Il caso di uno studio professionale in fase di scale-up che ha imparato a disconnettere le persone con la stessa cura con cui le aveva connesse
Quando un’azienda mette in piedi la propria infrastruttura IT, l’attenzione si concentra quasi sempre sullo stesso momento: l’ingresso.
Si progettano i permessi.
Si struttura l’alberatura delle cartelle.
Si definiscono i flussi di lavoro, i ruoli, gli accessi.
Si testano gli account, uno per uno, finché tutto funziona.
È un lavoro fatto bene. Serio. Necessario.
Ma è anche un lavoro che racconta solo metà della storia.
È quello che abbiamo osservato lavorando con uno studio professionale in fase di scale-up, cresciuto rapidamente in termini di collaboratori, sedi e progetti.
Il giorno in cui un collaboratore ha lasciato lo studio, è emersa una domanda che nessuno si era mai posto con la stessa urgenza.
Come si disconnette una persona, davvero, da tutto?
Il falso mito: “basta disattivare l’account”
La prima risposta, quasi sempre, è la stessa.
“Disattiviamo l’email e siamo a posto.”
Ma un professionista che lavora in uno studio, nel tempo, accumula accessi ovunque.
Alla cartella condivisa dei progetti. Alla VPN per lavorare da remoto. Al gestionale con i dati dei clienti. Al cloud dove sono archiviati anni di elaborati. A qualche licenza software intestata a lui.
Ognuno di questi sistemi ha una propria lista di utenti.
Ognuno la gestisce a modo suo.
E quasi sempre, nessuno dei due se ne accorge dell’altro.
Così, quando una persona esce, l’email smette di funzionare il primo giorno.
Ma l’accesso alla VPN resta attivo per settimane.
La cartella condivisa, per mesi.
Non perché qualcuno ha sbagliato. Ma perché nessuno aveva mai progettato la disconnessione con la stessa attenzione con cui era stata progettata la connessione.
Si pensa alla sicurezza come alla capacità di far entrare le persone giuste.
Si dimentica che è, altrettanto, la capacità di far uscire le persone giuste, quando serve, ovunque.
Prima della piattaforma, abbiamo progettato il ciclo di vita
Quando abbiamo affrontato questo problema, la prima domanda non è stata quale software installare.
È stata un’altra.
Che percorso fa una persona, dal primo giorno all’ultimo?
A quali sistemi accede appena entra. Come cambiano i suoi permessi se cambia ruolo. Chi decide quando un accesso va revocato. Quanto tempo può passare, in pratica, tra quella decisione e la sua esecuzione reale su tutti i sistemi coinvolti.
Da queste domande è nata una mappa completa del ciclo di vita di un utente, non solo del suo ingresso.
Su quella mappa abbiamo costruito un unico punto di controllo dell’identità, self-hosted, senza dipendere da una piattaforma esterna a cui affidare le chiavi di ogni account dello studio.
A quel punto abbiamo collegato, uno per uno, i sistemi che prima vivevano isolati: NAS, VPN, gestionale, cloud file manager.
Non abbiamo aggiunto un ulteriore strumento da gestire.
Abbiamo tolto una lista di account da controllare per ogni sistema.
Il vero valore non è il software, è la tempestività
Quando si parla di gestione degli accessi, l’attenzione si concentra quasi sempre su quanto sia sofisticato il sistema di permessi, quanti fattori di autenticazione preveda, quanto sia robusta la password policy.
Sono aspetti importanti.
Ma non sono ciò che, in un caso reale come questo, fa la differenza.
Il vero valore è poter revocare l’accesso di una persona, ovunque, in un solo istante e con un solo gesto, invece che rincorrere sistemi diversi sperando di non dimenticarne nessuno.
Per uno studio professionale, questo non è un dettaglio tecnico.
I dati di un cliente, un progetto in corso, un fascicolo riservato non smettono di essere sensibili quando qualcuno lascia l’azienda.
Continuare a poterli raggiungere anche dopo, anche per un solo giorno di troppo, non è un rischio remoto. È un rischio concreto, e spesso invisibile finché non accade.
Una tecnologia che non chiede attenzione
Esiste un’idea che guida ogni progetto che realizziamo.
La tecnologia migliore è quella che, una volta installata, smette di farsi notare.
Anche quando gestisce qualcosa di delicato come l’identità delle persone.
Per questo abbiamo scelto una soluzione self-hosted, sotto il controllo diretto dello studio, senza legare un’informazione così critica alle logiche commerciali o alle interruzioni di un fornitore esterno.
È questo il significato che attribuiamo alla Slow-Tech.
Non sviluppare lentamente.
Ma progettare con attenzione.
Costruire sistemi comprensibili, governabili nel tempo, che restino sotto il controllo di chi li usa anche quando l’azienda cresce, cambia, si evolve.
Perché la sicurezza non è un prodotto che si installa una volta.
È un processo che va progettato per durare quanto dura l’azienda stessa.
Un investimento che continua a produrre valore
A distanza di tempo, il valore di un sistema di gestione degli accessi non si misura da quanti fattori di autenticazione prevede.
Si misura da quanto tempo passa tra la decisione di disconnettere qualcuno e il momento in cui quella persona non ha più accesso a nulla.
È questa la differenza tra avere un sistema di permessi e avere il controllo reale della propria identità aziendale.
Ed è anche il motivo per cui, prima di parlare di strumenti, preferiamo sempre parlare di processi.
Perché quando la gestione degli accessi è progettata bene, smette di essere un rischio nascosto e diventa parte della fiducia che uno studio può offrire ai propri clienti.
I principi Slow-Tech applicati in questo progetto
Progettare il ciclo di vita, non solo l’ingressoPrima di scegliere gli strumenti, abbiamo mappato l’intero percorso di un utente: cosa succede quando entra, quando cambia ruolo, quando esce.
Un solo punto per revocare tuttoL’identità di ogni persona è gestita in un unico luogo, collegato a cascata a tutti i sistemi che utilizza, così che disconnetterla sia un gesto solo, non una lista di attività separate.
Il controllo dell’identità resta internoUna soluzione self-hosted evita di affidare a un fornitore esterno le chiavi di accesso a ogni sistema dello studio.
La sicurezza si misura alla fine, non solo all’inizioUn sistema ben progettato non si giudica da quanto è facile far entrare le persone giuste, ma da quanto è veloce far uscire chi non deve più esserci.
Costruire per durareIl sistema è stato progettato per restare governabile anche quando lo studio cresce, cambia team e aggiunge nuovi strumenti nel tempo.