guida NIS2.

Le informazioni fornite hanno scopo informativo e non sostituiscono una consulenza legale o tecnica specifica sulla conformità normativa.